Ryzyko logowania a ryzyko użytkownika w Microsoft Entra ID: jaka jest różnica?

By Mirko Peters · 2026-10-26

Poznaj kluczowe różnice między ryzykiem logowania a ryzykiem użytkownika w Microsoft Entra ID Protection i dowiedz się, jak poprawnie skonfigurować dostęp warunkowy.

Automatically translated with AI from the original post. Read the English original

Ryzyko logowania i ryzyko użytkownika w Microsoft Entra ID Protection to odrębne metryki bezpieczeństwa. Ryzyko logowania ocenia, czy pojedyncza próba uwierzytelnienia jest podejrzana, natomiast ryzyko użytkownika określa, czy podstawowe poświadczenia konta zostały przejęte w wielu sesjach.

Najważniejsze wnioski

• Ryzyko logowania określa prawdopodobieństwo, że dana próba uwierzytelnienia nie pochodzi od prawowitego właściciela konta.
• Ryzyko użytkownika określa, czy poświadczenia konta zostały trwale przejęte lub ujawnione w wyniku wycieku danych.
• Pojedyncze, nieobsłużone ryzyko logowania może z czasem stopniowo się kumulować i doprowadzić do oznaczenia użytkownika jako użytkownika o wysokim ryzyku.
• Ryzyko logowania zwykle rozwiązuje się od razu za pomocą wyzwania MFA, natomiast ryzyko użytkownika często wymaga bezpiecznej zmiany hasła.
• Do pełnego wykorzystania zasad opartych na ryzyku, szczegółowej historii raportów i automatycznego usuwania ryzyka wymagana jest licencja Microsoft Entra ID P2.

Zrozumienie zasadniczej różnicy

Gdy administratorzy po raz pierwszy wdrażają Microsoft Entra ID Protection, jednym z najczęstszych źródeł nieporozumień jest mylenie ryzyka logowania z ryzykiem użytkownika. Choć obie metryki opierają się na ogromnej sieci analizy sygnałów Microsoftu — przetwarzającej biliony sygnałów dziennie z kont konsumenckich, dzierżaw przedsiębiorstw, a nawet usług Xbox — odpowiadają one na zasadniczo różne pytania.

System bezpieczeństwa nie może traktować pojedynczego nietypowego logowania tak samo jak faktycznie przejętego konta. Jeśli administrator stosuje blokadę całego konta za każdym razem, gdy ktoś loguje się z nieznanej lokalizacji lub nietypowej sieci, produktywność zostaje sparaliżowana. Z drugiej strony, potraktowanie rzeczywiście przejętego konta zwykłym tymczasowym wyzwaniem MFA pozostawia trwale działającego atakującego wolnego do ponownego zalogowania się po wygaśnięciu wyzwania. Zrozumienie, jak te dwie metryki działają niezależnie i jak na siebie wpływają, jest kluczowe przy projektowaniu zrównoważonej postawy bezpieczeństwa chmury.

Czym jest ryzyko logowania?

Ryzyko logowania dotyczy wyłącznie jednego momentu: dokładnej chwili, w której użytkownik próbuje uzyskać dostęp do zasobu, takiego jak Microsoft Teams, SharePoint czy Outlook. Dotyczy wyłącznie konkretnego kontekstu tej jednej próby logowania i niczego więcej. System sprawdza, czy właściwości tego konkretnego żądania odpowiadają typowym wzorcom zachowania użytkownika.

Microsoft Entra ID Protection ocenia kilka zmiennych podczas kontroli logowania w czasie rzeczywistym. Należą do nich połączenia pochodzące z anonimowych adresów IP, często używanych do ukrycia lokalizacji geograficznej, scenariusze niemożliwego podróżowania, gdy logowania odbywają się z geograficznie odległych regionów w nierealnym czasie, lub oznaki ataku password spray, w którym przeciwnik testuje jedno popularne hasło na tysiącach kont przedsiębiorstwa jednocześnie. Nietypowe właściwości logowania są również oceniane dynamicznie: im bardziej nietypowe wygląda żądanie w porównaniu z historycznymi wartościami bazowymi, tym wyższy staje się wynik ryzyka.

Co istotne, wynik ryzyka logowania dotyczy wyłącznie tej jednej próby. Jeśli użytkownik pomyślnie przejdzie podniesione uwierzytelnianie wieloskładnikowe (MFA) podczas tego konkretnego logowania, ryzyko związane z tym logowaniem zostaje natychmiast zneutralizowane, a użytkownik kontynuuje pracę bez trwałej kary dla stanu jego konta.

Czym jest ryzyko użytkownika?

Ryzyko użytkownika natomiast nie dotyczy pojedynczego logowania. Dotyczy kondycji i integralności samego konta. Ryzyko użytkownika pozwala ocenić, czy poświadczenia konta dostały się w niepowołane ręce, co oznacza, że napastnik posiada trwałe klucze do królestwa i może powrócić, aby naruszyć dane, kiedy tylko zechce.

Głównym czynnikiem ryzyka użytkownika jest pojawienie się poświadczeń w znanych wyciekach danych. Gdy nazwy użytkowników i hasła wyciekają w sieci ciemnej lub są zbierane przez złośliwe oprogramowanie kradnące informacje, wywiad zagrożeń firmy Microsoft natychmiast oznacza takie poświadczenia. Do innych wskaźników należą zweryfikowana infrastruktura podmiotów zagrażających, która bezpośrednio oddziałuje na profil użytkownika, lub anomalne wzorce aktywności sugerujące trwały nieautoryzowany dostęp.

Gdy konto zostanie oznaczone ryzykiem użytkownika, zagrożenie pozostaje nawet po wylogowaniu się użytkownika. Ponieważ atakujący mógł zdobyć hasło poza normalnymi granicami sesji, samo wymuszenie uwierzytelnienia MFA rzadko wystarcza, aby w pełni rozwiązać problem wysokiego wyniku ryzyka użytkownika. Należy usunąć podstawową lukę.

Jak obliczane są poziomy ryzyka

Zarówno ryzyko logowania, jak i ryzyko użytkownika sprowadzają się do trzech jasnych poziomów pewności: niskiego, średniego i wysokiego. Poziomy te reprezentują szacunki prawdopodobieństwa zagrożenia oparte na uczeniu maszynowym, a nie absolutne, binarne rozstrzygnięcia.

Wysokie ryzyko oznacza, że zautomatyzowane systemy firmy Microsoft dysponują silnym, zweryfikowanym dowodem kompromitacji, na przykład jawnie wyciekłymi poświadczeniami zgodnymi z bazami danych sieci ciemnej lub zweryfikowanymi sygnaturami złośliwych adresów IP. Średnie ryzyko odzwierciedla umiarkowane oznaki podejrzanej aktywności o mniejszej bezwzględnej pewności. Niskie ryzyko wskazuje na anomalne zachowanie odbiegające od standardowych wzorców, ale bez jednoznacznych wskaźników złośliwości.

Istotnym szczegółem administracyjnym jest to, jak te rekordy starzeją się w czasie. Elementy o niskim ryzyku automatycznie wygasają po około sześciu miesiącach, aby pulpity pozostawały przejrzyste i łatwe w zarządzaniu. Elementy o średnim i wysokim ryzyku nie wygasają jednak same. Pozostają w centrum administracyjnym, dopóki zautomatyzowana zasada lub administrator nie zbada, nie naprawi ani nie odrzuci ich w sposób wyraźny.

Efekt narastania: jak te elementy są ze sobą powiązane

Chociaż ryzyko logowania i ryzyko użytkownika oceniają różne rzeczy, są ściśle powiązane w raportowaniu i egzekwowaniu zasad. Pojedyncze ryzyko logowania, które pozostanie nieobsłużone lub niezweryfikowane, może z czasem się sumować i narastać, ostatecznie zwiększając ogólny wynik ryzyka użytkownika.

Oznacza to, że dana osoba może być widoczna jako ryzykowny użytkownik na pulpicie Entra ID, nawet jeśli jej ostatnie próby logowania wyglądały zupełnie normalnie. System uwzględnia skumulowaną historię podejrzanych zachowań, która zwiększa prawdopodobieństwo długoterminowego przejęcia konta. Administratorzy IT powinni analizować oba raporty równolegle, zamiast traktować je jako odrębne, izolowane obszary.

Automatyzacja naprawy za pomocą dostępu warunkowego

Aby zespoły bezpieczeństwa nie utonęły w ręcznych alertach, Microsoft Entra Conditional Access łączy wyniki ryzyka z automatycznym egzekwowaniem zasad. Organizacje mogą konfigurować konkretne zasady, które uruchamiają się po przekroczeniu progów niskiego, średniego lub wysokiego ryzyka.

W przypadku ryzyka logowania zasady mogą wymuszać działania, takie jak wymaganie uwierzytelniania MFA, wymuszenie nowej sesji logowania lub całkowite zablokowanie dostępu. Gdy użytkownik pomyślnie przejdzie wyzwanie MFA, ryzyko zostaje natychmiast usunięte.

W przypadku ryzyka użytkownika zasady zazwyczaj wymagają bezpiecznej zmiany hasła lub zautomatyzowanej naprawy ryzyka. Najciekawszy w naprawie ryzyka jest jej elastyczne działanie: jeśli użytkownik loguje się tradycyjnym hasłem, system wymusza bezpieczną zmianę hasła i natychmiast unieważnia wszystkie istniejące sesje. Jeśli użytkownik loguje się metodami bez hasła, system kończy aktywne sesje i wymusza nowy przepływ uwierzytelniania. Ta zautomatyzowana reakcja znacząco zmniejsza liczbę zgłoszeń do działu pomocy technicznej, jednocześnie powstrzymując napastników.

Podsumowanie

Opanowanie różnicy między ryzykiem logowania a ryzykiem użytkownika pozwala architektom chmury tworzyć precyzyjne, zniuansowane zasady zabezpieczeń, które chronią dane firmowe bez nadmiernych utrudnień dla codziennych użytkowników. Gdy automatyzacja przejmuje typowe zadania naprawcze, zespoły IT mogą skupić się na badaniu prawdziwych zagrożeń. Aby dowiedzieć się więcej o działaniu tych warstw ochrony we współczesnych środowiskach chmurowych, posłuchaj pełnego odcinka podcastu, w którym znajdziesz kompletne omówienie najlepszych praktyk konfiguracji, wymagań licencyjnych i strategii administrowania w praktyce.

Często zadawane pytania

Co się dzieje, gdy zostanie wykryte ryzyko logowania?

Gdy wykryte zostanie ryzyko logowania, dostęp warunkowy w Microsoft Entra może automatycznie zablokować próbę, zezwolić na dostęp lub zażądać od użytkownika uwierzytelnienia wieloskładnikowego (MFA), aby potwierdził swoją tożsamość.

Jak długo zdarzenia o niskim ryzyku są widoczne w raportach Microsoft Entra ID Protection?

Wykrycia o niskim ryzyku automatycznie wygasają i znikają z raportów po około sześciu miesiącach, natomiast wpisy o średnim i wysokim ryzyku pozostają do chwili, gdy administrator lub samodzielne usuwanie zagrożenia je wyczyści.

Czy konta gości mogą korzystać z automatycznego usuwania ryzyka użytkownika?

Nie, pełny zautomatyzowany proces usuwania ryzyka nie działa w przypadku kont gości i użytkowników zewnętrznych, ponieważ Microsoft Entra ID nie unieważnia sesji tych zewnętrznych kont w taki sam sposób jak w przypadku członków wewnętrznych.

Jaka jest różnica między 'Potwierdź jako bezpieczne' a 'Odrzuć' w raportach administratora?

Potwierdzenie jako bezpieczne oznacza, że system ma traktować alert jako fałszywy alarm wywołany normalnym zachowaniem. Odrzucenie oznacza, że alert był technicznie prawdziwie pozytywnym wynikiem, ale w tym konkretnym kontekście okazał się nieszkodliwy, na przykład w przypadku zaplanowanego testu bezpieczeństwa.