Översikt över Microsoft Defender för Key Vault

Azure Key Vault är en molntjänst som skyddar krypteringsnycklar och hemligheter som certifikat, niska veze och lösenord.

Aktivera Microsoft Defender för Key Vault för Azure-inbyggt, avancerat skydd mot hot för Azure Key Vault, vilket ger ytterligare ett lager med säkerhetsinformation.

Tillgänglighet

Aspekt	Details
Versionstillstånd:	Allmän tillgänglighet (GA)
Prissättning:	Microsoft Defender för Key Vault faktureras enligt prissidan
Moln:	Kommersiella moln National (Azure Government, Microsoft Azure drivs av 21Vianet)

Vilka är fördelarna med Microsoft Defender för Key Vault?

Microsoft Defender för Key Vault identifierar ovanliga och potentiellt skadliga försök att komma åt eller utnyttja Key Vault-konton. Det här skyddsskiktet hjälper dig att hantera hot även om du inte är säkerhetsexpert och utan att behöva hantera säkerhetsövervakningssystem från tredje part.

När avvikande aktiviteter inträffar visar Defender för Key Vault aviseringar och skickar dem eventuellt via e-post till relevanta medlemmar i organisationen. Dessa aviseringar innehåller information om misstänkt aktivitet och rekommendationer om hur du undersöker och åtgärdar hot.

Microsoft Defender för Key Vault-aviseringar

När du får en avisering från Microsoft Defender för Key Vault rekommenderar vi att du undersöker och svarar på aviseringen enligt beskrivningen i Svara på Microsoft Defender för Key Vault. Microsoft Defender för Key Vault skyddar program och autentiseringsuppgifter, så även om du är bekant med programmet eller användaren som utlöste aviseringen är det viktigt att kontrollera situationen kring varje avisering.

Aviseringarna visas på key vault-sidan Säkerhet , sidan Arbetsbelastningsskydd och Defender för molnets säkerhetsaviseringar.

Svara på Aviseringar om Microsoft Defender för Key Vault

När du får en avisering från Microsoft Defender för Key Vault rekommenderar vi att du undersöker och svarar på aviseringen enligt beskrivningen nedan. Microsoft Defender för Key Vault skyddar program och autentiseringsuppgifter, så även om du är van vid det program eller den användare som utlöste aviseringen är det viktigt att kontrollera situationen som omger varje avisering.

Aviseringar från Microsoft Defender för Key Vault innehåller följande element:

• Objekt-ID
• Användarens huvudnamn eller IP-adress för den misstänkta resursen

Beroende på vilken typ av åtkomst som inträffade kanske vissa fält inte är tillgängliga. Om ditt nyckelvalv till exempel har öppnats av ett program ser du inte ett associerat User Principal Name. Om trafiken kommer från en plats utanför Azure visas inget objekt-ID.

Steg 1: Identifiera källan

1. Kontrollera om trafiken kommer från din Azure-klientorganisation. Om nyckelvalvsbrandväggen är aktiverad är det troligt att du har gett åtkomst till den användare eller det program som utlöste aviseringen.
2. Om du inte kan verifiera trafikkällan fortsätter du till steg 2. Svara därefter.
3. Om du kan identifiera källan till trafiken i klientorganisationen kontaktar du programmets användare eller ägare.

Steg 2: Svara därefter

Om du inte känner igen användaren eller programmet eller om du anser att åtkomsten inte borde ha auktoriserats:

• Om trafiken kom från en okänd IP-adress:

  1. Aktivera Azure Key Vault-brandväggen enligt beskrivningen i Konfigurera Azure Key Vault-brandväggar och virtuella nätverk.
  2. Konfigurera brandväggen med betrodda resurser och virtuella nätverk.

• Om källan till aviseringen var ett otillåtet program eller misstänkt användare:

  1. Öppna nyckelvalvets inställningar för åtkomstprincip.
  2. Ta bort motsvarande säkerhetsobjekt eller begränsa de åtgärder som säkerhetsobjektet kan utföra.

• Om källan till aviseringen har en Microsoft Entra-roll i din klientorganisation:

  1. Kontakta administratören.
  2. Ta reda på om det finns ett behov av att minska eller återkalla Microsoft Entra-behörigheter.

Steg 3: Mäta effekten

När händelsen har åtgärdats undersöker du hemligheterna i ditt nyckelvalv som påverkades:

1. Öppna sidan Säkerhet i ditt Azure-nyckelvalv och visa den utlösta aviseringen.
2. Välj den specifika avisering som utlöstes och granska listan över de hemligheter som användes och tidsstämpeln.
3. Om du har aktiverat diagnostikloggar för nyckelvalvet kan du granska de tidigare åtgärderna för motsvarande anropar-IP, användarens huvudnamn eller objekt-ID.

Steg 4: Vidta åtgärder

När du har kompilerat listan över hemligheter, nycklar och certifikat som har använts av den misstänkta användaren eller programmet bör du rotera objekten omedelbart.

1. Berörda hemligheter ska inaktiveras eller tas bort från ditt nyckelvalv.
2. Om autentiseringsuppgifterna användes för ett specifikt program:
   1. Kontakta programmets administratör och be dem att granska miljön för all användning av de komprometterade autentiseringsuppgifterna eftersom de har komprometterats.
   2. Om de komprometterade autentiseringsuppgifterna användes bör programägaren identifiera den information som användes och minimera effekten.

Nästa steg

I den här artikeln har du lärt dig om Microsoft Defender för Key Vault.

För relaterat material, se följande artiklar:

• Key Vault-säkerhetsaviseringar – Avsnittet Key Vault i referenstabellen för alla Microsoft Defender för molnaviseringar
• Exportera kontinuerligt Defender for Cloud-data
• Ignorera säkerhetsaviseringar