Latest / M365.FM – подкаст про Microsoft 365, Copilot і ШІ українською / Microsoft Defender for Identity простими словами: як виявляти атаки на ідентичності в Active Directory (ШІ-дубляж)

Transcript

Microsoft Defender for Identity простими словами: як виявляти атаки на ідентичності в Active Directory (ШІ-дубляж) · M365.FM – подкаст про Microsoft 365, Copilot і ШІ українською

• 0:00
  Готові до 10-х днів Microsoft 365, Co-Pilot, She, Azure та людей, які формують майбутні роботи.
• 0:07
  У січні М365 кон повертається, і ми стаємо ще масштабнішими.
• 0:12
  Приєднуйтесь до нас живі сесії, реальні демонстрації та практичні знання від MVP та експертів галузі з усього світу.
• 0:18
  Жодних загальних слайдів, жодних безкінічних модних слів.
• 0:22
  Ми розглядаємо реальні виклики Co-Pilot Studio, She-агенти, Fabric, безпека, управління та автоматизація.
• 0:29
  Незалежно від того, чи ви і те фахівець, розробник або бізнес-лідер, у нас є сесії саме для вас.
• 0:35
  Протягом 10 повних днів ви зможете вивчити різні технології та долучитися до глобальної спільноти.
• 0:40
  Дивіться наживо та приносте практичні ідеї у свою організацію.
• 0:44
  Січень 2027 року.
• 0:46
  Десятьох днів. Одна спільнота Microsoft.
• 0:49
  Реєстрація вже відкрита.
• 0:51
  Забронюйте своє місце сьогодні.
• 0:53
  Приєднуйтесь на M365-con.net і побачимося наживо в січні.
• 1:05
  Що відбувається, коли зловмисник викрадає дійсний пароль замість того, щоб зламувати бранд-мауер?
• 1:09
  Я ваш ведучий, Мірко Пітерс, і сьогодні ми говоримо про Microsoft Defender for Identity.
• 1:14
  Більшість інструментів безпеки зосереджені на периметрі.
• 1:16
  Вони відстежують шкідливе ПЗ, підозрілі файли, незвичний мережевий трафік.
• 1:19
  Але атаки на ідентифікаційні дані оминають усе це повністю.
• 1:22
  Зловмиснику з викраденим паролем не потрібно зламувати захист.
• 1:25
  Вони просто входять у систему, і ззовні все виглядає нормально.
• 1:28
  До кінця цього випуску ви зрозумієте, що таке Microsoft Defender for Identity,
• 1:32
  чому він існує і як він відстежує загрози, які традиційні інструменти безпеки пропускають.
• 1:37
  Почнемо з того, чому безпека ідентифікаційних даних стала новим полем битви.
• 1:40
  Проблема безпеки ідентифікаційних даних
• 1:43
  20 років тому захист мережі означав закриття будівлі на замок.
• 1:46
  Ви налаштовували бренд Mauer, запускали антивірус на кожній машині
• 1:49
  та радили всім використовувати надійні паролі.
• 1:51
  Тоді це працювало досить добре, бо зловмисникам доводилося долати ваш захист,
• 1:54
  щоб потрапити всередину.
• 1:55
  Їм потрібно було знайти вразливість, використати її,
• 1:57
  а потім переміщатися всередині вашої мережі.
• 1:59
  Периметр був стіною, і стіна була міцною, але ось у чому річ,
• 2:02
  цей підхід більше не працює.
• 2:03
  Зловмисники не зламують захист, вони просто входять у систему.
• 2:06
  Вони отримують дійсний пароль через фішинг, витік даних або простий підбір,
• 2:09
  а потім спокійно заходять через парадні двері.
• 2:11
  Компрометація облікових даних сьогодні є причиною 79%, а так програм вимагачів.
• 2:14
  Це не якась другорядна проблема.
• 2:16
  Це основний спосіб проникнення зловмисників, і цифри серйозні.
• 2:19
  70% організацій зазнали принаймні одного порушення безпеки,
• 2:21
  пов'язаного з ідентифікаційними даними у 2025 році.
• 2:23
  Середня вартість відновлення – 1,64 мільйона.
• 2:26
  Це не лише виплата викупу, це прості криміналістичне розслідування,
• 2:29
  судові витрати, регуляторні штрафи та шкода репутації.
• 2:32
  Для організації середнього розміру середня вартість все ще становить 750 тисяч доларів.
• 2:36
  Отже, це не теоретичний ризик, це відбувається повсюдно.
• 2:39
  Ось у чому головна проблема.
• 2:40
  Традиційні засоби безпеки стежать за шкідливим ПЕЗе,
• 2:42
  підозрілими файлами та незвичними мережевими з'єднаннями,
• 2:45
  але вони не розуміють поведінку користувачів.
• 2:46
  Вони не знають, чи є вхід у систему нормальним чи підозрілим.
• 2:49
  Зловмисник із викраденим паролем виглядає точно так само, як легітимний користувач.
• 2:52
  Те саме ім'я користувача, той самий пароль, той самий процес автентифікації.
• 2:55
  Єдина різниця – це намір.
• 2:57
  І якщо ви не стежите за аномальними моделями поведінки,
• 2:59
  ви не помітите цього, поки не стане запізно.
• 3:01
  Це прогалина, яку покликаний заповнити Defenda for Identity.
• 3:04
  Він стежить за тими, хто стежить.
• 3:05
  Він контролює вашу інфраструктуру ідентифікації,
• 3:07
  вивчає, що є нормою для кожного користувача та пристрою
• 3:09
  і позначає все, що не вписується в ці рамки.
• 3:11
  Він шукає нешкідливе ПЗ, він шукає поведінку, яка позбавлена сенсу.
• 3:15
  Отже, що саме таке Defenda for Identity і як він працює?
• 3:18
  Що таке Defenda for Identity?
• 3:20
  Ось найпростіше визначення.
• 3:21
  Microsoft Defenda for Identity – це хмарний інструмент безпеки,
• 3:24
  який відстежує ваш локальний Active Directory на предмет атак,
• 3:27
  спрямованих на ідентифікаційні дані.
• 3:28
  Зверніть увагу, я не сказав EntraID – це поширене джерело плутанини.
• 3:31
  Defenda for Identity зосереджується на вашій локальній інфраструктурі ідентифікації,
• 3:35
  включаючи контролери доменів, Active Directory та сервери ADFS.
• 3:38
  Це те, що знаходиться у вашому власному центрі обробки даних
• 3:40
  або на ваших власних серверах.
• 3:41
  Це не суто хмарне рішення.
• 3:43
  Тепер, як він працює?
• 3:44
  Він використовує поведінкову аналітику.
• 3:46
  Він вивчає, що є нормальним для кожного користувача та пристрою,
• 3:48
  а потім позначає будь-що незвичне.
• 3:50
  Уявіть його як охоронця, який знає розпорядок кожного працівника.
• 3:53
  Він знає, хто приходить о 8.00 ранку, хто працює допізно,
• 3:56
  а хто відвідує серверну кімнату.
• 3:57
  Коли хто з'являється о 3.00 ночі і намагається відчинити двері серверної,
• 4:01
  охоронець помічає це негайно.
• 4:02
  Це саме те, що робить Defenda for Identity, але для вашого цифрового середовища.
• 4:05
  Давайте з'ясуємо, чим цей інструмент не є.
• 4:07
  Це не антивірус, не бранд-мауер, не рішення для керування виправленнями.
• 4:11
  Це виявлення загроз ідентифікації зовсім інша категорія.
• 4:14
  Він шукає нешкідливі файли, він шукає шкідливу поведінку.
• 4:17
  І ця відмінність важлива, тому що найнебезпечніші атаки сьогодні взагалі не використовують шкідливе пезе,
• 4:21
  вони використовують легітимні облікові дані.
• 4:23
  Defenda for Identity знаходиться всередині Microsoft Defenda XDR,
• 4:26
  що є платформою розширеного виявлення та реагування від Microsoft.
• 4:28
  На практиці це означає, що він обмінюється сигналами з Defenda for Endpoint,
• 4:32
  Defenda for Office 365 та Microsoft Sentinel.
• 4:35
  Отже, коли Defenda for Identity виявляє підозрілий вхід на контролер домену,
• 4:39
  він може порівняти це з фішинговим листом, виявленим Defenda for Office 365,
• 4:43
  або з підозрілим процесом на ноутбуці користувача, виявленим Defenda for Endpoint.
• 4:47
  Справжня цінність полягає не в окремому сповіщенні,
• 4:49
  а в тому, як ці інструменти працюють разом, розкриваючи повну картину атаки.
• 4:53
  Одне сповіщення може здатися хибно-позитивним, але коли ви бачите повну картину,
• 4:56
  включаючи фішинговий лист, скомпрометовані облікові дані та переміщення зловмисника,
• 5:00
  ви точно знаєте, що сталося.
• 5:01
  Давайте зазирнемо під капот і подивимося, як саме система виявляє загрози,
• 5:05
  як це працює, сенсори та поведінкова аналітика.
• 5:08
  Defenda for Identity використовує легкі сенсори, встановлені на ваших контролерах домену.
• 5:11
  Це ключова частина головоломки.
• 5:13
  Без сенсора нічого не працюватиме.
• 5:15
  Сенсор збирає дані та розроблений так, щоб бути максимально непомітним,
• 5:19
  працюючи тихо у фоновому режимі,
• 5:20
  считуючи мережевий трафік і події Windows,
• 5:23
  не сповільнюючи роботу контролера домену.
• 5:25
  Уявіть ці сенсори, як очі та вуха системи.
• 5:28
  Вони збирають три основні типи інформації,
• 5:30
  мережевий трафік для відстеження запитів автентифікації між машинами,
• 5:33
  події Windows для моніторингу роботи операційної системи
• 5:35
  та дії з автентифікації, щоб бачити, хто, звідки і коли входить у систему.
• 5:39
  Усі ці дані надсилаються до хмарної служби Defenda for Identity для аналізу.
• 5:43
  Сенсор не виконує складних обчислень, він лише збирає та пересилає дані.
• 5:46
  Як тільки дані потрапляють у хмару, починається справжня робота.
• 5:49
  Хмарна служба створює базовий профіль для кожного користувача у вашому середовищі.
• 5:54
  Вона вивчає їхній типовий час входу робочі станції,
• 5:56
  які вони зазвичай використовують, і ресурси, до яких вони мають доступ.
• 5:59
  Це і є поведінкова складова.
• 6:01
  Система не має попередньо налаштованих правил про те, щоб вважати нормою.
• 6:04
  Вона вчиться на основі вашого реального середовища,
• 6:06
  і це важливо, тому що норма для кожної організації виглядає по-різному.
• 6:09
  Коли щось відхиляється від цього базового профілю, спрацьовує сповіщення.
• 6:12
  Наприклад, користувач, який завжди входить у систему з 9.00 до 17.00,
• 6:15
  раптово автентифікується у 3.00 ночі з робочої станції, якою ніколи раніше не користувався.
• 6:18
  Це відхилення, і система позначає його.
• 6:20
  Вона не вважає це одразу зловмисним, але створює сповіщення,
• 6:23
  щоб ваша команда безпеки могла провести розслідування.
• 6:25
  Які саме типи атак вона виявляє.
• 6:26
  Список довгий, але ось основні з них.
• 6:29
  А так і паз за хеш, під час яких зловмисник викрадає хеш-пароля
• 6:31
  і використовує його для автентифікації.
• 6:33
  Kerber Rasting, де зловмисник запитує сервісні квитки
• 6:35
  для привілейованих облікових записів і зламує їх офлайн.
• 6:38
  Використання Golden Ticket, де зловмисник підробляє квиток Kerberas
• 6:41
  для отримання доступу до всього домену.
• 6:43
  А так і Xing, під час яких зловмисник видає себе за контролер домену
• 6:46
  і запитує хеші-паролів.
• 6:48
  А також горизонтальне переміщення, коли зловмисник використовує
• 6:56
  Це надає вашій команді безпеки миттєвий контекст про те,
• 7:10
  з чим вони мають справу і як реагувати.
• 7:12
  Ось у чому справжня різниця.
• 7:14
  Він не просто повідомляє, що щось сталося, він показує хронологію атаки.
• 7:17
  Він відстежує, як зловмисник переміщувався від точки А до точки будинок.
• 7:20
  Отже, замість одного з повіщення, підозрілий вхід, ви отримуєте повну картину.
• 7:24
  Початковий злам, горизонтальне переміщення,
• 7:26
  підвищення привілеїв та захоплення домену –
• 7:28
  все це пов'язано в єдину хронологію.
• 7:30
  Це різниця між інструментом, який просто сповіщає,
• 7:33
  і інструментом, який допомагає зрозуміти.
• 7:35
  Давайте пройдемося по етапах атаки і подивимося,
• 7:37
  де Defendify Identity фіксує кожен з них.
• 7:39
  Життєвий цикл атаки, який він виявляє.
• 7:41
  Отже, зловмисники діють за передбачуваною схемою.
• 7:43
  Це зовсім не випадкові дії.
• 7:45
  Вони проходять через етапи, і кожен етап має конкретну мету.
• 7:47
  Ці етапи розвідка, компрометація облікових даних,
• 7:50
  горизонтальне переміщення та захоплення домену.
• 7:52
  Як тільки ви зрозумієте ці етапи,
• 7:54
  ви побачите, де саме застосовується Defendify Identity.
• 7:56
  Але як це виглядає насправді?
• 7:58
  Почнімо з розвідки.
• 7:59
  Зловмисник ще не має доступу.
• 8:01
  Вони просто оглядаються, сканують вашу мережу,
• 8:03
  шукаючи облікові записи, групи та довірчі відносини.
• 8:06
  Вони намагаються з'ясувати, хто є адміністраторами,
• 8:08
  які облікові записи мають підвищені привілеї,
• 8:17
  або спроби перерахування ресурсів.
• 8:19
  Сповіщення спрацьовує, коли хтось починає запитувати
• 8:21
  всі облікові записи доменних адміністраторів з робочої станції,
• 8:23
  яка ніколи раніше цього не робила.
• 8:24
  Зловмисник ще не зробив нічого шкідливого,
• 8:26
  але ви вже знаєте, що він веде розвідку.
• 8:27
  Наступний етап – компрометація облікових даних.
• 8:30
  Зловмисник знайшов спосіб отримати пароль через фішинг,
• 8:32
  витік даних або купивши його в Даркнеті.
• 8:34
  Тепер у них є легітимне ім'я користувача та пароль.
• 8:37
  Defenda for Identity позначає незвичні входи на цьому етапі.
• 8:40
  Незвичні входи включають вхід користувача з нової локації
• 8:43
  у третій годині ночі або раптовий доступ до сотень файлів
• 8:46
  замість звичних п'яти.
• 8:48
  Це поведінкові відхилення, які не потребують виявлення
• 8:50
  шкідливого програмного забезпечення.
• 8:52
  Вони потребують лише розуміння того, що є нормою.
• 8:54
  Далі настає горизонтальне переміщення.
• 8:56
  Зловмисник закріпився, але це, імовірно,
• 8:58
  ще не привілейований обліковий запис.
• 8:59
  Їм потрібно переміщатися вашою мережею,
• 9:07
  Кожен такий перехід виглядає як легітимна автентифікація,
• 9:09
  проте паттерн є підозрілим.
• 9:10
  Defenda for Identity виявляється, відстежуючи аномалії
• 9:13
  під час автентифікації.
• 9:14
  Якщо обліковий запис користувача проходить автентифікацію
• 9:16
  з трьох різних робочих станцій за п'ять хвилин,
• 9:17
  це не є нормальною поведінкою людини.
• 9:19
  Це зловмисник, що здійснює латеральний рух.
• 9:21
  Нарешті – отримання контролю над доменом.
• 9:23
  Що ви бачите – сповіщення, інциденти та вжиття заходів.
• 9:25
  Відкрите портал Microsoft Defenda за адресою security.microsoft.com
• 9:28
  і перейдіть до розділу ідентичності.
• 9:29
  Це ваш командний центр.
• 9:31
  Перше, що ви побачите – це панель моніторингу,
• 9:33
  яка дає швидкий огляд усього, що відбувається
• 9:35
  у вашому середовищі ідентифікації.
• 9:37
  Які користувачі відстежуються, скільки активних сповіщень відкрито
• 9:40
  та стан справності ваших сенсорів.
• 9:42
  Вона розроблена так, щоб надавати знімок ситуації
• 9:44
  за лічені секунди, а не хвилини.
• 9:45
  На цій панелі також є показник під назвою
• 9:47
  оцінка безпеки і ідентифікації.
• 9:49
  Це число від 0 до 100, яке показує,
• 9:50
  наскільки добре ви захищаєте свою інфраструктуру ідентифікації.
• 9:53
  Це не теоретична метрика, вона базується
• 9:54
  на реальних конфігураціях і рекомендаціях.
• 9:56
  Якщо у вас є контролери домену без сенсорів,
• 9:58
  ваша оцінка знижується.
• 9:59
  Якщо у вас є користувачі без багатофакторної автентифікації,
• 10:02
  ваша оцінка знижується.
• 10:03
  Виправте ці проблеми, і ваша оцінка зросте.
• 10:05
  Це конкретний спосіб відстежувати стан вашої безпеки протягом часу.
• 10:17
  Майкрософт створила сотні таких правил.
• 10:19
  Коли користувач входить у систему з незвичної локації,
• 10:21
  це правило виявлення.
• 10:22
  Коли хтось намагається здійснити атаку DC-Sync,
• 10:24
  це правило виявлення.
• 10:25
  Коли зловмисник використовує золотий квиток,
• 10:27
  Golden Ticket, це правило виявлення.
• 10:28
  Система постійно порівнює те,
• 10:29
  що відбувається у вашому середовищі з цими правилами.
• 10:32
  Але ось у чому річ.
• 10:33
  Кілька сповіщень можуть об'єднуватися в один інцидент.
• 10:35
  Це важливо, тому що зловмисники не роблять одну підозрілу дію.
• 10:38
  Вони роблять багато кроків послідовно.
• 10:40
  Одне сповіщення може здатися хибно-позитивним,
• 10:42
  але коли ви бачите повний інцидент, розвідку,
• 10:44
  компрометацію облікових даних,
• 10:46
  латеральний рух, контроль над доменом,
• 10:47
  ви точно знаєте, що сталося.
• 10:49
  Інцидент – це історія.
• 10:50
  Сповіщення – це лише окремі речення.
• 10:52
  Кожен інцидент містить графік атаки.
• 10:55
  Це візуальна карта того,
• 10:56
  як зловмисник переміщався вашим середовищем.
• 10:58
  Вона показує початкову точку,
• 10:59
  кожен крок на шляху та кінцевий пункт призначення.
• 11:01
  Ви можете побачити, які облікові записи були скомпрометовані,
• 11:04
  до яких машин було отримано доступ
• 11:05
  і які методи було використано.
• 11:06
  Це наче перегляд запису з камери спостереження всієї атаки,
• 11:09
  але у вигляді схеми.
• 11:10
  І ви можете вжити заходів безпосередньо з порталу.
• 11:12
  Якщо ви виявили скомпрометований обліковий запис,
• 11:14
  вам не потрібно входити в контролер домену,
• 11:16
  щоб його вимкнути.
• 11:17
  Ви можете зробити це прямо з порталу DaFenda.
• 11:19
  Вимкніть обліковий запис, змусте змінити пароль,
• 11:22
  запросіть спробу входу.
• 11:23
  Сенсор зв'язується з вашим локальним Active Directory
• 11:26
  і миттєво вносить зміни.
• 11:27
  У цьому й полягає сила наявності сенсора на контролері домену.
• 11:30
  Він не просто слухає, він може діяти.
• 11:32
  Ви також можете налаштувати сповіщення електронною поштою.
• 11:34
  Коли спрацьовує критичне сповіщення,
• 11:36
  ваша служба безпеки миттєво отримує листа.
• 11:38
  Їм не потрібно стежити за інформаційною панелью цілодобово.
• 11:40
  Система сама сповіщає їх.
• 11:42
  А оскільки сповіщення зіставлені з фреймворком MITR, ATT і CK,
• 11:45
  вони знають, з якою атакою мають справу ще до відкриття порталу.
• 11:48
  Окрім базових можливостей, є кілька розширених функцій,
• 11:51
  про які варто знати.
• 11:52
  Пастки, ханіпот, стегування та виключення.
• 11:54
  Поговорімо про пастки, ханіпот, облікові записи.
• 11:56
  Їх також називають медовими токенами,
• 11:58
  і вони відповідають своїй назві.
• 11:59
  Це фіктивні облікові записи, які ви створюєте спеціально для заманювання зловмисників.
• 12:03
  Ви даєте їм привабливу назву, як-от «Адміністратор Аксчендж»
• 12:05
  або «Служба резервного копіювання домену».
• 12:06
  Ви додаєте їх до груп із нібито високими правами доступу.
• 12:09
  Але ось у чому підступ.
• 12:10
  Ці облікові записи не мають реального призначення.
• 12:12
  Ніхто ніколи не повинен входити в них.
• 12:14
  Вони не використовуються для будь-яких законних цілей.
• 12:16
  Вони просто чекають.
• 12:17
  Якщо хтось увійде в такий обліковий запис,
• 12:19
  ви дізнаєтеся про це негайно.
• 12:20
  Не тому, що ви налаштували моніторинг чи написали складне правило виявлення,
• 12:23
  а тому, що Defenda for Identity знає, цей запис ніколи не має використовуватися.
• 12:27
  Як тільки хтось проходить автентифікацію через нього,
• 12:29
  надходить сповіщення, і ви точно знаєте, що сталося.
• 12:31
  Зловмисник знайшов ваш приманковий обліковий запис і спробував його використати.
• 12:34
  Це нехибне спрацювання, це підтверджена спроба вторгнення.
• 12:37
  Ви можете налаштувати це в порталі Defenda
• 12:39
  у розділі налаштувань ідентифікаторів і токенів.
• 12:41
  Це займає близько 30 секунд.
• 12:42
  Тегування об'єктів – це ще одна функція.
• 12:45
  Ви можете позначити окремих користувачів,
• 12:46
  пристрої чи групи, як чутливі для посиленого моніторингу.
• 12:49
  Подумайте, що це означає.
• 12:50
  Якщо ви позначити обліковий запис адміністратора домену як чутливий,
• 12:53
  Defenda for Identity ретельніше стежитиме за кожною дією цього запису.
• 12:56
  Будь-яке відхилення від звичайної поведінки позначитиметься як пріоритетне.
• 13:00
  Будь-яке горизонтальне переміщення за участю цього запису буде ескалюване.
• 13:03
  Це як встановити GPS-трекер на ваші найцінніші активи.
• 13:06
  А ще існують правила виключення.
• 13:07
  Інколи легітимні засоби безпеки або адміністративні процеси викликають хибні тривоги.
• 13:11
  Ваш сканер вразливостей може виконувати автентифікацію на кожному комп'ютері в мережі.
• 13:14
  Це виглядає підозріло.
• 13:16
  Ваше програмне забезпечення для резервного копіювання може звертатися до контролерів домену в неробочий час.
• 13:19
  Це також виглядає підозріло.
• 13:21
  Ви можете виключити певні IP-адреси, пристрої або користувачів із певних правил виявлення,
• 13:25
  щоб ці хибні спрацьовування не захарашчували чергу сповіщень.
• 13:27
  Глобальні виключення застосовуються до всіх правил виявлення.
• 13:30
  Виключення для окремих правил є більш цілеспрямованими.
• 13:33
  Мета однакова – зменшити шум, щоб ваша команда безпеки зосередилася на реальних загрозах.
• 13:37
  Defendify Identity не працює поодинці.
• 13:39
  Давайте подивимося, як це вписується в загальну картину.
• 13:41
  Як це вписується в екосистему безпеки Microsoft?
• 13:44
  Отже, як Defendify Identity вписується в загальну картину безпеки Microsoft?
• 13:48
  Сприймайте це як частину пазла Defendify XDR.
• 13:51
  Кожен інструмент корисний сам по собі, але справжня сила проявляється, коли вони працюють разом.
• 13:55
  Defendify Endpoint захищає ваші пристрої.
• 13:57
  Він перевіряє кожен ноутбук і сервер на наявність шкідливих програм і підозрілої мережової активності.
• 14:01
  Defendify Office 365 захищає вашу електронну пошту та інструменти для спільної роботи,
• 14:05
  виявляючи фішингові спроби та шкідливі вкладення.
• 14:07
  А Defendify Identity стежить за вашими обліковими записами користувачів, шукаючи викрадені облікові дані, латеральний рух та спроби отримання домінування в домені.
• 14:13
  Кожен інструмент корисний сам по собі, але ось у чому річ, разом вони обмінюються сигналами та пов'язують факти.
• 14:19
  Уявіть підозрілий вхід до контролера домену.
• 14:21
  Цей самий вхід може бути пов'язаний із фішинговим листом, який Defendify Office 365 вже виявив.
• 14:26
  Зловмисник скомпрометував поштову скриньку і тепер намагається переміститися всередині мережі.
• 14:30
  Defendify Identity бачить вхід, Defendify Office 365 бачить лист, а платформа Microsoft Defendify XDR створює єдиний інцидент.
• 14:38
  Це різниця між ізольованими сповіщеннями та повною історією атаки.
• 14:41
  Він також інтегрується з Microsoft Sentinel, що є хмарною SIEM-системою від Microsoft.
• 14:45
  Саме туди ви звертаєтеся для розширеного пошуку загроз та налаштування власних правил виявлення.
• 14:48
  Ви можете писати запити КАСТО, які шукатимуть за всіма даними Defendify, ідентифікаторами, кінцевими точками, поштою, хмарними програмами
• 14:54
  і знаходити шаблони, які автоматичні правила не завжди вловлюють.
• 14:56
  І він працює разом із Microsoft EntraID Protection.
• 14:59
  Ось у чому різниця.
• 15:00
  EntraID Protection обробляє ризики входу в хмарні середовища, наприклад, ризиковані дії.