Microsoft Entra ID 中適用於具特殊權限帳戶的安全性作業

商務資產的安全性取決於管理您 IT 系統的特殊權限帳戶完整性。 網路攻擊者會使用認證竊取攻擊，並使用瞄準具特殊權限帳戶的其他方法來存取敏感性資料。

傳統上，組織安全性著重於以網路的進入點和離開點作為安全界限。 不過，在網際網路上軟體即服務 (SaaS) 應用程式和個人裝置，使得這種方法的效率較低。

Microsoft Entra ID 會使用身分識別和存取權管理 (IAM) 作為控制平面。 在您組織的身分識別層中，指派給具特殊權限系統管理角色的使用者會受到控制。 無論環境是在內部部署、雲端或混合式環境中，都必須保護用於存取的帳戶。

您完全負責內部部署 IT 環境中所有層級的安全性。 當您使用 Azure 服務時，身為雲端服務提供者的 Microsoft 和身為客戶的您需共同負責預防和應變。

• 如需共用責任模型的詳細資訊，請參閱 在雲端中的共同責任。
• 如需有關保護具特殊權限使用者存取權的詳細資訊，請參閱在 Microsoft Entra ID 中保護混合式和雲端部署的具特殊權限存取。
• 如需具特殊權限身分識別的各種影片、操作指南和重要概念內容，請參閱 Privileged Identity Management 文件。

要監視的記錄檔

以下為您可用來調查和監視的記錄檔：

• Microsoft Entra 稽核記錄

• Microsoft 365 稽核記錄

• Azure Key Vault 深入解析

從 Azure 入口網站，您可以檢視 Microsoft Entra 稽核記錄，並下載為逗點分隔值 (CSV) 或 JavaScript 物件標記法 (JSON) 檔案。 Azure 入口網站有數種方式可將 Microsoft Entra 記錄與其他工具整合，以讓監視和警示的自動化程度變得更高：

• Microsoft Sentinel (部分機器翻譯)。 提供安全性資訊與事件管理 (SIEM) 功能，以在企業層級啟用智慧型安全性分析。

• Sigma 規則 (英文) - Sigma 是撰寫規則和範本的開放式標準，自動化管理工具可使用這些規則與範本來剖析記錄檔。 對於建議搜尋準則存在 Sigma 範本的情況，我們已新增 Sigma 存放庫的連結。 Sigma 範本並非由 Microsoft 所撰寫、測試及管理。 而是由全球 IT 安全性社群建立及收集存放庫和範本。

• Azure 監視器。 能夠自動監視和警示各種狀況。 可以建立或使用活頁簿以合併來自不同來源的資料。

• Azure 事件中樞 (部分機器翻譯) 與 SIEM 整合。 允許透過 Azure 事件中樞整合將 Microsoft Entra 記錄推送至其他 SIEM，例如 Splunk、ArcSight、QRadar 和 Sumo Logic。 如需詳細資訊，請參閱將 Microsoft Entra 記錄串流到 Azure 事件中樞 (部分機器翻譯)。

• Microsoft Defender for Cloud Apps (部分機器翻譯)。 可讓您探索和管理應用程式、跨應用程式和資源進行控管，以及檢查雲端應用程式的合規性。

• Microsoft Graph。 可讓您匯出資料，並使用 Microsoft Graph 來執行更多分析。 如需詳細資訊，請參閱 Microsoft Graph PowerShell SDK 和 Microsoft Entra ID Protection。

• Microsoft Entra ID 保護。 產生三個可用來協助您調查的重要報告：

  • 具風險的使用者。 包含有風險的使用者、偵測的詳細資料、所有具風險登入的歷程記錄，以及風險歷程記錄的相關資訊。

  • 風險性登入。包含可能指出可疑情況之登入的相關資訊。 如需調查此報告資訊的詳細資訊，請參閱調查風險。

  • 風險偵測。 包含偵測到風險時觸發的其他風險資訊，以及其他相關資訊，例如登入位置，以及 Microsoft Defender for Cloud Apps 的任何詳細資料。

• 使用 Microsoft Entra ID Protection 保護工作負載身分識別。 用於偵測跨登入行為的工作負載身分識別和離線入侵指標的風險。

雖然我們不鼓勵這種做法，但是具特殊權限的帳戶可能具有常設的系統管理權限。 如果您選擇使用「常設」權限，而且該帳戶遭到入侵，則可能會有強烈的負面影響。 建議您設定監視具特殊權限帳戶的優先順序，並在 Privileged Identity Management (PIM) 設定中包含這些帳戶。 如需 PIM 的詳細資訊，請參閱開始使用 Privileged Identity Management。 此外，我們建議您驗證系統管理員帳戶：

• 是必要的。
• 具有執行要求活動的最低權限。
• 至少使用多重要素驗證受到保護。
• 從具特殊權限的存取工作站 (PAW) 或安全管理員工作站 (SAW) 裝置執行。

本文的其餘部分將說明我們建議您監視及警示的內容。 本文是依威脅類型進行編排。 如果有特定的預建解決方案，我們會在資料表之後連結到那些解決方案。 否則，您可以使用上述工具來建置警示。

本文將詳細說明如何設定基準，以及稽核具特殊權限帳戶的登入和使用情況。 其也會討論您可以用來協助維護具特殊權限帳戶完整性的工具和資源。 內容會分成下列主題：

• 緊急的「緊急安全窗口」帳戶
• 具特殊權限的帳戶登入
• 具特殊權限的帳戶變更
• 具特殊權限的群組
• 權限指派和提高權限

緊急存取帳戶

請務必避免不小心被鎖定在 Microsoft Entra 租用戶之外。

Microsoft 建議組織擁有兩個僅限雲端的緊急存取帳戶永久指派全域管理員 (部分機器翻譯) 角色。 這些帳戶具有高度特殊權限，不會指派給特定個人。 這些帳戶僅限於無法使用一般帳戶或所有其他系統管理員被意外鎖在系統外部的緊急或「急用」案例。這些帳戶應遵循緊急存取帳戶建議 (部分機器翻譯) 來建立。

每次使用緊急存取帳戶時，傳送高優先順序的警示。

探索

由於只有在發生緊急狀況時才會使用緊急安全窗口帳戶，因此您的監視不應該探索任何帳戶活動。 每次使用或變更緊急存取帳戶時，傳送高優先順序的警示。 下列任何一個事件可能表示不良執行者正在嘗試危害您的環境：

• 登入。
• 帳戶密碼變更。
• 帳戶權限或角色已變更。
• 新增或變更了認證或驗證方法。

如需管理緊急存取帳戶的詳細資訊，請參閱在 Microsoft Entra ID 中管理緊急存取管理員帳戶 (部分機器翻譯)。 如需建立緊急帳戶警示的詳細資訊，請參閱建立警示規則。

具特殊權限的帳戶登入

使用 Microsoft Entra 登入記錄作為資料來源，以監視所有特殊權限帳戶登入活動。 除了登入成功和失敗資訊之外，記錄還包含下列詳細資料：

• 中斷
• 裝置
• Location
• 風險
• 申請
• 日期和時間
• 帳戶是否停用
• 鎖定
• MFA 詐騙
• 條件式存取失敗

要監視的項目

您可以在 Microsoft Entra 登入記錄中監視特殊權限帳戶登入事件。 警示並調查具特殊權限帳戶的下列事件。

具特殊權限帳戶的變更

透過具特殊權限帳戶來監視所有已完成和嘗試的變更。 這項資料可讓您建立每個具特殊權限帳戶的一般活動，以及偏離預期的活動警示。 Microsoft Entra 稽核記錄是用來記錄這種類型的事件。 如需 Microsoft Entra 稽核記錄的詳細資訊，請參閱 Microsoft Entra ID 中的稽核記錄。

Microsoft Entra 網域服務

在 Microsoft Entra Domain Services 中已獲指派權限的具特殊權限帳戶，可以執行 Microsoft Entra Domain Services 的工作，這些工作會影響使用 Microsoft Entra Domain Services 之 Azure 託管虛擬機器的安全性態勢。 在虛擬機器上啟用安全性稽核，並監視記錄。 如需有關啟用 Microsoft Entra Domain Services 稽核和敏感性權限清單的詳細資訊，請參閱下列資源：

• 針對 Microsoft Entra Domain Services 啟用安全性稽核 (部分機器翻譯)
• 稽核機密特殊權限使用 (英文)

具特殊權限帳戶的變更

調查具特殊權限帳戶的驗證規則和權限的變更，特別是如果變更提供更高的權限或在 Microsoft Entra 環境中執行工作的能力。

如需有關如何監視條件式存取原則例外狀況的詳細資訊，請參閱條件式存取深入解析和報告。

如需探索未使用的具特殊權限帳戶的詳細資訊，請參閱在 Privileged Identity Management 中建立 Microsoft Entra 角色的存取權檢閱 (部分機器翻譯)。

指派和提高權限

擁有以較高的能力永久佈建的具特殊權限帳戶，可能會增加攻擊面和安全性界限的風險。 相反地，使用提高權限程序來採用即時存取。 這種類型的系統可讓您指派具特殊權限角色的資格。 只有當管理員執行需要這些權限的工作時，才會將其權限提升至這些角色。 使用提高權限程序可讓您監視具特殊權限帳戶的提升和不使用情況。

建立基準

若要監視例外狀況，您必須先建立基準。 判斷下列元素的以下資訊

• 系統管理員帳戶

  • 具特殊權限的帳戶策略
  • 使用內部部署帳戶來管理內部部署資源
  • 使用雲端式帳戶來管理雲端式資源
  • 分隔和監視內部部署和雲端式資源之系統管理權限的方法

• 具特殊權限的角色保護

  • 具有系統管理權限之角色的保護策略
  • 使用具特殊權限帳戶的組織原則
  • 維護永久權限與提供時間限制和核准存取的策略和準則

下列概念和資訊可協助您判斷原則：

• Just-In-Time 管理準則。 使用 Microsoft Entra 記錄來取得在您的環境中執行常見系統管理工作的資訊。 判斷完成工作所需的一般時間。
• Just Enough 管理準則。 判斷系統管理工作所需的最低權限角色 (可能是自訂角色)。 如需詳細資訊，請參閱 Microsoft Entra ID 中依工作排序的最低特殊權限角色。
• 建立提高權限原則。 當您深入了解所需的更高權限類型，以及每項工作需要多久的時間之後，請建立原則來反映您環境的提高權限使用情況。 例如，定義原則以將角色提高權限限制為一小時。

建立基準和設定原則之後，您可以設定監視來偵測原則之外的使用狀況，並發出警示。

探索

特別注意和調查指派和權限提高的變更。

要監視的項目

您可以使用 Microsoft Entra 稽核記錄和 Azure 監視器記錄，來監視具特殊權限帳戶的變更。 請在您的監視程序中包含下列變更。

如需管理提高權限的詳細資訊，請參閱提高存取權以管理所有 Azure 訂用帳戶和管理群組。 如需使用 Microsoft Entra 記錄中可用資訊來監視提高權限的相關資訊，請參閱 Azure 監視器文件中的 Azure 活動記錄 (部分機器翻譯)。

如需有關設定 Azure 角色警示的詳細資訊，請參閱在 Privileged Identity Management 中設定 Azure 資源角色的安全性警示。

下一步

請參閱下列安全性作業指南文章：

Microsoft Entra 安全性作業概觀 (部分機器翻譯)

使用者帳戶的安全性作業 (部分機器翻譯)

取用者帳戶的安全性作業

Privileged Identity Management 的安全性作業

適用於應用程式的安全性作業

裝置的安全性作業

基礎結構的安全性作業