Риск входа и риск пользователя в Microsoft Entra ID: в чём разница?

By Mirko Peters · 2026-10-26

Разбираем ключевые различия между риском входа и риском пользователя в Microsoft Entra ID Protection и показываем, как правильно настроить условный доступ.

Automatically translated with AI from the original post. Read the English original

Риск входа и риск пользователя в Microsoft Entra ID Protection — это разные показатели безопасности. Риск входа оценивает, является ли отдельная попытка аутентификации подозрительной, тогда как риск пользователя определяет, не были ли скомпрометированы основные учётные данные учётной записи в нескольких сеансах.

Главное

• Риск входа оценивает вероятность того, что конкретная попытка аутентификации исходит не от законного владельца учётной записи.
• Риск пользователя оценивает, были ли учётные данные учётной записи окончательно скомпрометированы или раскрыты в результате утечки данных.
• Один необработанный риск входа со временем может постепенно накапливаться и перерасти в статус пользователя с высоким риском.
• Риск входа обычно устраняется сразу через запрос MFA, тогда как для риска пользователя часто требуется безопасная смена пароля.
• Для полного использования политик на основе рисков, подробной истории отчётов и автоматического устранения рисков требуется Microsoft Entra ID P2.

Понимание ключевого различия

Когда администраторы впервые внедряют Microsoft Entra ID Protection, одна из самых частых путаниц — смешивание риска входа с риском пользователя. Хотя оба показателя опираются на обширную сеть сигналов Microsoft, которая анализирует триллионы ежедневных сигналов по потребительским учётным записям, корпоративным клиентам и даже службам Xbox, они отвечают на принципиально разные вопросы.

Система безопасности не может относиться к единственному необычному входу так же, как к по-настоящему украденной учётной записи. Если администратор применяет полную блокировку учётной записи каждый раз, когда кто-то входит из незнакомого места или через неожиданную сеть, работа останавливается. И наоборот, если скомпрометированную учётную запись обрабатывать простым временным запросом MFA, злоумышленник, который закрепился в системе, сможет снова войти после истечения срока запроса. Понимание того, как эти два показателя работают независимо друг от друга и как они взаимодействуют, необходимо для построения сбалансированной модели безопасности облачной среды.

Что такое риск входа?

Риск входа касается исключительно одного момента времени: той самой секунды, когда пользователь пытается получить доступ к ресурсу, например Microsoft Teams, SharePoint или Outlook. Он полностью определяется контекстом конкретной попытки входа и ничем больше. Система проверяет, соответствуют ли свойства этого запроса обычным поведенческим шаблонам пользователя.

Microsoft Entra ID Protection учитывает несколько параметров во время проверки входа в реальном времени. К ним относятся подключения с анонимных IP-адресов, которые часто используют для сокрытия географического местоположения, сценарии «невозможного перемещения», когда входы выполняются из географически удалённых регионов за нереально короткое время, а также признаки атаки password spray, при которой злоумышленник одновременно проверяет один распространённый пароль на тысячах корпоративных учётных записей. Необычные свойства входа также оцениваются динамически: чем необычнее запрос по сравнению с историческими базовыми показателями, тем выше становится оценка риска.

Важно, что оценка риска входа относится строго к одной конкретной попытке. Если пользователь успешно проходит дополнительную многофакторную аутентификацию (step-up MFA) при этом конкретном входе, риск, связанный с этим входом, немедленно нейтрализуется, и пользователь продолжает работу без каких-либо последующих ограничений статуса его учетной записи.

Что такое риск пользователя?

Риск пользователя, напротив, не связан с одним входом. Он касается состояния и целостности самой учетной записи. Риск пользователя отвечает на вопрос, не попали ли учетные данные учетной записи в чужие руки, то есть не получил ли злоумышленник постоянные ключи от всего и не может ли он в любой момент вернуться и скомпрометировать данные.

Основной фактор риска пользователя — появление учетных данных в известных утечках данных. Когда имена пользователей и пароли публикуются в даркнете или собираются вредоносным ПО для кражи информации, разведка угроз Microsoft немедленно помечает эти учетные данные. Другие индикаторы включают проверенную инфраструктуру злоумышленников, которая напрямую взаимодействует с профилем пользователя, или аномальные шаблоны активности, указывающие на закрепившийся несанкционированный доступ.

Если учетная запись помечена как рискованная для пользователя, угроза сохраняется даже после выхода пользователя из системы. Поскольку злоумышленник мог получить пароль вне обычных границ сеанса, одного только запроса MFA обычно недостаточно, чтобы полностью устранить высокую оценку риска пользователя. Необходимо устранить первопричину уязвимости.

Как рассчитываются уровни риска

И риск входа, и риск пользователя сводятся к трем понятным уровням достоверности: низкий, средний и высокий. Эти уровни представляют собой оценки вероятности угрозы, полученные с помощью машинного обучения, а не абсолютные бинарные истины.

Высокий риск означает, что автоматизированные системы Microsoft располагают надежными подтвержденными доказательствами компрометации, например явно скомпрометированными учетными данными, совпадающими с базами даркнета, или подтвержденными вредоносными IP-сигнатурами. Средний риск отражает умеренные признаки подозрительной активности с меньшей абсолютной достоверностью. Низкий риск указывает на аномальное поведение, которое отклоняется от стандартных шаблонов, но не содержит однозначных признаков вредоносной деятельности.

Важная административная деталь — то, как эти записи устаревают со временем. Записи с низким риском автоматически теряют актуальность примерно через полгода, чтобы панели мониторинга оставались аккуратными и удобными для работы. Записи со средним и высоким риском, однако, сами по себе не устаревают. Они остаются в центре администрирования до тех пор, пока автоматическая политика или администратор-человек явно не проверит, не устранит или не закроет их.

Эффект накопления: как они связаны между собой

Хотя риск входа и риск пользователя оценивают разные вещи, в отчетности и при применении мер они тесно связаны. Один риск входа, который полностью остался без внимания или непроверенным, может накапливаться с течением времени и в итоге увеличивать общую оценку риска пользователя.

Это означает, что человек может отображаться как рискованный пользователь на панели Entra ID, даже если его последние попытки входа выглядели совершенно нормально. Система учитывает накопленную историю подозрительного поведения, которая повышает вероятность долгосрочной компрометации. Администраторам ИT необходимо рассматривать оба отчета одновременно, а не как изолированные направления.

Автоматизация устранения рисков с помощью условного доступа

Чтобы службы безопасности не утонули в ручных оповещениях, Microsoft Entra Conditional Access связывает оценки риска с автоматизированным применением мер. Организации могут настраивать конкретные политики, которые срабатывают при превышении пороговых значений низкого, среднего или высокого риска.

Для риска входа политики могут применять такие действия, как требование MFA, принудительное открытие нового сеанса входа или полная блокировка доступа. Когда пользователь успешно проходит запрос MFA, риск устраняется на месте.

Для риска пользователя политики обычно требуют безопасной смены пароля или автоматического устранения риска. Ключевое достоинство устранения риска — его адаптивность: если пользователь входит с помощью традиционного пароля, система требует безопасной смены пароля и немедленно аннулирует все существующие сеансы. Если пользователь входит с помощью методов без пароля, система завершает активные сеансы и запускает новый процесс аутентификации. Такой автоматизированный ответ существенно сокращает количество обращений в службу поддержки и останавливает злоумышленников.

Заключение

Понимание различия между риском входа и риском пользователя позволяет облачным архитекторам создавать точные, продуманные политики безопасности, которые защищают корпоративные данные и при этом не создают лишних неудобств для повседневной работы пользователей. Когда автоматизация берёт на себя типовые задачи по устранению угроз, ИT-команды могут сосредоточить усилия на расследовании реальных угроз. Чтобы глубже разобраться в том, как эти уровни защиты работают в современных облачных средах, послушайте полный выпуск подкаста: в нём подробно разобраны лучшие практики настройки, требования к лицензированию и реальные стратегии администрирования.

Часто задаваемые вопросы

Что происходит при срабатывании риска входа?

Когда обнаружен риск входа, Microsoft Entra Conditional Access может автоматически заблокировать попытку, разрешить доступ или запросить у пользователя многофакторную аутентификацию (MFA), чтобы подтвердить его личность.

Как долго события низкого риска остаются в отчётах Entra ID Protection?

Обнаружения низкого риска автоматически устаревают и исчезают из отчётов примерно через шесть месяцев, тогда как записи среднего и высокого риска остаются, пока администратор или механизм самостоятельного устранения их не очистит.

Могут ли гостевые учётные записи использовать автоматическое устранение риска пользователя?

Нет, полный автоматизированный процесс устранения риска не работает для гостевых и внешних пользователей, потому что Microsoft Entra ID не отзывает сеансы таких внешних учётных записей так же, как у внутренних участников.

В чём разница между «Confirm safe» и «Dismiss» в отчётах администратора?

Подтверждение безопасности («Confirm safe») сообщает системе, что оповещение было ложной тревогой, вызванной обычным поведением. Закрытие («Dismiss») означает, что оповещение технически было верно обнаружено, но в данном конкретном контексте оказалось безвредным, например, при плановом тесте безопасности.