Управление правилами корреляции учетных записей в Microsoft Defender для удостоверений (предварительная версия)

Правила корреляции пользовательских учетных записей — это параметр Microsoft Defender для удостоверений для учетных записей, не использующих надежные идентификаторы. Эти идентификаторы включают идентификатор учетной записи, SID, идентификатор объекта или UPN. Правила особенно полезны для привилегированных учетных записей с уникальными соглашениями об именовании. Определив пользовательские правила, вы получаете полную видимость и улучшенную защиту для всех учетных записей.

Перед началом работы просмотрите требования к лицензии и роли в предварительных требованиях.

В этой статье объясняется, как выбрать тип корреляции, создать пользовательские правила корреляции учетных записей, а также редактировать или удалить существующие правила в портале Microsoft Defender.

Предварительные условия

• Активная лицензия Microsoft Defender для удостоверений или другая лицензия, включающая Defender for Identity (например, E5). Без требуемой лицензии страница политик доступна только для чтения.
• Чтобы просматривать политики, требуется по крайней мере одна из следующих ролей:
  • Роли Microsoft Entra ID: роль «Читатель безопасности», «Оператор безопасности» или «Администратор безопасности»
  • Роли Защитника: операции безопасности, данные безопасности, оповещения (управление)
• Одна из следующих ролей для создания, изменения или удаления политик:
  • Роли Microsoft Entra ID: как минимум — администратор безопасности
  • Роли Защитника: операции безопасности, данные безопасности, оповещения (управление)

Выбор типа корреляции

Перед созданием правила определите, какой тип корреляции соответствует вашему сценарию. В следующей таблице описаны доступные варианты.

Добавление правила корреляции

Чтобы добавить правило корреляции учетной записи, выполните следующие действия.

1. В портале Microsoft Defender перейдите в раздел Параметры>Удостоверения.
2. Выберите Правила корреляции учетных записей.
3. Выберите Добавить правило.
4. В мастере введите имя правила (не более 50 символов). Можно использовать буквы, цифры и следующие специальные символы: . - _ ! # ^ ~.
5. Выберите тип корреляции (префикс корневого UPN, суффикс корневого UPN или доменный UPN).
6. Введите необходимые значения для выбранного типа корреляции, например префиксы, суффиксы или домены.
7. Просмотрите сводку, которая включает имя правила, тип корреляции и выбранные значения.
8. Нажмите кнопку Отправить , чтобы создать правило. Изменения правил корреляции вступают в силу в течение 12 часов.

Изменение правила корреляции

Чтобы изменить существующее правило корреляции учетных записей, выполните следующие действия.

1. На странице Правила корреляции учетных записей установите флажок рядом с правилом, которое нужно изменить. Одновременно можно выбрать только одно правило.
2. Нажмите Изменить.
3. При необходимости обновите конфигурацию правила в мастере.
4. Просмотрите изменения и нажмите кнопку Сохранить. Изменения вступают в силу в течение 12 часов.

Удаление правила корреляции

Чтобы удалить правило корреляции учетной записи, выполните следующие действия.

1. На странице Правила корреляции учетных записей установите флажок рядом с правилом, которое нужно удалить.
2. Выберите Удалить.
3. В окне подтверждения выберите Удалить, чтобы подтвердить, или Отмена, чтобы отменить действие. Изменения правил корреляции вступают в силу в течение 12 часов.

Связанные материалы

• Управление связанными удостоверениями личности и учетными записями
• Просмотреть инвентаризацию идентификационных данных