14、微软 Azure 云威胁预防框架指南

微软 Azure 云威胁预防框架指南

1. 配置和启用风险策略

1.1 风险策略概述

登录风险策略和用户风险策略可自动响应环境中的风险检测，并允许用户在检测到风险时进行自我修复。

1.2 选择可接受的风险级别

需要决定愿意接受的风险级别，以平衡用户体验和安全态势。建议将用户风险策略阈值设置为高，登录风险策略设置为中及以上，并允许自我修复选项。选择阻止访问而非允许自我修复（如密码更改和多因素身份验证）会影响用户和管理员。高阈值可减少策略触发次数，最小化对用户的影响，但会排除低、中风险检测；低阈值会增加用户中断次数。配置的可信网络位置可用于身份保护的一些风险检测，以减少误报。

1.3 风险修复

组织可在检测到风险时选择阻止访问，但这可能会阻止合法用户。更好的解决方案是允许使用 Azure AD 多因素身份验证（MFA）和自助服务密码重置（SSPR）进行自我修复。
- 用户风险策略触发时：管理员可要求安全密码重置，要求用户在使用 SSPR 创建新密码前完成 Azure AD MFA，以重置用户风险。
- 登录风险策略触发时：可触发 Azure AD MFA，允许用户使用注册的身份验证方法证明身份，重置登录风险。

1.4 排除项

策略允许排除某些用户，如紧急访问或应急管理员账户。组织可能需要根据账户使用方式从特定策略中排除其他账户，并定期审查排除项是否仍然适用。

1.5 启用策略

可在条件访问和身份保护两个位置配置这些策略，使用条件访问策略进行配置是首选方法，可提供更多上下文，包括增强的诊断数据、仅报告模式集成