Identity Protection и Conditional Access: как правильно настроить безопасность Microsoft Entra ID

By Mirko Peters · 2026-04-26

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

Идентификация стала новым полем битвы за безопасность, и когда Microsoft Entra ID занимает центральное место в ИТ большинства организаций, разобраться в своих возможностях совершенно необходимо. Два самых известных инструмента — Identity Protection и Conditional Access. Если вас беспокоят современные угрозы вроде фишинга, атак перебора паролей или разрастания облачных приложений, понимание того, когда опираться на каждый из них и как использовать их вместе, может изменить ситуацию.

Эта статья поможет вам провести границу (и заметить пересечения) между защитой идентификации и условным доступом в мире Microsoft. Мы разберём не только то, что делают эти инструменты, но и почему для устойчивой и гибкой защиты нужны оба. Атакующие становятся смелее, а облачные периметры размываются, поэтому это основа для того, чтобы двери были открыты для нужных людей и плотно закрыты для всех остальных.

Identity Protection и условный доступ в Microsoft Entra ID

Давайте на секунду взглянем шире. Современные организации размещены не в одном здании, а распределены между устройствами, облаками и континентами. Поэтому старые способы защиты сети уже мало что дают. Сегодня безопасность начинается у входной двери: с пользователей и их идентификаторов.

Microsoft Entra ID включает два основных механизма безопасности, которые обеспечивают работу этой входной двери. Identity Protection — это как камера наблюдения и система сигнализации: она постоянно отслеживает попытки взлома и всё, что выглядит «неправильно». Conditional Access — это цифровой вышибала, который сверяет каждый запрос с правилами дома, прежде чем впустить кого-либо на вечеринку или даже на подъездную дорожку.

Да, эти инструменты различаются, но созданы для совместной работы. Identity Protection направляет прожектор на рискованное поведение, а Conditional Access действует: блокирует, разрешает или требует дополнительного подтверждения на основании этих сигналов. В облачном мире одних паролей недостаточно; нужны умные адаптивные политики, которые реагируют на риск, где бы он ни возник.

В следующих разделах вы получите чёткое определение этих двух технологий и увидите, как подход Microsoft к безопасности идентификации эволюционировал. Разница между наблюдением за угрозами и реальным применением правил существенна, и понимание этой разницы спасёт вас, когда настоящая атака постучится в дверь.

Identity Protection и Conditional Access: в чём разница

Identity Protection в Microsoft Entra ID — это «мозг» обнаружения рисков Microsoft. Он использует машинное обучение и данные о киберугрозах, чтобы выявлять закономерности, указывающие на скомпрометированные учётные данные или необычное поведение, например невозможные перемещения между континентами, повторные попытки угадать пароль или входы с анонимизированных IP-адресов. Его главная задача: выявлять рискованных пользователей и входы, чтобы вы могли отреагировать до того, как будет нанесён ущерб.

Conditional Access, напротив, основан на применении политик. Вместо того чтобы ждать срабатывания сигнализации, Conditional Access решает, на основании таких условий, как местоположение, состояние устройства, роль пользователя и сигналы риска, кто, что, когда и каким образом может делать. С его помощью требуют многофакторную аутентификацию (MFA), блокируют доступ к чувствительным приложениям или разрешают доступ только с соответствующих требованиям устройств. Сам по себе он не «чувствует» риск, но берёт выводы Identity Protection и действует на их основании.

Сила в их совместной работе. Identity Protection передаёт динамические оценки риска в Conditional Access, поэтому политики могут содержать такие правила, как «Блокировать доступ, если риск пользователя высокий» или «Требовать MFA, если этот вход выглядит подозрительно». Хотите практические рекомендации о том, как следить за угрозами идентификации и избегать пробелов в управлении? Послушайте этот подкаст о идентификации, разрастании политик и чётком применении правил — в нём разбирается, как использовать оба инструмента вместе, чтобы закрыть реальные риски и не отрезать при этом реальных пользователей.

Итог: Identity Protection предупреждает вас о рисках, а Conditional Access позволяет реагировать автоматически и последовательно. Редко когда имеет смысл использовать только один из них, особенно теперь, когда атакующие изощрённее нацеливаются на идентификаторы, чем когда-либо.

Эволюция безопасности идентификации: от традиционных мер защиты к адаптивному контролю

Раньше защита сети означала мощный и надёжный межсетевой экран по периметру и принцип: «Если вы внутри, вам доверяют». VPN и пароли делали остальное, по крайней мере в теории. Но за последнее десятилетие стало ясно, как быстро эти границы можно обойти, особенно с ростом облачных приложений и удалённой работы.

Старый периметральный подход просто не справляется с реальностью сегодняшнего дня, когда пользователи переключаются между офисом, домом и кофейней и работают как на личных, так и на управляемых устройствах. Атакующие уже не стучатся в парадные ворота: они входят под украденными учётными данными и обходят межсетевые экраны, которые, возможно, даже не находятся под вашим контролем. Доверять всем, кто «внутри», не просто устаревшая практика, а серьёзный риск.

Поэтому безопасность теперь строится вокруг идентификации. Передовая линия обороны — не сеть, а ваши пользователи и их модели доступа. Адаптивные механизмы управления Microsoft, основанные на Identity Protection и условном доступе (Conditional Access), отслеживают каждый вход и каждую транзакцию на предмет едва заметных признаков риска и не доверяют никому лишь потому, что тот прошёл первую проверку. Такой непрерывный контроль лежит в основе концепции, которую называют Zero Trust.

Более подробно о внедрении политик Zero Trust в Microsoft 365 и Dynamics читайте в этом обсуждении Zero Trust by Design. Вы узнаете, почему проверки идентификации, устройства и сеанса сегодня важнее, чем когда-либо, и как контекстные запросы помогают по-настоящему защитить и пользователей, и данные.

Как обнаружение рисков формирует адаптивные политики безопасности

Поговорим о том, как знание о рисках превращается в действия в современной безопасности идентификации. Одно дело, когда система замечает что-то подозрительное, и совсем другое — вовремя ужесточить защиту, пока ситуация не вышла из-под контроля. В Microsoft Entra ID всё работает слаженно: постоянный мониторинг Identity Protection передаёт данные движку принудительного применения Conditional Access.

Речь не о том, чтобы ждать ежемесячных проверок безопасности или разбирать журналы уже после взлома. Обнаружение рисков работает в реальном времени: система замечает необычные закономерности, например, когда пользователь внезапно входит из страны, в которой никогда не бывал, или когда его учётные данные появляются в утёкшем дампе паролей. Сигналы о риске сразу могут повлиять на дальнейшие действия: повысить требования к доступу или полностью его заблокировать.

Главная сила — в адаптивных политиках, которые не опираются только на жёсткие правила «да» или «нет». Они учитывают, кто пытается войти, откуда, с какого устройства и насколько рискованной выглядит попытка с точки зрения актуальных данных об угрозах. Такое сочетание обнаружения и принуждения означает меньше инцидентов, меньше простоев и больше уверенности в том, что к вашим конфиденциальным данным и системам получают доступ только нужные люди.

В следующих разделах мы разберём детали: какие сигналы риска запускают политики, как они сочетаются с адаптивной многофакторной аутентификацией и как всё это вместе защищает организацию, не парализуя работу сотрудников.

Триггеры и контекстные факторы при принятии решений о доступе на основе рисков

Невозможное перемещение
Если пользователь входит из одной страны, а через несколько минут — из другого места, за тысячи миль, это запускает сигнал «невозможное перемещение». Физически такой переход невозможен. Этот сигнал указывает на возможную кражу учётных данных или перехват сеанса и запускает политики, которые требуют подтверждения или блокируют доступ.
Утёкшие учётные данные
Microsoft постоянно отслеживает публичные и закрытые источники на предмет взломанных учётных записей. Если учётные данные пользователя появляются в известной утечке, это флаг высокого риска. Условный доступ (Conditional Access) может заблокировать такие учётные записи или немедленно потребовать безопасного сброса пароля.
Входы с анонимных IP-адресов
Подключения через анонимайзеры, VPN или сети TOR часто означают, что злоумышленники скрывают своё реальное местоположение. Identity Protection замечает входы из подозрительных источников, помечает их как «рискованный вход» и применяет такие политики, как MFA или полная блокировка доступа.
Атаки перебором и распылением паролей
Когда в течение короткого времени происходит несколько неудачных попыток входа, либо на одну учётную запись (перебор, brute force), либо на множество учётных записей (распыление паролей, password spray), такие закономерности выявляются системой обнаружения рисков. Оперативная реакция может остановить автоматизированные атаки до того, как они подберут слабый пароль.
Злоупотребление сеансами и согласиями
Злоумышленники могут украсть OAuth-токены или злоупотребить согласием на приложения, чтобы получить доступ к ресурсам Microsoft 365. Современное обнаружение угроз, как показано в этом разборе реальной атаки на M365, показывает, что одной защиты паролей недостаточно: злоупотребление токенами требует собственного продвинутого мониторинга и условных средств контроля.

Такие события сразу повышают уровень риска входа или пользователя, что напрямую влияет на политики условного доступа. Они решают, может ли пользователь продолжить работу, нужно ли ему подтвердить свою личность или доступ нужно полностью заблокировать.

Адаптивная MFA: включение условного доступа на основе рисков

Адаптивная многофакторная аутентификация (MFA) означает, что дополнительная проверка, например код из SMS или приложение-аутентификатор, запрашивается только при реальной причине для беспокойства. Вместо того чтобы каждый раз при входе засыпать пользователей лишними запросами, условный доступ может включать MFA на основе риска в реальном времени: новые местоположения, неуправляемые устройства или сигналы от Identity Protection.

Такой подход сохраняет высокий уровень безопасности там, где это важнее всего, и не изматывает команду постоянными запросами. Практические стратегии, которые поддерживают строгую безопасность и не раздражают пользователей, описаны в этом руководстве по практическим настройкам безопасности Microsoft 365.

Настройка политик условного доступа в Microsoft Entra ID

Создание эффективного условного доступа в Entra ID — не сводится к включению пары переключателей. Главное искусство заключается в том, чтобы разработать политики, которые действительно соответствуют потребностям бизнеса — ни больше, ни меньше, — и при этом используют данные о рисках в реальном времени из Identity Protection для настоящей гибкости.

По сути, условный доступ сводится к определению того, кто что может делать, когда и с какими инструментами, и всё это основано на чётко заданном наборе условий. Современные политики учитывают соответствие требованиям устройства, риск пользователя, чувствительность приложения и даже контекст сеанса, что упрощает работу легитимным пользователям и значительно усложняет жизнь злоумышленникам.

Но на практике настройка редко бывает простой. Здесь важны лицензирование, административные разрешения, устаревшие исключения и технические ограничения системы. Внедрение должно избегать излишних неудобств, минимизировать конфликты политик и адаптироваться по мере изменения бизнес-задач и ландшафта угроз. Это процесс, а не разовое развёртывание.

Если вам нужны практические рекомендации по работе с доверием, состоянием устройств или проблемой разрастания исключений, можно глубже изучить это обсуждение проблем доверия к политикам и лучших планов внедрения.

Создание эффективных политик условного доступа: баланс между безопасностью и удобством

Начинайте с включающих, а не исключающих политик
Создавайте базовые политики, которые охватывают всех пользователей и все устройства, а затем выделяйте узкие исключения с ограниченным сроком действия. Слишком широкие исключения, например «кроме администраторов», создают слепые зоны в безопасности. Включающие политики защищают всех.
Используйте проверки соответствия устройств
Разрешайте вход только с соответствующих требованиям, управляемых через Intune устройств для доступа к чувствительным приложениям. Неуправляемые или личные устройства можно ограничить или заставить использовать только веб-версии приложений, что снижает риск утечки данных.
Используйте риск пользователя и контекст входа
Интегрируйте сигналы риска из Identity Protection, например «пользователь с высоким риском», чтобы динамически требовать MFA, ограничивать доступ или полностью блокировать вход, если учётная запись похожа на скомпрометированную. Это сохраняет удобство в типичных сценариях и усиливает контроль только тогда, когда это действительно необходимо.
Контролируйте по чувствительности приложения и местоположению
Критически важные рабочие нагрузки, такие как Exchange Online, нужно защищать по-разному. Например, финансовые данные могут быть закрыты для всех, кроме корпоративной сети, а клиентские порталы для подрядчиков могут иметь более мягкие правила.
Постоянно отслеживайте и совершенствуйте политики
Регулярно проверяйте журналы и KPI эффективности. Используйте подход управления жизненным циклом, описанный в этом подкасте о циклах устранения проблем для условного доступа. Так вы избежите технического долга в идентификации и сохраните предсказуемое применение политик.

Предварительные требования, ограничения и соображения по административным ролям

Лицензирование: условный доступ и Identity Protection требуют лицензий Microsoft Entra ID Premium P1 или P2. P2 открывает расширенную автоматизацию на основе рисков и отчётность.
Права администратора: Общесистемные политики могут настраивать только глобальные администраторы или администраторы безопасности, а ролевой доступ позволяет делегировать управление с более тонкой настройкой.
Технические ограничения: Некоторые устаревшие протоколы или облачные приложения могут не поддерживать современную аутентификацию или применение условного доступа, поэтому может понадобиться дополнительная настройка политик или полная блокировка устаревшей аутентификации.
Ограничения политик: Учитывайте лимиты на количество политик и зависимости между сервисами, чтобы не допустить непреднамеренной блокировки пользователей или конфликтов при применении политик.

Интеграция Identity Protection с условным доступом для повышения безопасности

Закрыть отдельные уязвимости недостаточно, когда любой вход может стать вектором атаки. Золотой стандарт — интеграция, при которой аналитика рисков Identity Protection непрерывно влияет на механизм политик условного доступа. Когда кто-то пытается сделать что-то необычное, система не ждёт, пока вы среагируете. Она уже действует.

Такое объединение закрывает пробелы, которые остались бы открытыми при использовании только одного подхода. Если обнаружение рисков поднимает флаг — например, вход из страны, с которой вы не ведёте бизнес, — условный доступ может запросить MFA или полностью заблокировать вход, часто ещё до того, как система или пользователь окажутся под угрозой. Итог? Автоматизация, которая не просто реагирует, а предвосхищает и нейтрализует меняющиеся угрозы в реальном времени.

Интеграция этих двух компонентов помогает не только спокойнее спать ИT-командам — это ещё и наглядная окупаемость. Вы снижаете вероятность взлома, экономите на затратах на реагирование и демонстрируете эффективность инвестиций, когда до вас доходят аудиторы или руководство. Самое главное — сократить количество инцидентов безопасности, не превращая работу пользователей в череду препятствий.

В следующей части мы подробно разберём, как внедрить это партнёрство для надёжных решений о доступе, а также что это даёт вам в плане выявления, остановки и анализа угроз по мере их появления.

Identity Protection и условный доступ: использование сигналов риска для контроля доступа

В Microsoft Entra ID сигналы риска из Identity Protection — например, статус пользователя с риском или отмеченные входы — становятся управляющими элементами в условном доступе. Вы создаёте политики вида: «Если уровень риска высокий, блокировать доступ к финансовым данным» или «Если обнаружен рискованный вход, требовать сброс пароля и дополнительную MFA».

Такая интеграция превращает обнаружение рисков из простых уведомлений в условия политик. Вы можете создавать детальные правила, которые мгновенно реагируют на новые угрозы. Например, если учётная запись отмечена после того, как её учётные данные появились в утечке, пользователь будет заблокирован в приложениях с высокой ценностью данных или направлен на шаги по устранению проблемы — независимо от того, откуда он входит и с какого устройства.

Это большой шаг по сравнению со старой моделью, когда рискованный вход, скорее всего, заметили бы уже после того, как ущерб был нанесён. Используя сигналы риска как триггеры, условный доступ делает вашу реакцию автоматизированной, согласованной и масштабируемой на всю инфраструктуру.

Для специалистов по безопасности такая замкнутая модель — настоящий прорыв: она обеспечивает быстрое противодействие реальным атакам и освобождает время для стратегических задач, а не для пожаротушения.

Повышение безопасности и результаты противодействия угрозам

Раннее сдерживание взлома: Автоматическое применение политик на основе обнаружения рисков — например, блокировка входов со скомпрометированных учётных записей — ограничивает время пребывания злоумышленника в системе и раньше пресекает неправомерное использование учётных записей.
Многоуровневое реагирование на угрозы: То, что обнаруживает Identity Protection, может быть обработано условным доступом — применение MFA, изоляция затронутых пользователей или принудительная смена паролей в реальном времени.
Меньше ошибок из-за человеческого фактора: Политики выполняются мгновенно и единообразно; вам не нужно надеяться, что администратор заметит каждое оповещение или правильно оценит риск постфактум.
Проверенная защита от современных угроз: Продвинутые атаки, такие как кража токенов сеанса и фишинг с запросом согласия, описанные в этом разборе взлома Microsoft 365, блокируются динамически активируемыми средствами контроля, а не устаревшими универсальными правилами.

Управление соответствием устройств, защитой приложений и контролем доступа

Идентичность — это не вся картина. Состояние ваших устройств (корпоративные они или личный телефон сотрудника) и чувствительность приложений, к которым идёт доступ, играют огромную роль в том, как вы применяете средства защиты. В Microsoft Entra ID политики соответствия устройств и политики защиты приложений стоят в одном ряду с рисками идентичности.

Современные политики условного доступа позволяют требовать более строгих условий для чувствительных рабочих нагрузок и блокировать рискованные сочетания, например доступ неуправляемых устройств к критически важным бизнес-данным. Такой многоуровневый подход поддерживает высокий уровень безопасности и учитывает реальные особенности работы людей сегодня.

Соображения по клиентам и приложениям в условном доступе

Статус управления устройством: разрешайте доступ только с управляемых устройств, соответствующих требованиям Intune, и блокируйте или ограничивайте доступ для личного или неизвестного оборудования.
Тип клиентского приложения: задавайте более строгие политики для устаревших клиентов; разрешайте облачные приложения, но ограничивайте старые почтовые клиенты, которые не поддерживают современную аутентификацию или MFA.
Управление мобильными приложениями: используйте политики защиты приложений, чтобы защитить данные в мобильных приложениях Office, контролируя копирование и вставку, загрузки и снимки экрана.
Доступ через браузер и нативные приложения: предоставляйте разные права пользователям браузера и тем, кто входит из настольных или мобильных приложений, управляя рисками с учётом контекста сеанса.

Индивидуальные политики безопасности для критически важных приложений и данных

Exchange Online Protection: требуйте соответствующих требованиям устройств или ограничений по местоположению при доступе к учётным записям бизнес-почты, чтобы предотвратить случайные и злонамеренные утечки.
Контроль SharePoint и OneDrive: блокируйте загрузки на неуправляемых устройствах или включайте режим только для чтения для файлов с конфиденциальным содержимым.
Microsoft Teams и финансовые данные: настройте более строгие средства аутентификации и контроля сеансов для команд, работающих с конфиденциальными финансовыми данными или данными кадровой службы.
Предотвращение утечки данных (DLP): используйте политики DLP во всех рабочих нагрузках Microsoft 365, опираясь на практические рекомендации, как в этом выпуске подкаста, чтобы автоматически не допускать выхода конфиденциальной информации за пределы вашей среды.

Лучшие практики, соответствие требованиям и будущее безопасности идентичности

Безопасность идентичности не стоит на месте: новые угрозы, требования регуляторов и развитие технологий означают, что политики должны успевать за изменениями. Лучше всего работают организации, которые находят баланс: политики покрывают их обязательства по аудиту и регулированию, адаптируются к изменениям бизнеса и снижают риски, не мешая легитимным пользователям.

Всё сводится к трём задачам: подтверждать соответствие требованиям, когда приходят аудиторы, сохранять эффективность контролей по мере роста и перейти от «доброго старого времени» с одними только паролями к современной модели идентичности Zero Trust. Если справиться с этим, вы снизите как юридические риски, так и вероятность попасть в заголовки новостей по неверным причинам.

Заглядывая вперёд, следите за типичными подводными камнями: скрытыми конфликтами политик, слепыми зонами в отчётности или отставанием от современных моделей безопасности. Например, соответствие требованиям может выглядеть хорошо на бумаге, в то время как незамеченное поведение пользователей подрывает ваши политики хранения или доступа. Эта тонкая опасность описана в этом разборе дрейфа соответствия требованиям в Microsoft 365.

Следующие разделы дадут вам конкретные практические рекомендации, которые помогут успешно работать в новую эпоху безопасности, построенной на идентичности.

Улучшенное соответствие требованиям и нормативам

Встроенные журналы аудита: Identity Protection и условный доступ автоматически фиксируют действия и результаты применения политик, что упрощает подготовку отчётов для аудита по SOC 2, GDPR или HIPAA.
Непрерывный мониторинг соответствия: используйте автоматизацию и панели мониторинга в реальном времени (см. этот разбор мониторинга соответствия в Microsoft Defender for Cloud) для проактивного управления рисками и меньшего количества сюрпризов в период аудита.
Снижение человеческих ошибок: автоматизированные средства контроля снижают риски, которые создают ручное применение политик и разовые исключения, и повышают долгосрочное соответствие требованиям.
Единая модель для разных облаков: Многооблачные среды выигрывают от единых фреймворков, которые поддерживают согласованные требования к безопасности даже по мере развития инфраструктуры.

Большая гибкость, масштабируемость и управление конфликтами политик

Наследование политик: Используйте назначения на основе групп, чтобы применять политики в масштабе без повторяющейся ручной настройки.
Стратегии разрешения конфликтов: Регулярно проверяйте пересекающиеся и конфликтующие политики и прогоняйте тестовых пользователей через сценарии до полного развёртывания.
Автоматический мониторинг: Настройте непрерывный контроль KPI, проверки состояния политик и оповещения, чтобы замечать проблемы до того, как они нарушат работу пользователей или ослабят безопасность.
Поэтапное внедрение: Используйте поэтапное развёртывание с пилотными группами, чтобы снизить риск блокировки доступа или падения производительности при изменении политик.

Модели безопасности идентификации: от устаревших недостатков к современному Zero Trust

Ограничения модели периметра: Старые подходы доверяли всему, что находится внутри межсетевого экрана. Достаточно было одной скомпрометированной учётной записи, и злоумышленники оказывались «внутри».
Опора на пароли: Опора на длину пароля и регулярную смену не позволяла предотвратить современные атаки, такие как фишинг и credential stuffing.
Набирающий силу Zero Trust: Современная лучшая практика, основанная на адаптивных контролях с учётом рисков, как объясняется в этом выпуске о Zero Trust и свободе пользователей, означает постоянную проверку идентификации, устройства и сеанса перед предоставлением доступа.
Непрерывный мониторинг: Вместо однократного входа по принципу «да» современная безопасность постоянно проверяет пользователей, повышая или понижая уровень доступа в зависимости от меняющегося контекста и риска.

Ресурсы и дальнейшие шаги для защиты идентификации

Работа не заканчивается на настройке политик. Новые угрозы, функции и требования регулирования появляются постоянно, поэтому полезно иметь под рукой надёжные источники. Документация Microsoft содержит подробные материалы по Entra ID, Conditional Access и Identity Protection, включая руководства по внедрению, лучшие практики и вопросы и ответы сообщества.

Но не ограничивайтесь только ими: подкасты коллег, локальные сообщества пользователей и платформы онлайн-обучения помогут освежить знания о новых инструментах, изменениях в лицензировании и предстоящих функциях. Используйте инструменты отчётности, чтобы демонстрировать прогресс и обосновывать инвестиции, когда руководство спрашивает про окупаемость или готовность к аудиту.

Поддержание стратегии идентификации в актуальном состоянии — это непрерывный процесс: опирайтесь на лучшие ресурсы и всегда сохраняйте любознательность.

Следите за новостями: будущее безопасности идентификации и продвинутый поиск угроз

Аналитика на основе ИИ: Аналитика нового поколения и ИИ выявляют едва заметные угрозы, включая неизвестные шаблоны атак, что позволяет проактивнее запускать триггеры Conditional Access.
Более детальное управление политиками: Ожидайте, что движки политик позволят задавать ещё более точные разрешения и уйти от моделей доступа «всё или ничего».
Продвинутые инструменты поиска угроз: Интегрированные решения обеспечат более глубокую видимость в многооблачных и гибридных средах, и ручной просмотр логов уйдёт в прошлое.
Ответственность за затраты: Будущие внедрения потребуют от ИТ демонстрировать не только улучшения безопасности, но и экономическую эффективность, что раскрывается в этом выпуске о showback в ИТ и реальной ответственности.
Постоянное обучение сообщества: Оставаться на шаг впереди помогут форумы сообщества, подкасты и реальные кейсы, чтобы вы не отставали от развития угроз.