Идентичность как новый периметр: защита Entra ID с помощью ИИ

By Mirko Peters · 2026-08-11 · Updated 2026-08-27

Добро пожаловать обратно в сопроводительный блог к подкасту! По мере того как современные ИТ-среды продолжают выходить за пределы традиционных стен физической сети, защита предприятия требует принципиального пересмотра того, как мы понимаем границы безопасности. В этом подробном разборе мы расскажем, как идентичность официально стала новым периметром и как передовой искусственный интеллект меняет

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно в сопроводительный блог к подкасту! По мере того как современные ИТ-среды продолжают выходить за пределы традиционных стен физической сети, защита предприятия требует принципиального пересмотра того, как мы понимаем границы безопасности. В этом подробном разборе мы расскажем, как идентичность официально стала новым периметром и как передовой искусственный интеллект меняет подход к её защите. Если вас когда-либо подавлял огромный объём событий входа, аномального поведения и разрозненных журналов, вы попали по адресу. Сегодня мы рассмотрим, как Microsoft Security Copilot трансформирует защиту идентичности в Microsoft Entra ID: оценивает поведение пользователей, коррелирует слабые сигналы и предлагает мгновенные меры по устранению угроз.

Введение: идентичность как новый периметр

Десятилетиями корпоративная безопасность определялась четырьмя стенами офиса. Межсетевые экраны, физические подсети и контроллеры домена служили чёткой границей между доверенными внутренними ресурсами и недоверенным внешним миром. Но когда удалённая работа, переход в облако и мобильные устройства стали постоянным операционным стандартом, этот физический периметр растворился. Сегодня ваши сотрудники, партнёры и подрядчики входят в систему из кофеен, домашних офисов и аэропортов по всему миру, используя самые разные личные и корпоративные устройства. Поэтому традиционный межсетевой экран больше не то место, где выигрывается или проигрывается битва за безопасность предприятия.

Вместо этого первичной поверхностью атаки стала идентичность. Злоумышленники в основном отошли от сложных методов взлома периметра, ведь зачастую проще и выгоднее просто украсть учётные данные. Фишинг, подбор паролей по утёкшим базам (credential stuffing) и перехват сеансов сегодня являются излюбленными векторами входа для злоумышленников. Получив доступ к действительной учётной записи пользователя, атакующий может перемещаться по облачным сервисам, получать доступ к конфиденциальным данным и обходить устаревшие механизмы обнаружения, которые исходят из того, что вошедший в систему пользователь является добросовестным сотрудником. Поэтому защита современного предприятия требует радикального перехода к безопасности, ориентированной на идентичность, где каждый запрос на аутентификацию проверяется, рассматривается в контексте и непрерывно оценивается с точки зрения риска.

Оценка поведения при входе с помощью Security Copilot

Оценка поведения при входе в масштабе — задача, с которой человеку справиться непросто. Каждый день организации обрабатывают миллионы аутентификаций: от обычных утренних входов до программных вызовов API, работающих в фоновом режиме. Ожидать, что специалист по безопасности вручную просмотрит журналы входа, сопоставит IP-адреса и проверит соответствие устройств требованиям для каждого аномального события, — задача невыполнимая. Именно здесь на помощь приходят искусственный интеллект и, в частности, Microsoft Security Copilot, которые меняют правила игры.

Security Copilot работает как интеллектуальный слой, встроенный непосредственно в Microsoft Entra ID и в более широкую экосистему безопасности Microsoft. Когда пользователь пытается войти в систему, Copilot мгновенно начинает оценивать поведенческие базовые показатели. Он смотрит не только на то, был ли пароль верным; он учитывает общий контекст попытки аутентификации. Входит ли пользователь из незнакомого географического местоположения? Обращается ли он с устройства, которое никогда не регистрировалось в его профиле? Физически ли невозможна скорость перемещения между двумя последовательными входами? Непрерывно анализируя эти поведенческие паттерны на основе исторических данных, Security Copilot может сразу пометить высокорисковые входы, которые в противном случае прошли бы мимо статических политик условного доступа или остались бы незамеченными среди множества рутинных журналов.

Корреляция слабых сигналов в осмысленные истории рисков

Одна из самых коварных особенностей современных киберугроз — опора на низкоприоритетные, разрозненные индикаторы. Сами по себе отдельные события, например, незначительный запрос на сброс пароля, нераспознанная строка user-agent браузера или кратковременный вход через коммерческий VPN, могут казаться совершенно безобидными. Традиционные системы управления информацией и событиями безопасности (SIEM) часто генерируют отдельные оповещения по каждому из этих случаев, что напрямую способствует постоянной усталости от оповещений, которая изматывает современные центры мониторинга безопасности.

Security Copilot выделяется тем, что выступает когнитивным мостом между разрозненными источниками данных. Вместо того чтобы рассматривать отдельные события как тупики, Copilot автоматически сопоставляет множество слабых сигналов по пользователям, устройствам и приложениям и выстраивает связную и осмысленную картину риска. Например, если учётная запись получает вход вне обычного рабочего времени с нового устройства, затем следует быстрая попытка смены пароля, а сразу после этого запрос к конфиденциальным данным клиентов, Copilot связывает эти события в одну цепочку. Он превращает сырую, запутанную телеметрию в понятный повествовательный текст на естественном языке, который объясняет, как именно злоумышленник пытается скомпрометировать идентификатор. Эта возможность избавляет от утомительной ручной сборки контекста и позволяет аналитикам мгновенно оценить серьёзность ситуации.

Немедленные действия по устранению рисков для входов с высоким уровнем риска

Выявить угрозу — только полдела; по-настоящему о зрелости защиты говорит то, насколько быстро её удаётся остановить до нанесения ущерба. В условиях высокого давления каждая минута, потраченная на выбор правильного ответа или на навигацию по сложным административным консолям, повышает риск утечки данных или бокового перемещения. Security Copilot сокращает разрыв между обнаружением и реагированием, предлагая контекстные рекомендации по устранению угрозы прямо в рабочем процессе аналитика.

Когда вход с высоким уровнем риска помечен и подтверждён как вредоносный или крайне подозрительный, Copilot не просто показывает проблему, а предлагает конкретные пути устранения. Аналитики могут мгновенно выполнить команды: потребовать повторной проверки многофакторной аутентификацией, принудительно сбросить пароль, отозвать активные токены OAuth или временно полностью заблокировать рискованный сеанс. Поскольку эти действия интегрированы непосредственно в Microsoft Entra ID и инструменты Defender, время реагирования резко сокращается. То, что раньше требовало многоэтапного расследования и ручного административного вмешательства, теперь можно нейтрализовать буквально несколькими щелчками мыши, что существенно сокращает общее окно уязвимости организации.

Защита современного предприятия с помощью ИИ-защиты идентификаторов

По мере того как киберугрозы становятся всё более автоматизированными и изощрёнными, защитники не могут полагаться только на ручные процессы, устаревшие инструменты и реактивный подход. Сделав идентификатор новым периметром и внедрив продвинутых ИИ-ассистентов, таких как Microsoft Security Copilot, организации наконец могут переломить ход борьбы с настойчивыми злоумышленниками. Сопоставление слабых поведенческих сигналов, сокращение времени расследований и автоматизация действий по устранению угроз позволяют командам безопасности перейти от бесконечного тушения пожаров к проактивной и устойчивой защите.

Чтобы узнать больше о том, как искусственный интеллект меняет операции по безопасности и помогает командам справляться с усталостью от оповещений в SOC, обязательно посмотрите связанный выпуск подкаста: Security Copilot for SOC Operations: Reduce Alert Fatigue.

С какими сложностями сталкиваются аналитики безопасности при текущем объёме оповещений?
Аналитики безопасности буквально завалены потоком оповещений, и их число нередко превышает 200 ещё до начала рабочего дня. Такой объём создаёт задержки и снижает эффективность, из-за чего трудно эффективно реагировать на активные угрозы.

Как Security Copilot улучшает рабочий процесс команд безопасности?
Security Copilot встроен непосредственно в существующие инструменты безопасности, что позволяет аналитикам получать помощь ИИ без прерывания работы. Такая интеграция помогает сохранять фокус на решении задач безопасности, а не на переключении между разными системами.

Каким образом Copilot помогает лучше понимать оповещения системы безопасности?
Copilot формирует подробные сводки по оповещениям, которые переводят сложные технические сигналы в понятные описания. Он объясняет контекст и серьёзность оповещений, превращая их в практичные аналитические отчёты.

Какие проактивные возможности Security Copilot предоставляет командам безопасности?
Copilot способен выявлять закономерности в нескольких сигналах риска, что позволяет командам безопасности проактивно искать угрозы, связанные с идентификаторами, а не только реагировать на оповещения с высокой степенью достоверности. Так фокус смещается с реактивного реагирования на проактивный поиск угроз.

Как Copilot помогает в управлении устройствами и создании политик?
Copilot автоматизирует экспертный анализ, показывая, как изменения политик безопасности влияют и на уровень защиты, и на работу пользователей. Это помогает администраторам принимать обоснованные решения, которые сочетают требования безопасности с продуктивностью пользователей.

Получите полный доступ к M365 Show - Microsoft 365 Digital Workplace Daily на m365.show/subscribe