entra-id-protection

Microsoft Entra ID Protection

Microsoft Entra ID Protection 利用 Microsoft 的威胁情报和机器学习检测身份风险（用户风险和登录风险）、自动执行修复，并提供一个包含高风险用户和登录的队列供调查。启用风险策略需要 Entra ID P2。

适用场景

在 Entra ID 和 Conditional Access 的基础上增加基于风险的自适应保护。使用此技能选择风险阈值、决定采用自助修复还是由 SOC 调查，并将信号发送到 Sentinel。

请勿将此技能用于本地 AD 攻击检测（defender-for-identity）、编写常规 CA 策略（conditional-access-mfa）或 PIM 激活（azure-pim）。

将风险信号映射到响应措施

风险类型	示例	建议的响应措施
登录风险（此请求）	匿名 IP、异常旅行、与恶意软件相关联的 IP、不熟悉的登录属性	基于风险的 CA → 要求 MFA
用户风险（此身份）	凭据泄露（TI 源）、Microsoft / 合作伙伴报告的账号失陷	基于风险的 CA → 要求安全的密码更改
同一用户的两种风险均为中等及以上	活跃会话被接管的迹象	阻止 + 强制安全的密码更改 + 分析人员审查

**经验法则：**先将风险策略设为 High 阈值，运行 30 天，然后在用户注册和修复流程经验证可用后扩展到 Medium。未启用 SSPR + MFA 注册就从 Medium 开始，会导致账号被锁定。

方法

1. 确认先决条件 — Entra ID P2 许可证；目标用户范围已强制启用 MFA + SSPR 注册（在 Authentication methods 中配置注册策略）。 验证：Authentication methods activity 报告显示，范围内至少有 95% 的用户已注册至少一种强验证方法。

2. 使用基于风险的 Conditional Access，而非旧版内置风险策略 — 编写包含 Sign-in risk 和 User risk 条件的 CA 策略。旧版“User risk policy” / “Sign-in risk policy”开关已弃用，现由 CA 取代。 验证：未启用任何旧版风险策略；CA What-If 结果中会显示风险条件。

3. 第 1 级 - 仅高风险 — 首批策略：高登录风险 → 要求 MFA；高用户风险 → 要求安全的密码更改。从所有风险策略中排除紧急访问账号。 验证：以仅报告模式运行 14 天，确认每 1,000 次登录中误报少于 5 次后再强制执行。

4. 第 2 级 - 扩展到中风险 — 第 1 级指标连续 30 天正常后，将中等登录风险扩展为要求 MFA。除非设有分析人员审查队列，否则不要将用户风险策略扩展到 Medium。

5. 调查队列 — 每天对 Risky users、Risky sign-ins、Risk detections 进行分类处理。确认账号失陷（这会强制执行修复并训练模型），或驳回误报。未经审查，切勿批量驳回——驳回操作会向模型传递错误信号。 验证：健康租户中，每周高风险用户队列应少于月活跃用户的 1%。

6. 发送到 Sentinel — 在诊断设置中将 RiskyUsers、UserRiskEvents、RiskyServicePrincipals 发送到 Log Analytics 工作区。在 Defender XDR 事件中与 MDI 和 MDE 进行关联分析。

防护措施

• **从所有风险策略中排除紧急访问账号。**如果在错误的账号上检测到凭据泄露，可能会导致你无法访问租户。
• **先完成 MFA + SSPR 注册。**只有用户能够完成自助修复时，这种方式才有效。未完成注册会导致风险策略造成账号锁定。
• **从 High 开始，再扩展到 Medium。**未经调优的 Medium 阈值会产生噪声并增加用户操作负担。
• **不要批量驳回误报。**驳回 =“这是安全的”，会对模型产生训练作用。请有意使用“确认为安全”/“确认为账号失陷”，不要将其当作清理队列的工具。
• **工作负载身份风险需要单独处理。**服务主体有各自的风险检测——应通过并行策略覆盖它们。

常见反模式

• “使用旧版用户风险 / 登录风险策略开关” —— 已弃用。请使用 CA 风险条件，它支持更广泛的控制和排除项。
• “第一天就将所有用户的风险策略设为中等” —— 可能导致账号锁定。请先以高风险级别试点。
• “每周批量关闭风险用户队列以清除噪声” —— 这会错误地训练检测器，并降低未来的准确性。
• “风险事件保留在 Entra 门户中” —— 无法与 SOC 关联。请将事件流式传输到 Sentinel 和 Defender XDR。

示例提示词

• 在 Entra ID Protection 中为登录风险和用户风险配置基于风险的 Conditional Access。
• 设置自助修复 - 为登录风险启用 MFA，为用户风险启用安全密码更改。
• 调查被标记为有风险的用户，确认账号是否遭到入侵，或安全地将其排除。
• 将 Entra ID Protection 风险事件流式传输到 Sentinel，以便与 SOC 关联。
• 为什么我们会收到太多中等风险警报——该如何调整？

Microsoft Learn

• 概述：https://learn.microsoft.com/entra/id-protection/overview-identity-protection
• 风险策略（弃用说明）：https://learn.microsoft.com/entra/id-protection/concept-identity-protection-policies
• 基于风险的 Conditional Access：https://learn.microsoft.com/entra/id-protection/howto-identity-protection-configure-risk-policies
• 调查风险：https://learn.microsoft.com/entra/id-protection/howto-identity-protection-investigate-risk
• 风险检测参考：https://learn.microsoft.com/entra/id-protection/concept-identity-protection-risks
• 流式传输到 Sentinel：https://learn.microsoft.com/entra/id-protection/howto-export-risk-data