Samouczek: konfigurowanie zasad analizy zagrożeń

Microsoft definiuje zagrożenia o wysokiej ważności jako domeny lub adresy URL, które są skojarzone z zagrożeniami, takimi jak aktywna dystrybucja złośliwego oprogramowania, kampanie wyłudzające informacje oraz infrastruktura poleceń i kontroli (C2). Microsoft i źródła danych o zagrożeniach inne niż Microsoft identyfikują te zagrożenia z wysoką pewnością. Konfigurując analizę zagrożeń, można automatycznie zablokować te znane złośliwe miejsca docelowe sieci Web.

W tym poradniku nauczysz się, jak:

Kluczowe pojęcia

Co to jest analiza zagrożeń?

Analiza zagrożeń to wyselekcjonowane dane dotyczące znanych złośliwych domen, adresów URL i adresów IP. Ta lista jest stale aktualizowana jako Microsoft agreguje analizę z wielu źródeł, takich jak przykłady w poniższej tabeli.

Oto kilka przykładów zagrożeń, które są blokowane. Aby uzyskać pełną listę, zobacz Globalne typy zagrożeń w ramach analizy zagrożeń bezpieczeństwa dostępu.

• MaliciousUrl: adresy URL obsługujące złośliwe oprogramowanie.
• Wyłudzanie informacji: wskaźniki związane z kampanią wyłudzającą informacje.
• C2: Węzeł poleceń i sterowania botnetu.
• Złośliwe oprogramowanie: wskaźniki opisujące złośliwy plik lub pliki.
• CryptoMining: ruch, który obejmuje górnictwo kryptograficzne lub nadużycie zasobów.

Czym różni się analiza zagrożeń od filtrowania zawartości internetowej

• Filtrowanie zawartości internetowej blokuje według kategorii (np. hazard lub zawartość dla dorosłych).
• Analiza zagrożeń blokuje znanych złych aktorów niezależnie od kategorii.
• Wiarygodna witryna wiadomości, która została naruszona, jest blokowana przez analizę zagrożeń, a nie filtrowanie zawartości internetowej.
• Jeśli inspekcja protokołu Transport Layer Security (TLS) nie jest włączona, analiza zagrożeń nie może chronić przed złośliwymi adresami URL. Pozostałe typy wykrywania są nadal wykrywane i blokowane.

Objective

W tym samouczku utworzysz zasady analizy zagrożeń, aby zablokować znane złośliwe witryny. Opcjonalnie można skonfigurować listę dozwolonych dla wyników fałszywie dodatnich lub lokacji krytycznych dla działania firmy. Następnie połączysz zasady z profilem zabezpieczeń i zweryfikujesz wymuszanie zasad użytkownika.

Przykładowe filmy instruktażowe

W poniższym filmie wideo pokazano, jak skonfigurować zasady analizy zagrożeń.

W poniższym filmie wideo pokazano, jak przetestować zasady analizy zagrożeń.

Krok 1. Tworzenie zasad analizy zagrożeń

1. W centrum administracji Microsoft Entra przejdź do Global Secure Access>Secure>Zasady inteligencji zagrożeń.

2. Wybierz Utwórz politykę.

3. Wprowadź nazwę i opis zasad, a następnie wybierz pozycję Dalej.

4. Zachowaj domyślną akcję jako Zezwalaj.

   Uwaga / Notatka

   Domyślną akcją analizy zagrożeń jest Zezwalaj. Jeśli ruch nie jest zgodny z regułą w zasadach analizy zagrożeń (czyli nie zostanie wykryte żadne zagrożenie), aparat zasad zezwala na ruch. Inny typ zasad może nadal oceniać i blokować ruch, na przykład filtrowanie zawartości internetowej.

5. Wybierz pozycję Dalej i przejrzyj nowe zasady analizy zagrożeń.

6. Wybierz Utwórz.

Krok 2. Konfigurowanie listy dozwolonych (opcjonalnie)

Jeśli znasz witryny, które mogą mieć krytyczne znaczenie dla działania firmy lub są oznaczone jako fałszywie dodatnie, możesz skonfigurować reguły zezwalające na te witryny.

1. W obszarze Globalnezasady>dostępu do bezpiecznych >zagrożeń wybierz wybrane zasady analizy zagrożeń.

2. Wybierz Reguły.

3. Wybierz Dodaj regułę.

4. Wprowadź nazwę, opis, priorytet i stan reguły.

5. Edytuj docelowe FQDN i wybierz listę domen dla swojej listy dozwolonych.

   Można wprowadzić te w pełni kwalifikowane nazwy domen (FQDN) jako domeny rozdzielane przecinkami.

6. Wybierz opcję Dodaj.

Krok 3. Łączenie zasad analizy zagrożeń z profilem zabezpieczeń

1. Przejdź do Global Secure Access>Bezpieczeństwo>Profile zabezpieczeń.
2. Wybierz profil zabezpieczeń utworzony w samouczku inspekcji protokołu TLS.
3. Przejdź do okienka Zasady linkowania.
4. Wybierz pozycję Połącz zasady, a następnie wybierz pozycję Istniejące zasady analizy zagrożeń.
5. Wybierz utworzone zasady analizy zagrożeń, a następnie wybierz pozycję Dodaj.

Sprawdź, czy profil zabezpieczeń jest przypisany do zasad Microsoft Entra Conditional Access.

Krok 4. Weryfikowanie wymuszania zasad

1. Aby przetestować, przejdź do jednej z następujących witryn:

   • entratestthreat.com
   • smartscreentestratings2.net

   Poprzednie przykłady to witryny testowe, aby sprawdzić, czy zasady zabezpieczeń działają. Są łagodne i bezpieczne do użycia.

2. Sprawdź, czy dostęp do witryny jest zablokowany. Rozwiń Więcej informacji i sprawdź, czy typ zagrożenia to MaliciousUrl.

   

3. Możesz również wyświetlić dzienniki ruchu i przejrzeć pole Typ zagrożenia .

Jeśli Windows Defender lub Filtr SmartScreen blokuje dostęp, zignoruj blokadę i uzyskaj dostęp do witryny, aby przetestować komunikat blokady Global Secure Access. Aby wykonać ten krok, w obszarze Więcej informacji wybierz pozycję Kontynuuj do niebezpiecznej witryny (niezalecane). Wykonaj ten krok tylko w środowisku laboratoryjnym lub w środowisku weryfikacji koncepcji, a nie w środowisku produkcyjnym.

Czego się nauczyłeś

W tym samouczku wykonałeś następujące zadania:

• Włączono automatyczną ochronę przed zagrożeniami: Wiesz już, że Twoja organizacja jest teraz chroniona przed tysiącami znanych złośliwych witryn bez ręcznego utrzymywania list zablokowanych. Firma Microsoft stale aktualizuje tę listę zagrożeń na podstawie sygnałów analizy.
• Zrozumiany model "domyślne zezwalanie": Nauczyłeś się, że polityki inteligencji zagrożeń blokują ruch zgodny ze znanym zagrożeniem. Inne zasady oceniają cały pozostały ruch przechodzący przez sieć.
• Skonfigurowane reguły wyjątków: Wiesz już, jak pominąć określone domeny w razie potrzeby ze względów biznesowych, chociaż należy wykonać ten krok oszczędnie.
• Obserwowana klasyfikacja typów zagrożeń: Wiesz już, że na stronie bloku jest wyświetlany określony typ zagrożenia, taki jak MaliciousUrl, wyłudzanie informacji i C2. Te informacje pomagają zrozumieć, dlaczego ruch został zablokowany.

Strategia obrony w głąb

┌─────────────────────────────────────────────────────────┐
│                 Security layers                         │
├─────────────────────────────────────────────────────────┤
│ Layer 1: Web content filtering                          │
│   • Blocks unwanted categories like gambling or adult.  │
├─────────────────────────────────────────────────────────┤
│ Layer 2: Threat intelligence                            │
│   • Blocks known malicious destinations.                │
├─────────────────────────────────────────────────────────┤
│ Layer 3: Content policies                               │
│   • Prevents data exfiltration via file uploads.        │
├─────────────────────────────────────────────────────────┤
│ Layer 4: Microsoft Defender for Endpoint                │
│   • Is the last line of defense on the endpoint.        │
└─────────────────────────────────────────────────────────┘

Dlaczego wiele warstw?

• Analiza zagrożeń jest reaktywna. Wie tylko o wykrytych zagrożeniach.
• Nowe witryny złośliwego oprogramowania i wyłudzania informacji są stale tworzone.
• Każda warstwa łapie zagrożenia, których inni mogą przegapić.

Następne kroki