mcpField
D
defender-for-cloud-apps

defender-for-cloud-apps

github.com/vinayaklatthe安全17877 次安装19 周前更新
代码仓库

关于 defender-for-cloud-apps

Microsoft Defender for Cloud Apps 是面向 SaaS 应用安全管理的技能，适用于负责云应用治理与威胁检测的团队。它涵盖影子 IT 发现、OAuth 应用管理、会话控制和 SaaS 安全态势管理。

主要功能

  1. 01发现并评估影子 IT 应用
  2. 02治理连接到 Microsoft 365 的 OAuth 应用
  3. 03控制浏览器会话中的文件操作
  4. 04检测异常用户活动
  5. 05管理已连接 SaaS 的安全态势

适用场景

  1. 01识别并处理未经批准的云应用
  2. 02评估并限制高风险 OAuth 应用
  3. 03阻止非托管设备下载文件
  4. 04调查并遏制受损的 SaaS 账户

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill defender-for-cloud-apps

安装后在 Claude Code 中输入/defender-for-cloud-apps确认已加载。

详细介绍

Microsoft Defender for Cloud Apps

Microsoft Defender for Cloud Apps（MDA）是一种云访问安全代理（CASB）和 SaaS 安全解决方案，可提供云应用使用情况的可见性、对连接 OAuth 的应用进行治理、通过条件访问应用控制实现实时会话控制，以及检测连接的 SaaS 服务中的威胁。

适用场景

发现影子 IT、治理连接到 Microsoft 365 的 OAuth 应用、应用会话内控制，以及管理 SaaS 安全态势（SSPM）。如果问题涉及应用程序（SaaS 或第三方应用），而不是 IaaS 或终端，请使用此技能。

以下情况请勿使用此技能：IaaS / PaaS 安全态势（defender-for-cloud-hardening）、EDR（defender-for-endpoint）或 DLP 策略编写（purview-dlp-policy）。

选择 MDA 功能

目标功能备注
查找正在使用的未授权云应用通过 MDE 集成实现的云发现无需代理；使用 MDE 遥测数据
获取已授权 SaaS 的活动 / 文件可见性应用连接器（基于 API）M365、Salesforce、ServiceNow、Workday
治理连接到 Microsoft 365 的 OAuth 应用应用治理附加组件风险评分 + 自动化策略
在浏览器会话中阻止文件下载条件访问应用控制（会话）反向代理；与 CA 集成
检测异常用户活动（不可能的旅行、批量下载）异常检测策略类似 UEBA
连接的 SaaS 的安全态势（配置漂移）SaaS 安全态势管理（SSPM）按应用提供建议
调查 / 遏制遭入侵的 SaaS 帐户治理操作暂停、强制重新进行身份验证、撤销 OAuth

**经验法则：**先通过 MDE 使用云发现（E5 中免费）查找影子 IT，并使用应用治理处理 OAuth 风险——这两项可覆盖 80% 的 SaaS 攻击面。通过 CAAC 实现的会话控制功能强大，但反向代理会增加运维工作；建议先小范围试点。

方法

  1. 通过 MDE 启用云发现 — 集成 → Microsoft Defender for Endpoint → 开启。 无需代理，也无需上传日志；发现会根据受管理终端上的 MDE 遥测数据自动进行。 验证：24-48 小时内，发现仪表板开始显示数据；可查看应用目录评分。

  2. 对云应用目录进行分类处理 — 按风险评分和用户数量排序。将已批准的应用标记为授权；将有风险 / 未使用的应用标记为未授权（随后 MDE 会在受管理终端上阻止这些应用）。 验证：每周审核前 10 个用户数量多且风险高的应用。

  3. 通过应用连接器连接已授权的 SaaS — 通过 API 连接器连接 Microsoft 365、Salesforce、ServiceNow、Workday、GitHub Enterprise。提供活动日志、文件清单以及管理员 / 用户帐户治理功能。

  4. 开启应用治理以应对 OAuth 风险 — Microsoft Graph 权限决定 SaaS 的影响范围。应用治理会根据风险和权限级别对第三方 OAuth 应用评分。自动策略：阻止请求超过 X 个高权限权限或发布者未经验证的应用。 验证：应用治理中会显示风险分布；高风险应用均已获批或被阻止，不会长期搁置。

  5. 条件访问应用控制 — 试点会话策略 — 通过反向代理控制访问云应用的浏览器会话。使用场景：阻止非托管设备下载、强制为上传的文档添加标签、监控复制 / 粘贴。 验证：来自非托管设备的会话会显示水印 / 下载阻止；来自合规设备的会话不会受到影响。

  6. 异常检测 + 警报调优 — 使用默认策略（不可能的旅行、批量下载、多次登录失败、勒索软件活动）。调整阈值；将警报流式传输到 Defender XDR，以统一查看事件。

  7. 投入运营 — 将 MDA 警报流式传输到 XDR / Sentinel。为排名前 5 的警报类型定义行动手册（不可能的旅行、批量下载、已授予 OAuth 同意、文件对外共享、来自异常位置的管理员活动）。

防护措施

  • Cloud Discovery 数据可能包含用户活动信息——请根据隐私要求设置匿名化。 欧盟的职工委员会可能要求在发现视图中对用户进行匿名化。
  • 试点会话策略；反向代理会话控制可能影响应用行为。 某些 SaaS 应用功能在反向代理下会失效。请针对每个应用进行全面测试。
  • 优先治理拥有广泛 Microsoft Graph 权限的应用。 第三方应用拥有 Mail.Read + Files.Read.All 权限，一旦首次遭到入侵，就存在数据外泄风险。在授予同意或自动阻止之前，请先进行审核。
  • 应用的许可状态很重要。 取消许可会通过 MDE 进行阻止——更改高用户量应用的状态之前，请确认影响。
  • 对于大多数权限，应仅允许管理员授予 OAuth 同意。 用户同意高权限范围，是先通过网络钓鱼再获取同意的途径。
  • MDA 不是 DLP。 内容感知策略应使用 Purview DLP；MDA 用于处理上下文（会话、应用、设备）。

常见反模式

  • “发现应用，却从不授予许可” —— 只有可见性，没有采取行动。按风险排序并作出决定。
  • “自动阻止所有新发现的应用” —— 引发用户不满；合法应用也会被阻止。先审核，再授予或取消许可。
  • “以后再治理 OAuth——这只是应用权限” —— 首个遭到入侵且拥有 Mail.Read 权限的 OAuth 应用就可能导致大规模数据外泄。从第一天起就开始治理。
  • “为每个应用都设置会话策略” —— 先试点一个应用，再谨慎扩大范围。
  • “忽略隐私／职工委员会方面的问题” —— 部署过程中可能被人力资源部门或法务部门叫停。首先要问的是是否需要匿名化。
  • “MDA 警报未接入 XDR / Sentinel” —— 分析人员会漏掉这些警报。默认启用流式传输。

提示词示例

  • 通过与 Defender for Endpoint 集成来发现影子 IT，并为云应用授予或取消许可。
  • 为非托管设备设置 Conditional Access App Control 会话策略。
  • 使用应用治理评估 OAuth 应用风险，并阻止高风险同意。
  • 通过应用连接器连接 Microsoft 365 和 Salesforce，以全面查看活动。
  • 调整不可能旅行和大规模下载异常策略。
  • 将 MDA 警报流式传输到 Defender XDR，以便统一调查。

Microsoft Learn

评论

支持 Markdown