Azure AD Identity Protection

Microsoft Entra ID Protection: Оркестрация рисков идентификации и анализ разведки сигналов

Архитектура Microsoft Entra ID Protection функционирует как централизованный движок оценки рисков, интегрированный в базовый поток аутентификации Microsoft Entra ID. Она работает путем ингестии миллиардов сигналов ежедневно в экосистеме Microsoft для формирования поведенческих базовых показателей и выявления аномалий в реальном времени 📑. Внутренняя логика обработки использует управляемый слой персистентности и проприетарные модели машинного обучения для категоризации рисков по пользовательским и сессионным измерениям 📑.

Обнаружение рисков и обработка сигналов

Система использует развязанную архитектуру обнаружения, где сигналы обрабатываются как в реальном времени, так и через пакетную обработку для офлайн-анализа.

• Автоматизированное обнаружение рисков: Применяет аномалийное обнаружение на основе машинного обучения для выявления таких паттернов, как 'Невозможное перемещение' и 'Утечка учетных данных' 📑. Техническое ограничение: Архитектуры конкретных моделей машинного обучения и гиперпараметры обучения не раскрываются 🌑.
• Вероятностная оценка рисков: Заменяет статические бинарные проверки на многоуровневую модель оценки (Низкий, Средний, Высокий) для активации политик условного доступа 📑.
• Защита от кражи токенов: Включает специализированное обнаружение атак типа 'Противник в середине' (AiTM) и аномалий сессионных токенов 📑.

⠠⠉⠗⠑⠁⠞⠑⠙⠀⠃⠽⠀⠠⠁⠊⠞⠕⠉⠕⠗⠑⠲⠉⠕⠍

Оркестрация и применение политик

Entra ID Protection выступает в роли точки принятия решений (PDP), информирующей движок условного доступа для исполнения политик.

• Адаптивное устранение угроз: Поддерживает автоматизированные рабочие процессы, такие как принудительная смена пароля или вызовы многофакторной аутентификации (MFA) на основе уровней риска 📑.
• Интеграция с Security Copilot: Обеспечивает расследование сигналов риска на естественном языке через слой оркестрации генеративного ИИ 📑. Техническое ограничение: Эффективность ИИ-генерации зависит от качества базовых журналов телеметрии 🧠.
• Суверенитет данных: Поддерживает региональные требования к хранению данных, хотя глобальная агрегация сигналов угроз остается ключевым компонентом логики обнаружения 🧠.

Рекомендации по оценке

Техническим экспертам следует провести следующие сценарии валидации для подтверждения уровня безопасности идентификации:

• Экспорт телеметрии через Graph API: Проверка пропускной способности и согласованности схемы конечной точки identityProtection при экспорте сигналов рисков во внешние платформы SIEM/SOAR 📑.
• Настройка базового уровня ложных срабатываний: Аудит невозможности ручной корректировки проприетарных поведенческих базовых показателей Microsoft; валидация соотношения шум/сигнал в течение 30-дневного пилотного этапа 🌑.
• Соответствие требованиям конфиденциальности в кросс-тенантных развертываниях: Запрос технического раскрытия информации о том, как предиктивное моделирование рисков обрабатывает PII/PHI в различных региональных тенантах при мультинациональных внедрениях ⌛.