Создание политик действий Microsoft Defender for Cloud Apps

Политики действий позволяют применять широкий спектр автоматизированных процессов с помощью API поставщика приложений. Эти политики позволяют отслеживать определенные действия, выполняемые различными пользователями, или следовать неожиданно высоким показателям одного определенного типа действий.

После настройки политики обнаружения действий она начинает создавать оповещения — оповещения создаются только о действиях, которые происходят после создания политики.

Пользовательские оповещения

Политики активности позволяют отправлять настраиваемые оповещения или выполнять действия при обнаружении активности пользователя. Например, вы хотите знать каждый раз:

• Пользователь 70 раз безуспешно пытается войти в систему в течение одной минуты.
• Пользователь скачивает 7000 файлов
• Пользователь вошел в систему из незнакомой страны или региона

Вы можете настроить отправку оповещений о действиях себе или пользователю при возникновении этих событий. Вы даже можете приостановить пользователя, пока не завершите расследование того, что произошло.

Чтобы создать новую политику действий, выполните следующую процедуру:

1. На портале Microsoft Defender в разделе Облачные приложения выберите Политики ->Управление политиками. Затем перейдите на вкладку Обнаружение угроз .

2. Щелкните Создать политику и выберите Политика действий.

   

3. Присвойте политике имя и описание, если вы хотите, чтобы она была на основе шаблона. Дополнительные сведения о шаблонах политик см. в статье Управление облачными приложениями с помощью политик.

4. Чтобы указать, какие действия или другие метрики активируют эту политику, обратитесь к фильтрам действий.

   Чтобы убедиться, что результаты включаются только в том случае, если указанное поле фильтра имеет значение, рекомендуется снова добавить то же поле с помощью теста is set . Например, при фильтрации по параметру Расположение, если значение не соответствует указанному списку стран/регионов, также добавьте фильтр Расположениезадано. Вы также можете просмотреть результаты фильтра, выбрав Изменить и просмотреть результаты. Например:

   

   Если в фильтре используется условие не равно и атрибут отсутствует в событии, событие не будет отфильтровано. Например, фильтрация по Тег устройства не равен Microsoft Entra hybrid joined не отфильтровывает события, которые не содержат Тег устройства, даже если устройство присоединено к Microsoft Entra.

   В случае гостевого пользователя могут возникать случаи, когда фильтр "Пользователь из группы " не распознает учетную запись по домену. Чтобы убедиться, что все гостевые пользователи включены, используйте внешние пользователи в качестве группы, если она соответствует вашим потребностям для политики.

5. В разделе Создание фильтров для политики выберите, когда будет активировано нарушение политики. Выберите триггер, когда одно действие соответствует фильтрам или только при обнаружении указанного количества повторяемых действий .

   • Если выбран параметр Повторяющиеся действия, можно задать параметр В одном приложении. Этот параметр активирует сопоставление политики только в том случае, если повторяющиеся действия выполняются в одном приложении. Например, пять загрузок за 30 минут из Box активируют совпадение политики.

6. В разделе Оповещения при необходимости настройте любое из следующих действий:

   • Создайте оповещение для каждого совпадающего события с уровнем серьезности политики
   • Отправка оповещения по электронной почте
   • Ежедневный лимит оповещений для политики. Обратите внимание, что ограничение на ежедневное оповещение не влияет на действия системы управления.
   • Отправка оповещений в Power Automate

7. Настройте действия , которые должны выполняться при обнаружении совпадения.

Рассмотрим следующие примеры:

• Несколько неудачных попыток входа

  Вы можете настроить политику так, чтобы получать оповещение при большом количестве неудачных попыток входа в систему в течение короткого периода времени. Чтобы настроить политику этого типа, выберите соответствующий фильтр действий на странице Новая политика действий .

  Под полем Фильтры действий настройте параметры, для которых будет активировано оповещение.

  

• Высокий уровень загрузки

  Вы можете настроить политику так, чтобы получать оповещение, если произошел непредвиденный или нехарактерный уровень активности скачивания. Чтобы настроить политику такого типа, в разделе Параметры скорости выберите параметры, которые будут активировать оповещение.

  

Справочник по политике действий

В следующем справочнике описываются типы политик действий, их компоненты и поля, которые можно настроить для каждой политики.

Политика действий — это политика на основе API, которая позволяет отслеживать действия организации в облаке. Политика учитывает более 20 фильтров метаданных файлов, включая тип и расположение устройства. На основе результатов применения политики можно формировать уведомления, а доступ пользователей к облачному приложению может быть приостановлен. Каждая политика состоит из следующих частей:

• Фильтры действий позволяют создавать детализированные условия на основе метаданных.

• Параметры соответствия действия— позволяет задать пороговое значение для количества повторений действия, которое будет считаться соответствующим политике. Укажите количество повторяемых действий, необходимых для соответствия политике. Например, настройте политику для оповещения, если пользователь имеет 10 неудачных попыток входа за 2 минуты. По умолчанию параметры соответствия действия вызывают совпадение для каждого действия, соответствующего всем фильтрам действий.

  • С помощью повторяющегося действия можно задать количество повторяющихся действий, длительность периода, в течение которого учитываются действия. Можно также указать, что все действия должны выполняться тем же пользователем и в одном облачном приложении.

• Действия — политика предоставляет набор действий управления, которые можно автоматически применять при обнаружении нарушений.

Дальнейшие действия

Если у вас возникнут какие-либо проблемы, мы здесь, чтобы помочь. Чтобы получить помощь или поддержку по проблеме с продуктом, отправьте запрос в службу поддержки.