Ризик входу проти ризику користувача в Microsoft Entra ID: у чому різниця?

By Mirko Peters · 2026-10-26

Дізнайтеся про ключові відмінності між ризиком входу та ризиком користувача в Microsoft Entra ID Protection і про те, як правильно налаштувати умовний доступ.

Automatically translated with AI from the original post. Read the English original

Ризик входу та ризик користувача в Microsoft Entra ID Protection — це окремі показники безпеки. Ризик входу оцінює, чи є підозрілою одна спроба автентифікації, тоді як ризик користувача визначає, чи скомпрометовано основні облікові дані облікового запису' в кількох сеансах.

Головне

• Ризик входу оцінює ймовірність того, що конкретна спроба автентифікації надходить не від законного власника облікового запису.
• Ризик користувача оцінює, чи були облікові дані облікового запису' остаточно скомпрометовані або розкриті внаслідок витоку даних.
• Один некерований ризик входу може поступово накопичуватися і з часом перерости у позначений статус користувача з високим ризиком.
• Ризик входу зазвичай усувається миттєво через запит MFA, тоді як ризик користувача часто вимагає безпечної зміни пароля.
• Для повноцінного використання політик на основі ризику, детальної історії звітів і автоматизованого усунення ризику потрібна Microsoft Entra ID P2.

Розуміння ключової відмінності

Коли адміністратори вперше розгортають Microsoft Entra ID Protection, однією з найпоширеніших плутанин є змішування ризику входу з ризиком користувача. Хоча обидва показники спираються на величезну мережу аналізу сигналів Microsoft, яка обробляє трильйони щоденних сигналів із споживчих облікових записів, корпоративних клієнтів і навіть служб Xbox, вони відповідають на принципово різні запитання.

Система безпеки не може ставитися до одиничного незвичного входу так само, як до по-справжньому викраденого облікового запису. Якщо адміністратор запроваджує повне блокування облікового запису щоразу, коли хтось входить з незнайомого місця або з незвичайної мережі, продуктивність зупиняється. І навпаки: якщо поводитися з реально скомпрометованим обліковим записом лише як із тимчасовим запитом MFA, зловмисник після закінчення запиту зможе знову ввійти. Розуміння того, як ці два показники працюють незалежно та як взаємодіють, є необхідним для побудови збалансованої моделі безпеки хмарного середовища.

Що таке ризик входу?

Ризик входу стосується виключно одного моменту часу: саме тієї миті, коли користувач намагається отримати доступ до ресурсу, наприклад Microsoft Teams, SharePoint чи Outlook. Він повністю залежить від контексту конкретної спроби входу і більше нічого. Система перевіряє, чи відповідають властивості цього запиту звичним поведінковим шаблонам користувача.

Microsoft Entra ID Protection оцінює кілька змінних під час перевірок входу в режимі реального часу. Серед них: підключення з анонімних IP-адрес, які часто використовують, щоб приховати географічне розташування; неможливі подорожі, коли входи відбуваються з географічно віддалених регіонів за нереально короткий час; або ознаки атаки перебору паролів (password spray), коли зловмисник одночасно перевіряє один поширений пароль на тисячах корпоративних облікових записів. Незвичні властивості входу також оцінюються динамічно: чим незвичайнішим запит виглядає порівняно з історичними базовими показниками, тим вищою стає оцінка ризику.

Важливо, що оцінка ризику входу стосується лише однієї спроби входу. Якщо користувач успішно проходить запит багатофакторної автентифікації (MFA) під час конкретного входу, ризик, пов'язаний із цим входом, одразу нівелюється, і користувач продовжує роботу без будь-яких подальших обмежень для свого облікового запису.

Що таке ризик користувача?

Ризик користувача, на відміну від ризику входу, стосується не окремого входу, а стану та цілісності самого облікового запису. Він відповідає на питання, чи потрапили облікові дані акаунта в чужі руки, тобто чи має зловмисник постійні ключі від усього і може повернутися, щоб отримати доступ до даних, коли захоче.

Основним чинником ризику користувача є поява облікових даних у відомих витоках. Коли імена користувачів і паролі опиняються у відкритому доступі в даркнеті або викрадаються шкідливим ПЗ для крадіжки інформації, розвідувальні служби Microsoft одразу позначають ці облікові дані. Серед інших ознак — перевірена інфраструктура загроз, яка безпосередньо взаємодіє з профілем користувача, або аномальні патерни активності, що вказують на тривалий несанкціонований доступ.

Коли обліковий запис позначено як ризикований за ризиком користувача, загроза залишається навіть після того, як користувач вийде із системи. Оскільки зловмисник міг отримати пароль поза межами звичайних сеансів, самого лише запиту MFA зазвичай недостатньо, щоб повністю усунути високий ризик користувача. Необхідно усунути першопричину вразливості.

Як обчислюються рівні ризику

І ризик входу, і ризик користувача зводяться до трьох чітких рівнів достовірності: низький, середній і високий. Ці рівні є машинними оцінками ймовірності загрози, а не абсолютними бінарними істинами.

Високий ризик означає, що автоматизовані системи Microsoft мають сильні, перевірені докази компрометації, наприклад, явні витеки облікових даних, що збігаються з базами даркнету, або перевірені сигнатури шкідливих IP-адрес. Середній ризик відображає помірні ознаки підозрілої активності з нижчою абсолютною достовірністю. Низький ризик вказує на аномальну поведінку, що відхиляється від стандартних патернів, але не має остаточних ознак зловмисності.

Важливою адміністративною деталлю є те, як ці записи старіють з часом. Елементи з низьким ризиком автоматично видаляються приблизно через шість місяців, щоб панелі залишалися чистими й зручними для роботи. Елементи із середнім і високим ризиком, однак, самостійно не видаляються. Вони залишаються в центрі адміністрування, доки автоматизована політика або адміністратор не дослідить, не усуне їх або не відхилить.

Ефект накопичення: як вони пов'язані між собою

Хоча ризик входу й ризик користувача оцінюють різні речі, у звітності та застосуванні політик вони тісно пов'язані. Окремий ризик входу, який залишився повністю неопрацьованим або неперевіреним, може з часом накопичуватися і врешті-решт збільшувати загальну оцінку ризику користувача.

Це означає, що особа може виглядати ризикованим користувачем на панелі Entra ID, навіть якщо її останні спроби входу були абсолютно нормальними. Система враховує накопичену історію підозрілої поведінки, яка підвищує ймовірність тривалої компрометації. ІТ-адміністраторам слід аналізувати обидва звіти одночасно, а не розглядати їх як ізольовані одне від одного.

Автоматизація усунення через умовний доступ

Щоб команди безпеки не тонули в ручних сповіщеннях, умовний доступ Microsoft Entra з'єднує оцінки ризику з автоматизованим застосуванням політик. Організації можуть налаштовувати конкретні політики, які спрацьовують, коли перетинаються порогові значення низького, середнього або високого ризику.

Для ризику входу політики можуть вимагати дії, як-от MFA, примусове створення нового сеансу входу або повне блокування доступу. Коли користувач успішно проходить запит MFA, ризик усувається одразу.

Для ризику користувача політики зазвичай вимагають безпечної зміни пароля або автоматизованого усунення ризику. Найрозумнішою частиною усунення ризику є його адаптивність: якщо користувач входить із традиційним паролем, система вимагає безпечної зміни пароля і одразу анулює всі наявні сеанси. Якщо користувач входить без пароля, система завершує активні сеанси і запускає новий процес автентифікації. Ця автоматизована реакція значно зменшує кількість звернень до служби підтримки та одразу зупиняє зловмисників.

Висновок

Розуміння різниці між ризиком входу та ризиком користувача дозволяє архітекторам хмари створювати точні, продумані політики безпеки, які захищають корпоративні дані й не створюють зайвих труднощів для звичайних користувачів. Коли автоматизація бере на себе типові завдання з усунення ризиків, ІT-команди можуть зосередити зусилля на розслідуванні реальних загроз. Щоб глибше розібратися, як ці рівні захисту працюють у сучасних хмарних середовищах, послухайте повний епізод подкасту: там є детальний розбір найкращих практик налаштування, вимог до ліцензування та реальних стратегій адміністрування.

Поширені запитання

Що відбувається, коли спрацьовує ризик входу?

Коли виявлено ризик входу, Microsoft Entra Conditional Access може автоматично заблокувати спробу, дозволити доступ або запросити у користувача багатофакторну автентифікацію (MFA), щоб підтвердити його особу.

Скільки часу події низького ризику залишаються у звітах Entra ID Protection?

Виявлення низького ризику автоматично застарівають і зникають зі звітів приблизно через шість місяців, тоді як записи середнього та високого ризику залишаються, доки адміністратор або самостійне усунення не очистить їх.

Чи можуть гостьові облікові записи використовувати автоматизоване усунення ризику користувача?

Ні, повний автоматизований процес усунення ризиків не працює для гостьових і зовнішніх користувачів, оскільки Microsoft Entra ID не відкликає сеанси для цих зовнішніх облікових записів так само, як для внутрішніх учасників.

Чим відрізняються «Confirm safe» і «Dismiss» у звітах адміністратора?

Позначення «Confirm safe» повідомляє системі, що сповіщення було хибною тривогою, спричиненою звичайною поведінкою. «Dismiss» означає, що сповіщення технічно було правильним виявленням, але в цьому конкретному контексті виявилося нешкідливим, наприклад, запланованим тестом безпеки.