วิธีตั้งค่ารายงานความเสี่ยงของผู้ใช้ไปยังอีเมลใน Microsoft Entra

การประเมินความเสี่ยงของผู้ใช้ใน Microsoft Entra เป็นสิ่งที่ Microsoft จัดการอย่างชาญฉลาด ตัวอย่างเช่น หากผู้ใช้รายงานการแจ้งเตือนในแอป Microsoft Authenticator ว่าไม่ใช่ผู้ที่ร้องขอ ข้อมูลระบุตัวตนของผู้ใช้จะถูกทำเครื่องหมายเป็น มีความเสี่ยงสูงเป็น หากต้องการรับการแจ้งเตือน MFA จะต้องป้อนรหัสผ่านที่ถูกต้อง ในทางกลับกัน ชุดของการกระทำที่ไม่คาดคิดในบัญชีผู้ใช้อาจบ่งบอกถึงเจตนาร้าย ซึ่งจะส่งผลให้เกิดการประเมิน ความเสี่ยงต่ำ

คุณอาจต้องการทราบอย่างชัดเจนว่าเมื่อใดที่ผู้ใช้ในองค์กรของคุณถูกทำเครื่องหมายว่ามีความเสี่ยงปานกลางหรือสูง เพื่อให้คุณสามารถดำเนินการด้วยตนเองเพิ่มเติม นอกเหนือจากสิ่งที่สามารถทำได้ (หรือสิ่งที่คุณต้องการเป็น) บรรลุโดยอัตโนมัติ ในบทช่วยสอนนี้ ฉันจะแสดงวิธีกำหนดค่ารายงานความเสี่ยงของผู้ใช้ใน Microsoft Entra โดยใช้พอร์ทัลผู้ดูแลระบบและการใช้ Microsoft Graph PowerShell

การแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้ใน Microsoft Entra คืออะไร

รายงานความเสี่ยงของผู้ใช้เป็นอีเมลแจ้งเตือนง่ายๆ ที่คุณสามารถกำหนดค่าให้ส่งไปยังที่อยู่เฉพาะเมื่อระดับความเสี่ยงของผู้ใช้ถึงเกณฑ์ที่กำหนด โดยเกณฑ์จะเป็นอย่างใดอย่างหนึ่ง ความเสี่ยงต่ำ ความเสี่ยงปานกลาง หรือความเสี่ยงสูง

รายงานนี้ค่อนข้างพื้นฐาน โดยจะแสดงว่ามาจาก [email โดยมีหัวเรื่อง ตรวจพบผู้ใช้ที่มีความเสี่ยง ไม่มีการระบุข้อมูลโดยละเอียดในรายงาน นอกเหนือจากข้อความที่ตรงกันทุกประการต่อไปนี้:

“เราตรวจพบผู้ใช้ใหม่ที่มีความเสี่ยงอย่างน้อย ปานกลาง ในไดเร็กทอรี TenantName ของคุณ อาจเป็นเพราะเราสังเกตเห็นกิจกรรมบัญชีที่น่าสงสัยหรือเราพบอีเมลและรหัสผ่านของพวกเขาโพสต์ในที่สาธารณะ”

นี่คือตัวอย่างอีเมลการตรวจจับความเสี่ยงของผู้ใช้:

อย่างที่คุณเห็น อีเมลนี้ค่อนข้างกว้าง และลิงก์ ดูรายงานโดยละเอียด จะนำคุณไปที่ ใบมีดผู้ใช้ที่มีความเสี่ยง ในศูนย์การจัดการ Microsoft Entra

เหตุใดจึงเปิดใช้งานการแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้

อีเมลแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้เป็นวิธีที่ดีเยี่ยมสำหรับผู้ดูแลระบบและทีมรักษาความปลอดภัยในการติดตามภัยคุกคามที่ยังดำเนินอยู่ต่อผู้ใช้ในองค์กรของตน

นอกจากนี้ เหตุผลในทางปฏิบัติอีกประการหนึ่งในการใช้การแจ้งเตือนทางอีเมลเหล่านี้ก็คือ Microsoft กำลังปรับปรุงการควบคุมความปลอดภัยเริ่มต้นตลอดไป เพื่อช่วยป้องกันวิธีการโจมตีทั่วไปต่อผู้ใช้ เช่น การโจมตีทางวิศวกรรมสังคมต่างๆ หรือการโจมตีเมื่อยล้า

ตัวอย่างเช่น ผู้ใช้ที่กำหนดค่าแอป Microsoft Authenticator หรือใช้การลงชื่อเข้าใช้ทางโทรศัพท์เป็นวิธีการตรวจสอบสิทธิ์แบบหลายปัจจัยหลัก ยังคงเสี่ยงต่อการโจมตีทางวิศวกรรมสังคมที่ออกแบบมาเพื่อหลอกให้พวกเขาอนุมัติความท้าทายในการตรวจสอบสิทธิ์แบบหลายปัจจัยที่เป็นอันตราย

ในปัจจุบัน ลักษณะการทำงานเริ่มต้นสำหรับความท้าทายในการตรวจสอบสิทธิ์แบบหลายปัจจัยที่มาจากแหล่งที่ไม่รู้จัก (ที่อยู่ IP) คือจะถูกระงับบนอุปกรณ์ของผู้ใช้ ทำให้ผู้ใช้ต้องเปิดแอปตรวจสอบสิทธิ์ด้วยตนเองเพื่ออนุมัติคำขอ แม้ว่านี่จะไม่ใช่ปัญหาสำคัญ แต่หากผู้ใช้พยายามเข้าสู่ระบบ พวกเขาก็คาดหวังว่าจะต้องเปิดแอปอยู่แล้ว นั่นหมายความว่าผู้โจมตีมีรหัสผ่านของผู้ใช้ ในขณะที่การระงับการแจ้งเตือนจะช่วยลดโอกาสที่การละเมิดครั้งแรกนี้จะเกิดขึ้น รายงานต่อฝ่ายไอทีอย่างแข็งขัน

รายงานการแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้ช่วยแก้ไขปัญหานี้โดยแจ้งเตือนฝ่ายไอทีถึงการละเมิดที่ต้องสงสัย ช่วยให้พวกเขาสามารถตรวจสอบและแทรกแซงด้วยตนเองได้ทันที

วิธีเปิดใช้งานการแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้ใน Microsoft Entra

วิธีที่ง่ายที่สุดในการเปิดใช้งานการแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้คือการใช้ศูนย์การจัดการ Microsoft Entra ทำตามขั้นตอนด้านล่างเพื่อเปิดใช้งานและกำหนดค่าคุณสมบัตินี้:

1. เข้าสู่ระบบ Microsoft Entra

2. ขยาย การป้องกัน และเลือก การป้องกันข้อมูลประจำตัว > การแจ้งเตือนผู้ใช้ที่มีความเสี่ยงที่ตรวจพบ

3. คุณจะเห็นรายชื่อผู้ใช้ที่ได้รับสิทธิ์ซึ่งสามารถเปิดหรือปิดใช้งานได้ คุณยังมีตัวเลือกในการเพิ่มที่อยู่อีเมลที่กำหนดเองลงในรายชื่อผู้รับอีกด้วย เลือกที่อยู่ปลายทางที่คุณต้องการและกำหนดค่าระดับความเสี่ยงของผู้ใช้ (ฉันแนะนำให้ตั้งค่านี้เป็นสื่อ) แล้วคลิก บันทึก

เปิดใช้งานการแจ้งเตือนการตรวจจับความเสี่ยงของผู้ใช้โดยใช้ Microsoft Graph PowerShell

หากคุณต้องการเปิดใช้งานการแจ้งเตือนความเสี่ยงของผู้ใช้โดยใช้ Microsoft Graph PowerShell ให้ใช้โค้ดต่อไปนี้ซึ่งใช้ประโยชน์จาก Intake-MgGraphRequest cmdlet:

ดูบทแนะนำทั้งหมดของฉันเกี่ยวกับ Invivo-MgGraphRequest cmdlet อันทรงพลัง: https://ourcloudnetwork.com/how-to-use-inrigg-mggraphrequest-with-powershell/

เมื่อคุณคัดลอกโค้ดด้านล่าง ตรวจสอบให้แน่ใจว่าคุณได้แก้ไขฟิลด์ต่อไปนี้ตามความต้องการของคุณเอง:

• “minRiskLevel”: “ต่ำ/ปานกลาง/สูง”
• “อีเมล”: “ปลายทาง-ที่อยู่อีเมล”

Connect-MgGraph -Scopes IdentityRiskEvent.ReadWrite.All

$uri = "https://graph.microsoft.com/beta/identityProtection/settings/notifications"

$body = @'
{
  "minRiskLevel": "low/medium/high",
  "isWeeklyDigestEnabled": true,
  "additionalRecipients": [
    {
      "email": "destination-email-address",
      "isRiskyUsersAlertsRecipient": true
    }
  ]
}
'@

Invoke-MgGraphRequest -uri $uri -body $body -method PATCH -ContentType "application/json"

ตรวจสอบให้แน่ใจว่าคุณใช้สิทธิ์ IdentityRiskEvent.ReadWrite.All เมื่อใช้วิธีการ PATCH บน “https://graph.microsoft.com/beta/identityProtection/settings/ การแจ้งเตือน” ปลายทาง ตำแหน่งข้อมูลนี้ไม่ส่งคืนสิทธิ์ใดๆ ผ่านเครื่องมือ Microsoft Graph Explorer หรือขณะใช้ Find-MgGraphCommand ซึ่งมีประโยชน์ในการจดจำ