Освоение обнаружения невозможных перемещений в Microsoft Entra ID

By Mirko Peters · 2026-08-28

Добро пожаловать обратно в сопроводительный блог к нашему продолжающемуся подкасту. По мере того как облачные среды расширяются, а удалённая работа становится безусловной базовой моделью для организаций, wo…

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно в сопутствующий блог к нашему подкасту. По мере того как облачные среды расширяются, а удалённая работа становится безусловной нормой для организаций по всему миру, защита цифрового периметра уже не сводится к межсетевым экранам и традиционным сетевым средствам контроля. Сегодня оборона периметра начинается и заканчивается идентификацией. Злоумышленники это знают, поэтому скомпрометированные учётные данные остаются главным вектором современных кибератак. В этом подробном руководстве мы глубоко разберём одну из самых мощных функций поведенческой аналитики, встроенных в платформу идентификации Microsoft: обнаружение невозможных перемещений. Если вы хотите выявлять изощрённых злоумышленников до того, как они продвинутся глубже в вашем клиенте, понимание того, как настраивать, отслеживать и расследовать такие аномалии, — абсолютная необходимость.

Прежде чем переходить к механике, обязательно ознакомьтесь с нашим сопутствующим выпуском подкаста, Detect Impossible Travel and Token Replay in Microsoft Entra ID, в котором мы разбираем именно эти векторы безопасности на реальных примерах и с практическими выводами.

Введение в обнаружение невозможных перемещений в Microsoft Entra ID

Идентификация — новая плоскость управления. Когда злоумышленники атакуют организацию, им редко нужно преодолевать мощную защиту сетевого периметра, если они могут просто войти, используя украденные, полученные фишингом или утёкшие учётные данные пользователя. Однако поведение при аутентификации оставляет цифровой след. Если пользователь успешно входит из Нью-Йорка, а через десять минут успешно входит из Токио, нарушается фундаментальный закон физики: человек физически не может преодолеть такое расстояние за такое время.

Microsoft Entra ID использует передовые эвристики, машинное обучение и обширные данные киберразведки, чтобы выявлять именно такие расхождения. Обнаружение невозможных перемещений — краеугольный камень Microsoft Entra ID Protection. Анализируя историю входов, базы геолокации IP-адресов и расчёты скорости, система помечает запросы на аутентификацию, которые противоречат обычным географическим перемещениям. Выявление таких аномалий позволяет группам безопасности вмешаться немедленно и пресечь действия злоумышленников до того, как они смогут выполнить экфильтрацию данных, закрепиться в системе или запустить вторичные атаки.

Разбор механики аномалий невозможных перемещений

Чтобы эффективно настроить средства контроля безопасности, сначала необходимо понять, как именно работает движок обнаружения. Невозможное перемещение классифицируется как событие риска в Microsoft Entra ID. При входе движок Identity Protection оценивает несколько отдельных параметров:

• Географические координаты: Система определяет место источника попытки входа по публичному IP-адресу, который использует клиентское устройство.
• Разница во времени: Точная разница между временными метками текущего успешного входа и предыдущего непосредственно успешного входа пользователя.
• Скорость и выполнимость: Движок рассчитывает расстояние между двумя локациями и определяет, возможна ли требуемая скорость перемещения для человека с использованием стандартного коммерческого транспорта.
• Контекст аномалии: Система также проверяет, использовал ли пользователь ранее конечный IP-адрес, устройство или сеть, отличая настоящее невозможное перемещение от обычного поведения, например использования корпоративного VPN.

Ложные срабатывания иногда возникают из-за выходных узлов корпоративного VPN, которые направляют трафик через центры обработки данных, расположенные за тысячи миль от физического местоположения пользователя. Настройка политик защиты идентификации и использование именованных местоположений помогает смягчить эти ложные тревоги, позволяя центру операций безопасности (SOC) сосредоточиться на действительно вредоносных намерениях, а не на обычных особенностях инфраструктуры.

Настройка мониторинга безопасности и Identity Protection

Обнаружение ценно только тогда, когда за ним стоят средства автоматического реагирования. Полагаться исключительно на аналитиков, которые вручную разбирают оповещения о невозможных перемещениях, — верный путь к проблемам: атакующие действуют с машинной скоростью, и ваша защита должна работать так же. Настройка Microsoft Entra ID Protection предполагает создание политик условного доступа на основе рисков, которые динамически реагируют на обнаруженные аномалии.

При построении системы мониторинга безопасности имеет смысл задать ступенчатые пороги реагирования в зависимости от уровня риска:

• Входы с низким риском: могут запускать логирование и мониторинг в вашей SIEM без немедленного прерывания работы пользователя, однако создание базовых оповещений здесь обязательно.
• Входы со средним риском: как правило, требуют усиления аутентификации: пользователю нужно пройти многофакторную аутентификацию (MFA) повышенной надёжности или выполнить сброс пароля с самообслуживанием (SSPR).
• Входы с высоким риском (например, невозможное перемещение в сочетании с незнакомыми свойствами устройства): должны немедленно полностью блокировать доступ к конфиденциальным облачным ресурсам, отзывать активные токены сеанса и требовать от владельца учётной записи и администратора устранить проблему.

Переход от статических правил безопасности к политикам доступа на основе рисков в реальном времени позволяет создать адаптивный периметр, который автоматически усиливает защиту при обнаружении подозрительного поведения.

Расследование входов из географически удалённых мест

Когда срабатывает оповещение о невозможном перемещении, специалистам по реагированию на инциденты нужен чёткий план действий, чтобы эффективно разобрать событие. Тщательное расследование не ограничивается сбросом пароля пользователя: необходим полный криминалистический анализ, чтобы определить масштаб возможной компрометации.

Начните с получения журналов входа, связанных с данной учётной записью. Внимательно изучите строки User-Agent, используемые клиентские приложения и IP-адреса. Пришёл ли второй вход из известного вредоносного ASN или через выходной узел Tor? Затем проверьте признаки повторного воспроизведения токенов или сигнатуры перехвата сеанса. Если атакующий украл токен сеанса, а не только учётные данные, он может полностью обойти стандартные запросы MFA, и именно оповещения о невозможном перемещении зачастую оказываются одним из немногих индикаторов, которые выявляют взлом.

Документируйте каждый шаг расследования. Сохранение журналов аудита, фиксация аномалий входа и учёт времени жизни токенов помогают организации соблюдать требования соответствия и получать точные сведения, необходимые для защиты среды от будущих вариантов этой атаки.

Использование Microsoft Sentinel и Defender для обнаружения угроз

Хотя Microsoft Entra ID Protection обеспечивает встроенное обнаружение рисков, современная криминалистика в облаке и поиск угроз требуют централизованной единой платформы безопасности. Именно здесь на помощь приходят Microsoft Sentinel и Microsoft Defender XDR.

Microsoft Sentinel выступает в роли облачной SIEM: он получает журналы идентификации, журналы действий Azure и телеметрию конечных точек и объединяет разрозненные оповещения в единый инцидент. Например, оповещение о невозможном перемещении в Entra ID можно автоматически сопоставить с подозрительным запуском процесса, зафиксированным Microsoft Defender for Endpoint на корпоративном ноутбуке пользователя. Такая корреляция между доменами даёт аналитикам SOC полную картину атаки: видно, привела ли компрометация учётной записи к выполнению кода на конечной точке или наоборот.

Написав собственные аналитические правила в Sentinel, команды безопасности могут искать конкретные шаблоны угроз, например события невозможного перемещения, после которых сразу создаются правила пересылки во входящих или изменяются субъекты-службы. Интеграция этих инструментов устраняет изоляцию систем безопасности и позволяет вашей команде реагировать с точностью до мелочей.

Лучшие практики снижения рисков компрометации облачной идентификации

Чтобы не допустить превращения эксплуатации невозможного перемещения в катастрофическую утечку данных, необходимо придерживаться базовых принципов облачной безопасности. Внедрение архитектуры Zero Trust — самая эффективная стратегия, которую может принять организация. Никогда не доверяйте, всегда проверяйте и исходите из того, что взлом уже произошёл.

Рассмотрите возможность внедрения следующих мер усиления защиты во всей облачной среде Microsoft:

• Требуйте MFA, устойчивую к фишингу: откажитесь от традиционных SMS и базовых push-уведомлений, которые уязвимы для атак «человек посередине». Внедрите ключи безопасности FIDO2 или Windows Hello для бизнеса.
• Настройте именованные местоположения: явно укажите в Entra ID публичные диапазоны IP-адресов корпоративных офисов и доверенные конечные точки VPN, чтобы снизить количество ложных срабатываний по признаку impossible travel.
• Ограничьте устаревшую проверку подлинности: полностью заблокируйте протоколы устаревшей проверки подлинности, поскольку они не поддерживают современные оценки безопасности, например политики условного доступа на основе рисков.
• Регулярно проверяйте привилегированные роли: убедитесь, что учетные записи с административными привилегиями находятся под постоянным контролем на предмет событий риска, а для них применяются строгие политики времени жизни токенов.
• Создайте понятные плейбуки реагирования на инциденты: убедитесь, что ваш SOC точно знает, как отзывать сеансы, сбрасывать учетные данные и проверять разрешения приложений, когда компрометация учетной записи подтверждена.

Заключение и дальнейшие шаги для вашей команды безопасности

Освоение обнаружения impossible travel в Microsoft Entra ID — важный шаг на пути к зрелой модели безопасности облачной среды. Киберугрозы постоянно эволюционируют и всё более изощренно нацелены на облачные учетные записи, поэтому полагаться только на реактивные меры уже невозможно. Понимая механику географических аномалий, настраивая автоматизированные политики на основе рисков и используя возможности Microsoft Sentinel и Defender XDR, ваша команда безопасности сможет обнаруживать, сдерживать и нейтрализовать угрозы до того, как они приведут к серьезным утечкам.

Будьте внимательны, придерживайтесь подхода Zero Trust и регулярно проверяйте свою инфраструктуру идентификации. Чтобы послушать практичное обсуждение этих концепций от экспертов и узнать, как они применяются в более широкой экосистеме Microsoft, обязательно послушайте наш связанный эпизод Detect Impossible Travel and Token Replay in Microsoft Entra ID. Продолжайте учиться, проверяйте свои защитные меры и опережайте противников.