סיכון כניסה מול סיכון משתמש ב-Microsoft Entra ID: מה ההבדל?

By Mirko Peters · 2026-10-26

למדו על ההבדלים המהותיים בין סיכון כניסה לסיכון משתמש ב-Microsoft Entra ID Protection, ואיך להגדיר מדיניות גישה מותנית כראוי.

Automatically translated with AI from the original post. Read the English original

סיכון כניסה וסיכון משתמש ב-Microsoft Entra ID Protection הם מדדי אבטחה נפרדים. סיכון כניסה בוחן האם ניסיון אימות בודד חשוד, ואילו סיכון משתמש קובע האם פרטי ההזדהות המרכזיים של חשבון נפרצו על פני מספר הפעלות.

עיקרי הדברים

• סיכון כניסה בוחן את ההסתברות שניסיון אימות מסוים אינו מגיע מבעל החשבון הלגיטימי.
• סיכון משתמש בוחן האם פרטי ההזדהות של חשבון נפרצו באופן קבוע או נחשפו בפריצת נתונים.
• סיכון כניסה בלתי מטופל יחיד עלול להצטבר לאורך זמן ולהפוך למצב של משתמש בסיכון גבוה.
• סיכון כניסה נפתר בדרך כלל מיד באמצעות אתגר MFA, ואילו סיכון משתמש דורש לרוב החלפת סיסמה מאובטחת.
• כדי לנצל במלואם מדיניות מבוססת סיכון, היסטוריית דיווח מפורטת וטיפול אוטומטי בסיכונים, נדרש Microsoft Entra ID P2.

הבנת ההבדל המרכזי

כאשר מנהלים מפעילים לראשונה את Microsoft Entra ID Protection, אחת הבלבולים הנפוצים ביותר היא ערבוב בין סיכון כניסה לסיכון משתמש. שני המדדים נשענים על רשת מודיעין האותות העצומה של Microsoft, שמנתחת טריליוני אותות מדי יום מחשבונות צרכניים, מדיירים ארגוניים ואפילו משירותי Xbox, אך הם עונים על שאלות שונות מהיסוד.

מערכת אבטחה לא יכולה להתייחס לכניסה חריגה בודדת באותו אופן שבו היא מתייחסת לחשבון שנגנב באופן מהותי. אם מנהל מבצע נעילה גורפת של חשבון בכל פעם שמישהו נכנס ממיקום לא מוכר או מרשת חריגה, הפרודוקטיביות נעצרת. לעומת זאת, טיפול בחשבון שנפרץ באמת באתגר MFA זמני פשוט מאפשר לגורם התקיפה המתמשך להיכנס שוב אחרי שהאתגר יפוג. הבנה של האופן שבו שני המדדים פועלים באופן עצמאי, וכיצד הם משפיעים זה על זה, חיונית לתכנון תנוחת אבטחה עננית מאוזנת.

מהו סיכון כניסה?

סיכון כניסה מתמקד אך ורק ברגע אחד: הרגע המדויק שבו משתמש מנסה לגשת למשאב כמו Microsoft Teams, SharePoint או Outlook. הוא עוסק אך ורק בהקשר הספציפי של ניסיון ההתחברות הבודד, ולא בשום דבר אחר. המערכת בודקת אם המאפיינים של הבקשה הספציפית הזו תואמים לדפוסי ההתנהגות הרגילים של המשתמש.

Microsoft Entra ID Protection בוחן מספר משתנים במהלך בדיקות כניסה בזמן אמת. ביניהם: חיבורים שמקורם בכתובות IP אנונימיות, המשמשות לעיתים קרובות להסתרת מיקום גיאוגרפי; מצבים של נסיעה בלתי אפשרית, שבהם כניסות מתבצעות מאזורים רחוקים זה מזה גיאוגרפית בפרק זמן לא ריאלי; או סימנים להתקפת password spray, שבה תוקף בודק סיסמה נפוצה אחת על פני אלפי חשבונות ארגוניים בו-זמנית. מאפייני כניסה לא מוכרים נבחנים גם הם באופן דינמי: ככל שהבקשה נראית חריגה יותר לעומת קווי הבסיס ההיסטוריים, כך ציון הסיכון עולה.

חשוב לציין שציון סיכון בכניסה משויך אך ורק לניסיון הכניסה הספציפי הזה. אם משתמש עובר בהצלחה אימות רב-שלבי נוסף במהלך אותה כניסה, הסיכון שמלווה את הכניסה מנוטרל מיד, והמשתמש ממשיך בעבודתו ללא כל פגיעה מתמשכת במצב החשבון שלו.

מהו סיכון משתמש?

סיכון משתמש, לעומת זאת, אינו עוסק בכניסה בודדת. הוא עוסק בתקינות ובשלמות החשבון עצמו. סיכון משתמש בודק אם פרטי ההזדהות של החשבון נפלו לידיים לא מורשות, כלומר אם תוקף מחזיק במפתחות הקבועים ויכול לחזור ולפגוע בנתונים מתי שירצה.

הגורם המרכזי לסיכון משתמש הוא הופעה של פרטי הזדהות בפרצות מידע ידועות. כאשר שמות משתמש וסיסמאות דולפים ברשת האפלה או נגנבים באמצעות תוכנות זדוניות לגניבת מידע, מודיעין האיומים של Microsoft מסמן את פרטי ההזדהות האלה מיד. מחווני סיכון נוספים כוללים תשתית מאומתת של גורמי איום שפועלת ישירות מול פרופיל המשתמש, או דפוסי פעילות חריגים שמעידים על גישה לא מורשית ומתמשכת.

כאשר חשבון מסומן בסיכון משתמש, האיום נשאר גם אחרי שהמשתמש מתנתק. מכיוון שתוקף עשוי להשיג את הסיסמה מחוץ למסגרת הסשן הרגילה, עצם הפעלת אימות רב-שלבי על המשתמש בדרך כלל אינה מספיקה כדי לפתור לחלוטין ציון סיכון משתמש גבוה. יש לטפל בפגיעות הבסיסית.

כיצד מחושבות רמות הסיכון

גם סיכון כניסה וגם סיכון משתמש מתבטאים בשלוש רמות ביטחון ברורות: נמוכה, בינונית וגבוהה. רמות אלה מייצגות הערכות של מודלי למידת מכונה לגבי הסתברות האיום, ולא קביעות בינאריות מוחלטות.

סיכון גבוה מציין שלמערכות האוטומטיות של Microsoft יש הוכחה חזקה ומאומתת לפגיעה, כגון פרטי הזדהות שדלפו שמתאימים במפורש למאגרי הרשת האפלה, או חתימות IP זדוניות מאומתות. סיכון בינוני משקף סימנים מתונים לפעילות חשודה עם ביטחון מוחלט נמוך יותר. סיכון נמוך מצביע על התנהגות חריגה שסוטה מדפוסים רגילים, אך אין בה אינדיקטורים חד-משמעיים לזדונות.

פרט ניהולי חשוב הוא האופן שבו הרשומות האלה מזדקנות לאורך זמן. פריטים בסיכון נמוך יוצאים אוטומטית מהדוחות לאחר כשישה חודשים, כדי לשמור על לוחות הבקרה נקיים וניתנים לניהול. לעומת זאת, פריטים בסיכון בינוני וגבוה אינם יוצאים מהדוחות מעצמם. הם נשארים במרכז הניהול עד שמדיניות אוטומטית או מנהל אנושי יחקור, יטפל או יסגור אותם במפורש.

אפקט ההתגלגלות: כיצד הם משתלבים זה בזה

למרות שסיכון כניסה וסיכון משתמש בודקים דברים שונים, הם קשורים זה לזה הדוק בדיווח ובאכיפה. סיכון כניסה בודד שנותר ללא טיפול או ללא אימות עלול להצטבר ולהתגלגל לאורך זמן, ובסופו של דבר להוסיף לציון סיכון המשתמש הכולל.

המשמעות היא שאדם יכול להופיע כמשתמש בסיכון ב-Entra ID גם אם ניסיונות הכניסה האחרונים שלו נראו תקינים לחלוטין. המערכת מזהה היסטוריה מצטברת של התנהגות חשודה, שמעלה את ההסתברות לפגיעה ארוכת טווח. מנהלי IT צריכים לבחון את שני הדוחות במקביל, ולא לראות בהם סילוס נפרד ומבודד.

אוטומציה של טיפול באמצעות גישה מותנית

כדי למנוע מצוותי אבטחה להיטבע בהתראות ידניות, Microsoft Entra Conditional Access מגשרת על הפער בין ציוני סיכון לאכיפה אוטומטית. ארגונים יכולים להגדיר מדיניות ספציפית שמופעלת כאשר נחצים סף של סיכון נמוך, בינוני או גבוה.

לגבי סיכון כניסה, המדיניות יכולה לאכוף פעולות כמו דרישה לאימות רב-שלבי, כפיית פתיחת סשן כניסה חדש, או חסימת הגישה לחלוטין. כאשר משתמש עומד בהצלחה באתגר של אימות רב-שלבי, הסיכון מטופל במקום.

לגבי סיכון משתמש, מדיניות בדרך כלל דורשת שינוי סיסמה מאובטח או טיפול אוטומטי בסיכון. החלק החכם בטיפול בסיכון הוא היכולת שלו להתאים את עצמו: אם המשתמש נכנס באמצעות סיסמה מסורתית, המערכת דורשת שינוי סיסמה מאובטח ומבטלת מיד את כל הסשנים הקיימים. אם המשתמש נכנס באמצעות שיטות ללא סיסמה, המערכת מנתקת סשנים פעילים ומנחה תהליך הזדהות חדש. תגובה אוטומטית זו מפחיתה משמעותית את היקף פניות לתמיכה טכנית, ובאותה עת עוצרת את התוקפים בדרכם.

סיכום

הבנה מעמיקה של ההבדל בין סיכון כניסה לסיכון משתמש מאפשרת לארכיטקטים של ענן לבנות מדיניות אבטחה מדויקת ומדורגת, שמגינה על נתוני הארגון בלי ליצור חיכוך מיותר למשתמשים היומיומיים. כאשר אוטומציה מטפלת במשימות תיקון שגרתיות, צוותי IT יכולים להשקיע את מירב המאמץ בחקירת איומים אמיתיים. כדי להבין לעומק איך שכבות ההגנה האלה פועלות בסביבות ענן מודרניות, האזינו לפרק המלא של הפודקאסט, שכולל פירוט מלא של שיטות עבודה מומלצות להגדרה, דרישות רישוי ואסטרטגיות ניהול מהעולם האמיתי.

שאלות נפוצות

מה קורה כאשר מופעל סיכון כניסה?

כאשר מזוהה סיכון כניסה, Microsoft Entra Conditional Access יכולה לחסום את הניסיון באופן אוטומטי, לאפשר את הגישה, או לדרוש מהמשתמש אימות מרובה גורמים (MFA) כדי להוכיח את זהותו.

כמה זמן אירועי סיכון נמוך נשארים בדוחות Entra ID Protection?

זיהויים בסיכון נמוך פוקעים ונעלמים מהדוחות לאחר כשישה חודשים, ואילו רשומות בסיכון בינוני וגבוה נשארות עד שמנהל או תהליך תיקון עצמי יסירו אותן.

האם חשבונות אורח יכולים להשתמש בתיקון אוטומטי של סיכון משתמש?

לא, זרימת התיקון האוטומטית המלאה אינה פועלת עבור משתמשי אורח וחיצוניים, מכיוון ש-Microsoft Entra ID אינו מבטל הפעלות לחשבונות חיצוניים באותו אופן שבו הוא עושה זאת לחברים פנימיים.

מה ההבדל בין 'Confirm safe' ל-'Dismiss' בדוחות ניהול?

אישור "בטוח" (Confirm safe) מציין למערכת שההתראה הייתה אזעקת שווא שנגרמה מהתנהגות תקינה. ביטול (Dismiss) מציין שההתראה הייתה מבחינה טכנית ממצא חיובי אמיתי, אך התברר שהיא לא מסוכנת בהקשר הספציפי הזה, למשל בדיקת אבטחה מתוכננת.