使用者帳戶的 Microsoft Entra 安全性作業

使用者身分識別是保護組織和資料的最重要層面之一。 此文章提供監視帳戶建立、刪除及帳戶使用方式的指引。 第一個部分說明如何監視異常帳戶的建立和刪除。 第二個部分說明如何監視異常帳戶使用方式。

如果您尚未閱讀 Microsoft Entra 安全性作業概觀 (部分機器翻譯)，建議您在繼續之前先這麼做。

此文章涵蓋一般使用者帳戶。 如需特殊權限帳戶，請參閱「安全性作業 - 特殊權限帳戶」。

定義基準

若要探索異常行為，您必須先定義什麼是正常和預期行為。 為組織定義預期行為，可協助您判斷何時會發生未預期的行為。 定義也有助於降低在監視和警示時產生誤判為真的雜訊程度。

當您定義預期的內容之後，就可以執行基準監視來驗證期望。 有了該資訊，就能針對您定義的容錯範圍之外的任何內容來監視記錄。

針對在正常流程之外建立的帳戶，請使用 Microsoft Entra 稽核記錄、Microsoft Entra 登入記錄，以及目錄屬性作為您的資料來源。 下列建議可協助您思考和定義組織的常態。

• 建立使用者帳戶：評估下列各項：

  • 用來建立和管理使用者帳戶之工具和程序的策略和準則。 例如，是否有標準屬性，套用至使用者帳戶屬性的格式。

  • 已核准來建立帳戶的來源。 例如，源自 Active Directory (AD)、Microsoft Entra ID 或 Workday 之類的 HR 系統。

  • 對於在已核准來源範圍之外建立的帳戶的警示策略。 是否有要與您組織共同作業的受控組織清單？

  • 對於在權利管理或其他正常程序範圍之外建立的帳戶，佈建來賓帳戶和警示參數。

  • 適用於由未經核准使用者管理員的帳戶所建立、修改或停用之帳戶的策略和警示參數。

  • 適用於遺失標準屬性之帳戶的監視和警示策略，例如，員工識別碼或未遵循組織命名慣例。

  • 適用於帳戶刪除和保留的策略、準則及程序。

• 內部部署的使用者帳戶 - 針對已與 Microsoft Entra Connect 同步的帳戶評估下列各項：

  • 在同步範圍內的樹系、網域及組織單位 (OU)。 誰是核准的管理員、誰可以變更這些設定，以及檢查範圍的頻率為何？

  • 已同步的帳戶類型。 例如，使用者帳戶和/或服務帳戶。

  • 建立特殊權限內部部署帳戶，以及如何控制此類型帳戶同步的程序。

  • 建立內部部署的使用者帳戶，以及如何管理此類型帳戶同步的程序。

如需保護和監視內部部署帳戶的詳細資訊，請參閱保護 Microsoft 365 以防範內部部署攻擊。

• 雲端使用者帳戶：評估下列各項：

  • 直接在 Microsoft Entra ID 中佈建和管理雲端帳戶的流程。

  • 判斷已佈建為 Microsoft Entra 雲端帳戶之使用者類型的流程。 例如，您是否只允許特殊權限帳戶，還是也允許使用者帳戶？

  • 建立和維護信任人員清單的程序，和/或預期要建立和管理雲端使用者帳戶的程序。

  • 針對未經核准的雲端式帳戶建立和維護警示策略的程序。

查看位置

以下為您可用來調查和監視的記錄檔：

• Microsoft Entra 稽核記錄

• 登入記錄

• Microsoft 365 稽核記錄

• Azure Key Vault 記錄

• 風險性使用者記錄

• UserRiskEvents 記錄

從 Azure 入口網站，您可以檢視 Microsoft Entra 稽核記錄，並下載為逗點分隔值 (CSV) 或 JavaScript 物件標記法 (JSON) 檔案。 Azure 入口網站有數種方式可將 Microsoft Entra 記錄與其他工具整合，以讓監視和警示的自動化程度變得更高：

• Microsoft Sentinel (部分機器翻譯) - 提供安全性資訊與事件管理 (SIEM) 功能，以在企業層級啟用智慧型安全性分析。

• Sigma 規則 (英文) - Sigma 是撰寫規則和範本的開放式標準，自動化管理工具可使用這些規則與範本來剖析記錄檔。 對於建議搜尋準則存在 Sigma 範本的情況，我們已新增 Sigma 存放庫的連結。 Sigma 範本不是由 Microsoft 所撰寫、測試及管理。 而是由全球 IT 安全性社群建立及收集存放庫和範本。

• Azure 監視器 (部分機器翻譯) - 啟用對各種狀況的自動監視和警示。 可以建立或使用活頁簿以合併來自不同來源的資料。

• 與 SIEM 整合的 Azure 事件中樞 (部分機器翻譯) - Microsoft Entra 記錄可以透過 Azure 事件中樞整合來整合到其他 SIEM (部分機器翻譯)，例如 Splunk、ArcSight、QRadar 和 Sumo Logic。

• Microsoft Defender for Cloud Apps (部分機器翻譯) - 可讓您探索和管理應用程式、跨應用程式和資源來控管，以及檢查雲端應用程式的合規性。

• 使用 Microsoft Entra ID Protection 來保護工作負載身分識別 - 用來偵測工作負載身分識別在登入行為和離線入侵指標上的風險。

您將監視和警示的大部分內容是條件式存取原則的效果。 您可以使用條件式存取見解和報告活頁簿，檢查一或多個條件式存取原則對登入的效果，以及原則的結果，包括裝置狀態。 此活頁簿可讓您檢視摘要，以及識別特定時段內的影響。 您也可以使用活頁簿來調查特定使用者的登入。

此文章的其餘部分將描述我們建議您監視和警示的內容，並依威脅類型進行組織。 如果有特定的預先建立解決方案，我們會連結至這些解決方案，或在表格之後提供範例。 否則，您可以使用上述工具來建置警示。

帳戶建立

異常帳戶建立可能表示有安全性問題。 您應該調查存留期較短的帳戶、未遵循命名標準的帳戶，以及在正常程序範圍之外建立的帳戶。

存留期較短的帳戶

您應該在 Microsoft Entra ID 中監視在正常身分識別管理流程之外進行的帳戶建立和刪除。 存留期較短的帳戶是在短時間範圍內建立並刪除的帳戶。 建立並快速刪除此類型的帳戶，可能意味著惡意執行者嘗試透過建立帳戶、使用這些帳戶，然後刪除帳戶來避開偵測。

存留期較短的帳戶模式可能表示未經核准的人員或程序可能有權在已建立的程序和原則範圍之外建立並刪除帳戶。 此類型的行為會從目錄中移除可見的標記。

如果無法快速探索建立並刪除帳戶的資料軌跡，則調查事件所需的資訊可能已不存在。 例如，帳戶可能遭到刪除，接著從資源回收筒中清除。 稽核記錄會保留 30 天。 不過，您可以將記錄匯出至 Azure 監視器或安全性資訊與事件管理 (SIEM) 解決方案，以延長保留期。

特殊權限和非特殊權限的帳戶都應受到監視和警示。 不過，由於特殊權限帳戶具有系統管理權限，因此，在您的監視、警示和回應程序中應該具有較高的優先順序。

未遵循命名原則的帳戶

未遵循命名原則的使用者帳戶可能已在組織原則範圍之外建立。

最佳做法是擁有使用者物件的命名原則。 擁有命名原則可讓管理更容易，並有助於提供一致性。 此原則也有助於探索何時已在核准的程序範圍之外建立使用者。 惡意執行者可能不知道您的命名標準，而且可能更容易偵測在您的組織程序範圍之外佈建的帳戶。

組織往往具有用來建立使用者和/或特殊權限帳戶的特定格式和屬性。 例如：

• 系統管理員帳戶 UPN = ADM_firstname.lastname@tenant.onmicrosoft.com

• 使用者帳戶 UPN = Firstname.Lastname@contoso.com

通常，使用者帳戶具有可識別真實使用者的屬性。 例如，EMPID = XXXNNN。 使用下列建議來協助定義組織的正常狀態，以及定義帳戶未遵循命名慣例時的記錄項目基準：

• 未遵循命名慣例的帳戶。 例如，nnnnnnn@contoso.com 與 firstname.lastname@contoso.com。

• 未填入標準屬性或格式不正確的帳戶。 例如，不具有效的員工識別碼。

如需有關剖析的詳細資訊，請參閱：

• Microsoft Entra 稽核記錄 - 剖析 Azure 監視器記錄中的文字資料

• Azure 訂用帳戶 - 使用 Azure PowerShell 列出 Azure 角色指派

• Microsoft Entra ID - 列出 Microsoft Entra 角色指派

在正常程序範圍之外建立的帳戶

擁有建立使用者和特殊權限帳戶的標準程序很重要，如此您就能安全地控制身分識別的生命週期。 如果使用者是在已建立的程序範圍之外進行佈建和取消佈建，可能就會引發安全性風險。 在已建立的程序範圍之外進行操作，也會引發身分識別管理問題。 潛在風險包括：

• 使用者和特殊權限帳戶可能不受治理地遵守組織原則。 這可能導致對未正確管理的帳戶受攻擊面變得更大。

• 當惡意執行者基於惡意用途建立帳戶時，就會變得更難偵測。 透過在已建立的程序範圍之外建立有效帳戶，就會變得更難偵測建立帳戶的時機，或基於惡意用途進行修改的權限。

建議您僅遵循組織原則來建立使用者和特殊權限帳戶。 例如，您應該使用正確的命名標準和組織資訊，在適當的身分識別治理範圍內建立帳戶。 組織應該嚴格控制有權建立、管理及刪除身分識別的人員。 建立這些帳戶的角色應該受到嚴格的管理，而且只有在遵循已建立的工作流程來核准並取得這些權限之後，才能取得這些權利。

異常登入

看到使用者驗證失敗是正常的。 但是，看到失敗的模式或區塊，可能是表示使用者的身分識別發生問題的指標。 例如，在密碼噴灑或暴力密碼破解攻擊期間，或者，當使用者帳戶遭到盜用時。 您必須在模式出現時進行監視並發出警示，這點至關重要。 這有助於確保您可以保護使用者和組織的資料。

成功似乎說明了一切順利。 但是，這可能表示惡意執行者已成功存取了服務。 監視成功登入可協助您偵測正在取得存取權，但不是應具有存取權之使用者帳戶的使用者帳戶。 使用者驗證成功是 Microsoft Entra 登入記錄中的一般項目。 建議您進行監視並發出警示，以偵測模式何時出現。 這有助於確保您可以保護使用者帳戶和組織的資料。

當您設計記錄監視和警示策略並使其能夠運作時，請考慮可透過 Azure 入口網站使用的工具。 Microsoft Entra ID Protection 可讓您自動偵測、保護及補救身分識別式風險。 身分識別保護會使用智慧型機器學習和啟發學習法系統來偵測風險，並為使用者和登入指派風險分數。客戶可以根據風險層級來設定原則，以允許或拒絕存取，或允許使用者安全地從風險中自我補救。 下列 ID Protection 風險偵測可告知目前的風險層級：

如需詳細資訊，請參閱《何謂身分識別保護》。

應該檢查哪些狀況

設定對 Microsoft Entra 登入記錄內的資料進行監視，以確保會發出警示，並遵守組織的安全性原則。 以下提供一些這類範例：

• 驗證失敗：身為人類，我們都會時常弄錯密碼。 不過，許多失敗驗證可能表示有惡意執行者正嘗試取得存取權。 攻擊的凶猛程度各不相同，但範圍可從每小時數次到更高的頻率。 例如，密碼噴灑通常會以更簡單的方式掠奪許多帳戶的密碼，而暴力密碼破解會針對目標帳戶嘗試許多密碼。

• 中斷的驗證：Microsoft Entra ID 的中斷表示插入流程來滿足驗證，例如在條件式存取原則中強制進行某個控制措施時。 這是正常事件，當應用程式的設定不正確時可能就會發生。 但是，當您看到某個使用者帳戶出現許多中斷時，可能表示該帳戶發生了問題。

  • 例如，如果您在登入記錄中篩選使用者，然後看到大量的登入狀態 = [已中斷] 且條件式存取 = [失敗]。 如果您挖掘更深入的資料，可能就會在驗證詳細資料中顯示密碼正確，但需要增強式驗證。 這可能意味著使用者並未完成多重要素驗證 (MFA)，其可能表示使用者的密碼已遭盜用，但惡意執行者無法完成 MFA。

• 智慧鎖定：Microsoft Entra ID 提供智慧鎖定服務，其能在驗證流程中引進熟悉與不熟悉位置的概念。 造訪熟悉位置的使用者帳戶可能會成功通過驗證，但不熟悉相同位置的惡意執行者會在進行數次嘗試之後遭到封鎖。 尋找已遭鎖定的帳戶並進一步調查。

• IP 變更：看到源自不同 IP 位址的使用者是正常的。 不過，零信任狀態永遠不會信任且一律會進行驗證。 看到大量的 IP 位址和失敗登入，可能就是遭到入侵的指標。 尋找從多個 IP 位址發生許多失敗驗證的模式。 請注意，虛擬私人網路 (VPN) 連線可能導致誤判為真。 無論面臨何種挑戰，都建議您監視 IP 位址變更，並在可能的情況下使用 Microsoft Entra ID Protection 來自動偵測並降低這些風險。

• 位置：一般而言，您預期使用者帳戶會位於相同的地理位置。 您也預期會從有員工或商務關係的位置登入。 如果使用者帳從不同國際位置到達的時間，比移動到那裡的時間還短，這可能表示使用者帳戶正遭到濫用。 請注意，VPN 可能導致誤判，建議您監視從地理位置較遠的位置登入的使用者帳戶，並在可能的情況下，使用 Microsoft Entra ID Protection 來自動偵測並降低這些風險。

針對此風險領域，建議您監視標準使用者帳戶和特殊權限帳戶，但為特殊權限帳戶的調查設定優先順序。 特殊權限帳戶在所有 Microsoft Entra 租用戶中都是最重要的帳戶。 如需特殊權限帳戶的專用指引，請參閱＜安全性作業 - 特殊權限帳戶＞。

如何偵測

您可以使用 Microsoft Entra ID Protection 和 Microsoft Entra 登入記錄，來協助探索異常登入特性所指出的威脅。 如需詳細資訊，請參閱本文《何謂身分識別保護》。 您也可以基於監視和警示用途，將資料複寫至 Azure 監視器或 SIEM。 若要定義環境的正常值並設定基準，請判斷：

• 您認為對使用者群來說正常的參數。

• 在使用者連絡服務台或執行自助式密碼重設之前，在一段時間內嘗試密碼的平均次數。

• 您希望在警示之前允許的失敗嘗試次數，以及使用者帳戶和特殊權限帳戶是否有不同的嘗試次數。

• 您希望在警示之前允許的 MFA 嘗試次數，以及使用者帳戶和特殊權限帳戶是否有不同的嘗試次數。

• 是否已啟用舊版驗證，以及停止使用您的藍圖。

• 已知的輸出 IP 位址適用於您的組織。

• 使用者進行操作的來源國家/地區。

• 是否有使用者群組在某個網路位置或國家/地區內保持靜止狀態。

• 針對組織特定的異常登入，識別任何其他指標。 例如，組織不營運的當周或當年的數天或時間。

在您為環境中的帳戶設定正常範圍之後，請考慮下列清單，以協助判斷您想要監視和發出警示的情況，以及微調您的警示。

• 如果設定了 Microsoft Entra ID Protection，還需要監視和警示嗎？

• 是否有更嚴格的條件要套用至您可用來監視和警示的特殊權限帳戶？ 例如，要求只能從信任的 IP 位址使用特殊權限帳戶。

• 您設定的基準是否太過激進？ 警示過多可能導致警示遭到忽略或遺漏。

設定 ID Protection，可協助確保支援您安全性基準原則的保護已就緒。 例如，如果風險 = 高，則封鎖使用者。 此風險層級以高可信度表示使用者帳戶已遭到盜用。 如需設定登入風險原則和使用者風險原則的詳細資訊，請參閱《ID Protection 原則》。

下列各項會根據項目的影響和嚴重性，依重要性順序列出。

監視外部使用者登入

監視失敗的異常登入

下列各項會根據項目的影響和嚴重性，依重要性順序列出。

監視成功的異常登入

建議您定期檢閱對只需單一要素驗證之中業務衝擊 (MBI) 和高業務衝擊 (HBI) 應用程式的驗證。 針對每一個，您都想要判斷是否預期會有單一要素驗證。 此外，您也可以根據位置，檢閱成功驗證數增加或未預期的次數。

下一步

請參閱下列安全性作業指南文章：

Microsoft Entra 安全性作業概觀 (部分機器翻譯)

取用者帳戶的安全性作業

特殊權限帳戶的安全性作業 (部分機器翻譯)

Privileged Identity Management 的安全性作業

適用於應用程式的安全性作業

裝置的安全性作業

基礎結構的安全性作業