Microsoft Entra-säkerhetsåtgärder för konsumentkonton

Konsumentidentitetsaktiviteter är ett viktigt område för din organisation att skydda och övervaka. Den här artikeln gäller för Azure Active Directory B2C-klientorganisationer (Azure AD B2C) och har vägledning för övervakning av konsumentkontoaktiviteter. Aktiviteterna är:

• Konsumentkonto
• Privilegierat konto
• Tillämpning
• Infrastruktur

Innan du börjar

Innan du använder vägledningen i den här artikeln rekommenderar vi att du läser säkerhetsåtgärdsguiden för Microsoft Entra.

Definiera en baslinje

Definiera normalt och förväntat beteende för att identifiera avvikande beteende. Genom att definiera förväntat beteende för din organisation kan du identifiera oväntat beteende. Använd definitionen för att minska falska positiva identifieringar under övervakning och aviseringar.

När det förväntade beteendet har definierats utför du baslinjeövervakning för att verifiera förväntningarna. Övervaka sedan loggar för vad som ligger utanför toleransen.

För konton som skapats utanför normala processer använder du Microsoft Entra-granskningsloggar, Microsoft Entra-inloggningsloggar och katalogattribut som datakällor. Följande förslag kan hjälpa dig att definiera det normala.

Skapa konsumentkonto

Utvärdera följande lista:

• Strategi och principer för verktyg och processer för att skapa och hantera konsumentkonton
  • Till exempel standardattribut och format som tillämpas på konsumentkontoattribut
• Godkända källor för kontoskapande.
  • Till exempel registrering av anpassade principer, kundetablering eller migreringsverktyg
• Aviseringsstrategi för konton som skapats utanför godkända källor.
  • Skapa en kontrollerad lista över organisationer som din organisation samarbetar med
• Strategi- och aviseringsparametrar för konton som skapats, ändrats eller inaktiverats av en administratör för ett konsumentkonto som inte har godkänts
• Övervaknings- och aviseringsstrategi för konsumentkonton som saknar standardattribut, till exempel kundnummer eller inte följer organisationens namngivningskonventioner
• Strategi, principer och process för kontoborttagning och kvarhållning

Var du ska titta

Använd loggfiler för att undersöka och övervaka. Mer information finns i följande artiklar:

• Granskningsloggar i Microsoft Entra-ID
• Inloggningsloggar i Microsoft Entra-ID (förhandsversion)
• Anvisningar: Undersöka risker

Granskningsloggar och automatiseringsverktyg

Från Azure Portal kan du visa Microsoft Entra-granskningsloggar och ladda ned som kommaavgränsade värdefiler (CSV) eller JSON-filer (JavaScript Object Notation). Använd Azure Portal för att integrera Microsoft Entra-loggar med andra verktyg för att automatisera övervakning och aviseringar:

• Microsoft Sentinel – säkerhetsanalys med funktioner för säkerhetsinformation och händelsehantering (SIEM)
  • Vad är Microsoft Sentinel?
• Sigma-regler – en öppen standard för att skriva regler och mallar som automatiserade hanteringsverktyg kan använda för att parsa loggfiler. Om det finns Sigma-mallar för våra rekommenderade sökvillkor har vi lagt till en länk till Sigma-lagringsplatsen. Microsoft skriver, testar eller hanterar inte Sigma-mallar. Lagringsplatsen och mallarna skapas och samlas in av IT-säkerhetscommunityn.
  • SigmaHR/sigma
• Azure Monitor – automatiserad övervakning och avisering av olika villkor. Skapa eller använda arbetsböcker för att kombinera data från olika källor.
  • Översikt över Azure Monitor
• Azure Event Hubs integrerat med en SIEM – integrera Microsoft Entra-loggar med SIEM:er som Splunk, ArcSight, QRadar och Sumo Logic med Azure Event Hubs
  • Azure Event Hubs –En stordataströmningsplattform och händelseinmatningstjänst
  • Självstudie: Strömma Microsoft Entra-loggar till en Azure-händelsehubb
• Microsoft Defender för molnet Apps – identifiera och hantera appar, styra mellan appar och resurser och följa molnappens efterlevnad
  • översikt över Microsoft Defender för molnet Apps
• Microsoft Entra ID Protection – identifiera risker för arbetsbelastningsidentiteter för inloggningsbeteende och offlineindikatorer för kompromisser
  • Skydda arbetsbelastningsidentiteter med ID Protection

Använd resten av artikeln för att få rekommendationer om vad som ska övervakas och aviseras. Se tabellerna, ordnade efter hottyp. Se länkar till färdiga lösningar eller exempel som följer tabellen. Skapa aviseringar med hjälp av de tidigare nämnda verktygen.

Konsumentkonton

Privilegierade konton

Program

Infrastruktur

Nästa steg

Mer information finns i följande artiklar om säkerhetsåtgärder:

• Guide för Microsoft Entra-säkerhetsåtgärder
• Microsoft Entra-säkerhetsåtgärder för användarkonton
• Säkerhetsåtgärder för privilegierade konton i Microsoft Entra-ID
• Microsoft Entra-säkerhetsåtgärder för Privileged Identity Management
• Microsoft Entra-säkerhetsåtgärdsguide för program
• Microsoft Entra-säkerhetsåtgärder för enheter
• Säkerhetsåtgärder för infrastruktur