อนุญาตให้เปลี่ยนรหัสผ่านภายในองค์กรเพื่อรีเซ็ตความเสี่ยงของผู้ใช้ใน Microsoft Entra
การจัดการความเสี่ยงของผู้ใช้อาจเป็นงานที่ยาก โดยเฉพาะอย่างยิ่งในปัจจุบันที่ผู้ใช้อาศัยอยู่ทั่วโลกและมีการโจมตีตามข้อมูลประจำตัวเพิ่มมากขึ้น องค์กรจำเป็นต้องมีความเข้าใจถึงความเสี่ยงที่มีอยู่และมองเห็นได้แบบเรียลไทม์ว่าความเสี่ยงดังกล่าวส่งผลกระทบต่อพวกเขาอย่างไร
แน่นอนว่าทั้งหมดนี้มาเป็นภาระให้กับทีมไอทีหรือทีมรักษาความปลอดภัยของคุณที่ต้องลงมือและแก้ไขความเสี่ยงเหล่านี้ ดังนั้นการมอบความรับผิดชอบบางส่วนให้กับผู้ใช้ปลายทางทำให้เราสามารถช่วยบรรเทาภาระนี้ได้
ด้วยการทำให้ผู้ใช้สามารถลดความเสี่ยงที่เกี่ยวข้องกับบัญชีของตนได้โดยการรีเซ็ตรหัสผ่านภายในองค์กร เราสามารถลดภาระด้านการดูแลระบบและกระบวนการโดยรวมได้อย่างง่ายดาย โดยทั่วไป จะง่ายกว่าสำหรับผู้ใช้ในการรีเซ็ตรหัสผ่านในเครื่อง (เมื่อเป็นไปได้) มากกว่าการทำตามขั้นตอนการรีเซ็ตรหัสผ่านในระบบคลาวด์
ทำความเข้าใจกับการรีเซ็ตความเสี่ยงของผู้ใช้ใน Microsoft Entra
ตรวจพบความเสี่ยงใน Microsoft Entra เมื่อผู้ใช้ดำเนินการที่น่าสงสัยเมื่อลงชื่อเข้าใช้ (เรียกว่าความเสี่ยงในการลงชื่อเข้าใช้) หรือหลังจากที่ผู้ใช้ลงชื่อเข้าใช้ (เรียกว่าความเสี่ยงของผู้ใช้) การกระทำที่แตกต่างกันของผู้ใช้ระหว่างหรือหลังการลงชื่อเข้าใช้จะส่งผลต่อระดับความเสี่ยงที่แตกต่างกัน ซึ่งโดยทั่วไปจะขึ้นอยู่กับแนวโน้มที่บัญชีผู้ใช้จะถูกบุกรุก
ระดับความเสี่ยงจะได้รับการอัปเดตโดยอัตโนมัติใน Microsoft Entra ทั้งนี้ขึ้นอยู่กับการกระทำหรือการรวมกันของการกระทำที่แตกต่างกันที่ผู้ใช้ทำ คุณสามารถดูความเสี่ยงได้จากภายใน Microsoft Entra Admin Center:
- เข้าสู่ระบบ Microsoft Entra
- ขยาย การป้องกัน
- เลือกกิจกรรมที่มีความเสี่ยง
จากที่นี่ คุณจะเห็นรายชื่อผู้ใช้ที่มีความเสี่ยงและระดับความเสี่ยงที่เกี่ยวข้อง
เมื่อ Microsoft Entra คำนวณความเสี่ยงตามการกระทำที่ผู้ใช้ดำเนินการ ความเสี่ยงเหล่านี้บางส่วนจะถูกคำนวณแบบเรียลไทม์ (ตามที่เกิดขึ้น) และบางส่วนจะคำนวณแบบออฟไลน์ (หลังจากเหตุการณ์เกิดขึ้น) ซึ่งจะขึ้นอยู่กับประเภท ของงานตามตารางข้างล่างนี้
การตรวจจับความเสี่ยงในการลงชื่อเข้าใช้
| Risk detection | Detection type | Type |
|---|---|---|
| Atypical travel | Offline | Premium |
| Anomalous Token | Offline | Premium |
| Token Issuer Anomaly | Offline | Premium |
| Malware linked IP address | Offline | Premium |
| Suspicious browser | Offline | Premium |
| Unfamiliar sign-in properties | Real-time | Premium |
| Malicious IP address | Offline | Premium |
| Suspicious inbox manipulation rules | offline | premium |
| Password spray | offline | premium |
| Impossible travel | offline | premium |
| New country | offline | premium |
| Activity from anonymous IP address | offline | premium |
| Suspicious inbox forwarding | offline | premium |
| Mass Access to Sensitive Files | offline | premium |
| Verified threat actor IP | Real-time | Premium |
| Additional risk detected | Real-time or offline | nonpremium |
| Anonymous IP addres | Real-time | Nonpremium |
| Admin confirmed user compromised | Offline | Nonpremium |
| Microsoft Entra threat intelligence | Real-time or offline | Nonpremium |
การตรวจจับความเสี่ยงของผู้ใช้
| Risk detection | Detection type | Type |
|---|---|---|
| Possible attempt to access Primary Refresh Token (PRT) | Offline | Premium |
| Anomalous user activity | Offline | Premium |
| User reported suspicious activity | Offline | Premium |
| Additional risk detected | Real-time or Offline | Nonpremium |
| Leaked credentials | Offline | Nonpremium |
| Microsoft Entra threat intelligence | Offline | Nonpremium |
มีงานสำคัญบางงานที่คุณควรทำให้เสร็จสิ้นเพื่อตรวจสอบและควบคุมความเสี่ยงของผู้ใช้ในสภาพแวดล้อมของคุณอย่างมีประสิทธิภาพ
หมายเลข 1 คือการกำหนดค่าอีเมลแจ้งเตือนเมื่อมีการสร้างการแจ้งเตือนที่มีความเสี่ยงสูง ผู้ใช้ที่มีความเสี่ยงสูงเป็นสาเหตุของความกังวล เนื่องจากโดยปกติแล้วพวกเขาจะถือว่าผู้ใช้ถูกโจมตี และทีมไอทีของคุณควรได้รับแจ้งทันที
หมายเลข 2 คือการกำหนดค่านโยบายความเสี่ยงของผู้ใช้หรือความเสี่ยงในการลงชื่อเข้าใช้ ซึ่งสามารถใช้เพื่อบล็อกการเข้าถึงตามระดับความเสี่ยง หรือให้โอกาสผู้ใช้ในการแก้ไขอัตโนมัติ โดยการบังคับให้เปลี่ยนรหัสผ่านผ่านกลไกการรีเซ็ตรหัสผ่านแบบบริการตนเอง นอกจากนี้ยังได้รับการควบคุมผ่านนโยบายการเข้าถึงแบบมีเงื่อนไข
หมายเลข 3 คือการตรวจสอบให้แน่ใจว่าผู้ใช้ทุกคนมีการตรวจสอบสิทธิ์แบบหลายปัจจัยที่กำหนดค่าด้วยวิธีที่เข้มงวด เช่น แอป Microsoft Authenticator ที่สามารถใช้ในการรีเซ็ตรหัสผ่านแบบบริการตนเอง เพียงเปลี่ยนรหัสผ่านจากพอร์ทัลสำนักงานจะไม่ช่วยลดความเสี่ยงของผู้ใช้
โทโพโลยีสำหรับการเปลี่ยนแปลงรหัสผ่านภายในองค์กร
แม้ว่าอาจชัดเจน แต่ก็คุ้มค่าที่จะบอกว่าหากคุณต้องการให้ผู้ใช้ของคุณสามารถแก้ไขระดับความเสี่ยงที่เกี่ยวข้องกับบัญชีของตนได้โดยการรีเซ็ตรหัสผ่านในองค์กร คุณจะต้องใช้งานการซิงโครไนซ์ข้อมูลระบุตัวตนด้วย Microsoft Entra Connect หรือ Microsoft Entra Cloud Sync นอกจากนี้ คุณยังต้องแน่ใจว่าคุณกำลังใช้การซิงโครไนซ์รหัสผ่านแฮชกับเครื่องมือซิงค์เวอร์ชันใดเวอร์ชันหนึ่ง
หากคุณใช้ Microsoft Entra Connect คุณสามารถใช้ PowerShell เพื่อตรวจสอบว่าคุณได้เปิดใช้งานการซิงโครไนซ์รหัสผ่านแฮชด้วยคำสั่งต่อไปนี้หรือไม่
Get-ADSyncAADCompanyFeatureมิฉะนั้น หากคุณใช้ Microsoft Entra Cloud Sync คุณสามารถตรวจสอบข้อมูลเดียวกันได้จาก Microsoft Entra Admin Center โดยทำตามขั้นตอนเหล่านี้:
1. เข้าสู่ระบบศูนย์การจัดการ Microsoft Entra
2. ขยาย ข้อมูลประจำตัว > การจัดการแบบไฮบริด และเลือก Microsoft Entra Connect
3. เลือก Cloud Sync > การกำหนดค่า และเลือกการกำหนดค่า Cloud Sync ของคุณ
4. บนแท็บ ภาพรวม ให้เลือก คุณสมบัติ จากที่นี่ คุณจะเห็นว่ามีการเปิดใช้หรือปิดใช้งานการซิงค์แฮชรหัสผ่าน
เปิดใช้งาน 'อนุญาตให้เปลี่ยนรหัสผ่านในสถานที่เพื่อรีเซ็ตความเสี่ยงของผู้ใช้' ใน Microsoft Entra
การตั้งค่า อนุญาตให้เปลี่ยนรหัสผ่านภายในองค์กรเพื่อรีเซ็ตความเสี่ยงของผู้ใช้ พบได้ในเบลดการป้องกันข้อมูลประจำตัวของศูนย์การจัดการ Microsoft Entra คุณสามารถเปิดหรือปล่อยทิ้งไว้จากที่นั่นได้ ทำตามขั้นตอนด้านล่างเพื่อเปิดใช้งานการตั้งค่า:
1. เข้าสู่ระบบ Microsoft Entra
2. ขยาย การป้องกัน และเลือก การป้องกันข้อมูลประจำตัว
3. ใต้หัวข้อ การตั้งค่า ให้เลือก การตั้งค่า
4. ทำเครื่องหมายในช่องเพื่อเปิดใช้งานการตั้งค่า
การใช้ไมโครซอฟกราฟ PowerShell
คุณยังสามารถเปิดใช้งานคุณสมบัตินี้ทางโปรแกรมได้โดยใช้ Microsoft Graph PowerShell หากคุณยังไม่ได้ติดตั้งโมดูล Microsoft Graph PowerShell โปรดดูบทช่วยสอนของฉัน: วิธีการติดตั้งโมดูล Microsoft Graph PowerShell
ขั้นแรก ให้เชื่อมต่อกับ Microsoft Graph ด้วยสิทธิ์ที่จำเป็น: policy.readwrite.identityprotection
Connect-MgGraph -scopes policy.readwrite.identityprotectionเนื่องจากยังไม่มี cmdlet เฉพาะสำหรับการเปลี่ยนแปลงนี้ เราจึงต้องใช้ cmdlet ที่รับทั้งหมด Inrigg-MgGraphRequest
$body = @'
{
"isUserRiskClearedOnPasswordReset": true
}
'@
$uri = 'https://graph.microsoft.com/beta/identityProtection/policy'
Invoke-MgGraphRequest -Uri $uri -Body $body -Method PATCH -ContentType "application/json" การรีเซ็ตรหัสผ่านภายในองค์กรเพื่อรีเซ็ตระดับความเสี่ยงของผู้ใช้
เมื่อเปิดใช้งานคุณสมบัตินี้และโทโพโลยีการซิงโครไนซ์ข้อมูลประจำตัวของคุณรองรับการซิงโครไนซ์แฮชรหัสผ่าน ผลลัพธ์จะค่อนข้างทันที
สำหรับการทดสอบนี้ ฉันมีผู้ใช้ชื่อ Adsync User 2 ฉันได้จำลองการลงชื่อเข้าใช้ที่มีความเสี่ยงสูงโดยการรายงานพร้อมท์ MFA ที่เป็นเท็จภายในแอป Microsoft Authenticator ไม่กี่นาทีต่อมา ผู้ใช้ก็ปรากฏตัวในบันทึกการลงชื่อเข้าใช้ที่มีความเสี่ยง
ไม่กี่นาทีหลังจากบันทึกการลงชื่อเข้าใช้ที่มีความเสี่ยงปรากฏขึ้น ฉันก็กลับไปที่เวิร์กสเตชันที่ผู้ใช้ลงชื่อเข้าใช้ในองค์กร และรีเซ็ตรหัสผ่านด้วย CTRL + ALT + Delete และรีเซ็ตรหัสผ่าน บันทึกนี้บนตัวควบคุมโดเมนภายในเครื่องแสดงให้เห็นว่ารหัสผ่านได้รับการปรับปรุงภายในองค์กร
สักครู่หลังจากอัปเดตรหัสผ่านและซิงโครไนซ์กับ Microsoft Entra ID บันทึกการลงชื่อเข้าใช้ที่มีความเสี่ยงสำหรับ Adsync User02 ก็เปลี่ยนเป็นสถานะแก้ไขแล้ว และ ผู้ใช้เปลี่ยนรหัสผ่านภายในองค์กร ปรากฏในรายละเอียดบันทึก .
