Latest / M365.FM – подкаст о Microsoft 365, Copilot и ИИ на русском / Microsoft Defender for Identity простыми словами: как обнаружить атаки на удостоверения в Active Directory (ИИ-дубляж)

Transcript

Microsoft Defender for Identity простыми словами: как обнаружить атаки на удостоверения в Active Directory (ИИ-дубляж) · M365.FM – подкаст о Microsoft 365, Copilot и ИИ на русском

0:00
Готовы к 10 дням погружения в Microsoft 365, Copilot, E, Azure и знакомство с людьми,
0:06
определяющими будущие работы. В этом январе M365Con возвращается, и мы берем еще более высокую
0:12
планку. Присоединяйтесь к нам, прямые эфиры, демонстрации реальных решений и практические
0:16
знания от MVP и экспертов со всего мира. Никаких общих слайдов, никаких пустых модных словарей.
0:22
Мы решаем реальные задачи, Copilot Studio, агенты E, фабрик, безопасность, управление и автоматизация.
0:29
Независимо от того, являетесь ли вы ИТ-специалистом, разработчиком или руководителем бизнеса,
0:33
вы найдете сессии для себя. За 10 полных дней вы сможете изучить множество технологий и наладить
0:39
связи с мировым сообществом. Смотрите в прямом эфире и применяйте практические идеи в своей
0:43
организации. Январь 2027 года. 10 дней. Единое сообщество Microsoft. Регистрация уже открыта.
0:51
Забронируйте свое место сегодня. Наш сайт M365Con.net
0:57
Присоединяйтесь на M365Con.net и увидимся в прямом эфире в январе.
1:05
Что происходит, когда злоумышленник крадет легитимный пароль вместо того, чтобы взламывать
1:09
Брандмауэр? Я ваш ведущий, Мирко Питерс, и сегодня мы говорим о Microsoft Defender for Identity.
1:14
Большинство инструментов безопасности сосредоточены на периметре. Они следят за вредоносным
1:17
подозрительными файлами и необычным сетевым трафиком. Но атаки на учетные данные полностью
1:21
обходят все это стороной. Злоумышленнику с украденным паролем не нужно ничего взламывать. Он просто
1:25
входит в систему, и со стороны все выглядит совершенно нормально. К концу этого выпуска вы поймете,
1:30
что такое Microsoft Defender for Identity, зачем он нужен и как он очлеживает угрозы, которые традиционные
1:35
средства защиты просто пропускают. Начнем с того, почему безопасность учетных данных стала
1:40
новым полем битвы. Проблема безопасности идентификации. 20 лет назад обеспечение безопасности
1:44
сети означало просто запереть двери здания. Вы настраивали Брандмауэр, запускали антивирус на
1:48
каждой машине и советовали всем использовать сложные пароли. Тогда это работало неплохо, потому что
1:52
злоумышленникам приходилось прорываться через вашу оборону. Им нужно было найти уязвимость,
1:56
использовать ее, а затем перемещаться внутри вашей сети. Периметр был стеной, и стена была крепкой.
2:01
Но вот в чем дело, этот подход больше не работает. Злоумышленники не взламывают сеть,
2:05
они просто входят в систему. Они получают легитимный пароль с помощью фишинга, утечки данных или
2:09
простого подбора, а затем беспрепятственно входят в парадную дверь. Компрометация учетных данных
2:12
сегодня стоит за 79% атак программ-вымогателей. Это не узкая проблема. Это основной способ проникновения
2:17
злоумышленников, и цифры здесь очень серьезные. 70% организаций столкнулись хотя бы с одним нарушением
2:21
безопасности, связанным с учетными данными, в 2025 году. Средняя стоимость восстановления – 1,64
2:25
миллиона. Это не только сумма выкупа, это простой судебно-медицинская экспертиза, юридические
2:30
расходы, штрафы регуляторов и репутационный ущерб. Для организации среднего бизнеса средняя стоимость
2:34
ущерба составляет 750 тысяч долларов. Так что это не теоретический риск, это происходит повсеместно.
2:39
В чем же заключается главная проблема? Традиционные средства защиты отчлеживают вредоносные
2:42
подозрительные файлы и необычные сетевые соединения, но они не понимают поведение пользователей.
2:46
Они не знают, является ли вход в систему обычным или подозрительным. Злоумышленник с украденным
2:50
паролем выглядит в точности как обычный пользователь. То же имя пользователя, тот же пароль,
2:54
тот же процесс аутентификации. Единственная разница – в намерениях. И если вы не следите за
2:58
аномальными моделями поведения, вы заметите это слишком поздно. Именно этот пробел призван
3:02
заполнить Defender for Identity. Он следит за теми, кто следит. Он контролирует вашу инфраструктуру
3:07
идентификации, изучает, что является нормой для каждого пользователя и устройства, и помечает все,
3:10
что выходит за рамки. Он ищет не вредоносное по, а поведение, которое не поддается логике.
3:15
Итак, что же такое Defender for Identity и как он работает? Что такое Defender for Identity?
3:20
Вот самое простое определение. Microsoft Defender for Identity – это облачный инструмент безопасности,
3:24
который очлеживает ваш локальный актив-директорий на предмет атак на идентификационные данные.
3:28
Заметьте, я не сказал интро-ID, это частый повод для путаницы. Defender for Identity фокусируется
3:33
на вашей локальной инфраструктуре идентификации, включая контроллеры доменов, актив-директорий и серверы
3:37
ADFS. Это то, что находится в вашем собственном центре обработки данных или на ваших собственных
3:41
серверах. Это не чисто облачное решение. Теперь, как он работает? Он использует поведенческую
3:45
аналитику. Он изучает, что нормально для каждого пользователя и устройства, а затем помечает
3:49
любые отклонения. Представьте его как охранника, который знает распорядок каждого сотрудника. Он
3:53
знает, кто приходит в 8 часов утра, кто работает допоздна, а кто заходит в серверную. Когда кто-то
3:58
появляется в 3 часа ночи и пытается открыть дверь в серверную, охранник замечает это мгновенно. Именно это и
4:03
делает Defender for Identity, но для вашей цифровой среды. Давайте проясним, чем этот инструмент
4:07
не является. Это не антивирус, не брандмауэр и не решение для управления обновлениями. Это
4:11
обнаружение угроз идентификации — совершенно иная категория. Он ищет не вредоносные файлы,
4:16
а вредоносное поведение. И это различие важно, потому что самые опасные атаки сегодня вообще
4:20
не используют вредоносные па, они используют легитимные учетные данные. Defender for Identity
4:24
находится внутри Microsoft Defender XDR — платформы Microsoft для расширенного обнаружения и реагирования.
4:29
На практике это означает, что он обменивается сигналами с Defender for Endpoint,
4:32
Defender for Office 365 и Microsoft Sentinel. Итак, когда Defender for Identity
4:37
обнаруживает подозрительный вход в систему на контроллере домена, он может сопоставить это с
4:40
фишинговым письмом, выявленным Defender for Office 365, или с подозрительным процессом на ноутбуке
4:45
пользователя, обнаруженным Defender for Endpoint. Истинная ценность заключается не в отдельном
4:49
оповещении, а в том, как эти инструменты работают вместе, воссоздавая полную картину атаки.
4:53
Одиночное оповещение может показаться ложным срабатыванием, но когда вы видите всю картину
4:56
целиком, включая фишинговое письмо, скомпрометированные учетные данные и перемещение внутри сети,
5:00
вы точно понимаете, что произошло. Давайте заглянем под капот и посмотрим, как именно система
5:04
обнаруживает угрозы. Как это работает, датчики и поведенческая аналитика.
5:08
Defender for Identity использует легковесные датчики, установленные на ваших контроллерах домена.
5:11
Это ключевой элемент всей головоломки. Без датчика ничего не произойдет. Датчик собирает
5:16
данные и спроектирован так, чтобы работать максимально незаметно в фоновом режиме,
5:20
считывая сетевой трафик и события Windows, не замедляя работу вашего контроллера домена.
5:24
Представьте эти датчики в качестве глаз и ушей системы. Они собирают три основных типа информации,
5:29
сетевой трафик для отслеживания запросов аутентификации между машинами,
5:32
события Windows для контроля того, что происходит на уровне операционной системы,
5:35
и активность аутентификации для понимания того, кто, откуда и когда входит в систему.
5:39
Все эти данные отправляются в облачную службу Defender for Identity для последующего анализа.
5:43
Датчик не выполняет сложную работу самостоятельно, он лишь собирает и пересылает информацию.
5:47
Как только данные попадают в облако, начинается основная работа.
5:50
Облачная служба создает базовый профиль для каждого пользователя в вашей среде.
5:54
Она изучает их типичное время входа, рабочие станции, которые они обычно используют,
5:57
и ресурсы, к которым они обращаются.
5:59
Это и есть поведенческая составляющая.
6:01
Система не поставляется с заранее настроенными правилами о том, что считать нормой.
6:04
Она учится на вашей реальной среде, и это важно, поскольку понятие нормы различается для каждой организации.
6:09
Когда что-то отклоняется от этого базового уровня, срабатывает оповещение.
6:12
Например, пользователь, который всегда входит в систему с 9 часов до 17 часов,
6:15
внезапно проходит аутентификацию в 3 часа ночи с рабочей станции, которую он никогда раньше не использовал.
6:18
Это отклонение, и система помечает его.
6:20
Она не предполагает сразу, что это вредоносная активность,
6:22
но отправляет оповещение, чтобы ваша служба безопасности могла провести расследование.
6:25
Какие виды атак она действительно обнаруживает?
6:27
Список длинный, но вот основные из них.
6:29
Атаки Pass the Hash, при которых злоумышленник крадет хэш-пароля и использует его для аутентификации.
6:33
Kerber Asting, когда злоумышленник запрашивает сервисные билеты для привилегированных учетных записей и взламывает их оффлайн.
6:38
Использование золотого билета, Golden Ticket, когда злоумышленник подделывает билет Kerberos для получения доступа ко всему домену.
6:43
Атаки DCS YNC, при которых злоумышленник выдает себя за контроллер домена и запрашивает хэши-паролей.
6:48
И горизонтальное перемещение, когда злоумышленник использует одну скомпрометированную учетную запись для перехода с машины на машину.
6:53
Каждое обнаружение сопоставляется с фреймворком MITR-ATT и CK, который является отраслевым стандартом описания методов атак.
6:58
Поэтому, когда Defender for Identity помечает что-то, он не просто говорит «подозрительная активность».
7:03
Он уточняет «это атака Pass the Hash» соответствующая технике.
7:07
Это дает вашей команде безопасности мгновенный контекст о том, с чем они имеют дело и как реагировать.
7:12
Вот в чем настоящая разница.
7:13
Он не просто сообщает вам, что что-то произошло, он показывает хронологию атаки.
7:17
Он очлеживает, как злоумышленник перемещался из точки А в точку Б, так что вместо одного оповещения, подозрительный вход, вы получаете полную картину.
7:24
Первоначальный взлом, горизонтальное перемещение, повышение привилегий и доминирование в домене – все это связано в единую хронологию.
7:30
В этом разница между инструментом, который просто оповещает, и инструментом, который помогает понять суть.
7:35
Давайте пройдемся по этапам атаки и посмотрим, где Defender for Identity фиксирует каждый из них.
7:39
Жизненный цикл атаки, который он очлеживает.
7:41
Злоумышленники следуют предсказуемому шаблону.
7:43
Это совсем не случайные действия.
7:45
Они проходят через этапы, и у каждого этапа есть конкретная цель.
7:48
Эти этапы – разведка, компрометация учетных данных, горизонтальное перемещение и доминирование в домене.
7:52
Как только вы поймете эти этапы, вы увидите, где именно применяется Defender for Identity.
7:56
Но как это выглядит на самом деле?
7:58
Начнем с разведки.
7:59
У злоумышленника еще нет доступа.
8:01
Он просто осматривается, сканирует вашу сеть, ищет учетные записи, группы и доверительные отношения.
8:06
Он пытается выяснить, кто является администраторами, какие учетные записи имеют повышенные привилегии и как структурирован домен.
8:11
Часто они используют такие инструменты, как Bloodhound, для составления карты среды.
8:14
Defender for Identity замечает это, очлеживая подозрительные LDAP, запросы или попытки перечисления ресурсов.
8:19
Оповещение срабатывает, когда кто-то начинает запрашивать все учетные записи администраторов домена с рабочей станции, которая никогда этого не делала.
8:24
Злоумышленник еще не сделал ничего вредного, но вы уже знаете, что он ведет поиск.
8:28
Далее следует компрометация учетных данных.
8:30
Злоумышленник нашел способ получить пароль через Phishing, утечку данных или покупку в DarkNuty.
8:34
Теперь у него есть легитимное имя пользователя и пароль.
8:37
Defender for Identity помечает необычные входы в систему на этом этапе.
8:40
К необычным входам относится вход пользователя из нового места в 3 часа ночи или внезапный доступ к сотням файлов вместо обычных пяти.
8:48
Это поведенческие отклонения, которые не требуют обнаружения вредоносного ПА.
8:51
Они требуют лишь понимания того, как выглядит нормальное поведение.
8:54
Затем следует горизонтальное перемещение.
8:56
Злоумышленник закрепился в системе, но, вероятно, это еще не привилегированная учетная запись.
8:59
Им нужно перемещаться по вашей сети, чтобы добраться до наиболее ценных целей.
9:02
Они используют такие методы, как Pass the Hash, Pass the Ticket и Overpass the Hash, чтобы переходить с одного компьютера на другой.
9:07
Каждый такой переход выглядит как легитимная аутентификация, но сама схема подозрительна.
9:10
Defender for Identity обнаруживает это, очлеживая аномалии в аутентификации.
9:14
Если учетная запись пользователя проходит аутентификацию с трех разных рабочих станций за 5 минут, это не похоже на поведение человека.
9:18
Это злоумышленник, осуществляющий горизонтальное перемещение.
9:21
И, наконец, доминирование в домене.
9:23
Что вы видите?
9:23
Оповещения, инциденты и принятие мер.
9:25
Откройте портал Microsoft Defender на security.microsoft.com и перейдите в раздел «Идентификации».
9:29
Это ваш командный центр.
9:31
Первое, что вы увидите, это панель мониторинга, дающая краткий обзор всего, что происходит в вашей среде идентификации.
9:37
Сколько пользователей отслеживается, сколько активных оповещений открыто и каково состояние работоспособности ваших датчиков.
9:42
Она создана для того, чтобы дать вам представление о ситуации за секунды, а не минуты.
9:45
На этой панели также есть показатель «Оценка безопасности идентификации».
9:49
Это число от 0 до 100, которое показывает, насколько хорошо вы защищаете свою инфраструктуру идентификации.
9:53
Это не теоретическая метрика, она основана на реальных конфигурациях и рекомендациях.
9:56
Если у вас есть контроллеры домена без датчиков, ваша оценка снижается.
9:59
Если у вас есть пользователи без многофакторной аутентификации, ваша оценка снижается.
10:03
Исправьте эти проблемы, и ваша оценка вырастет.
10:05
Это конкретный способ отслеживать состояние вашей безопасности.
10:08
А теперь давайте поговорим об оповещениях.
10:10
Оповещения генерируются правилами обнаружения, предварительно настроенными условиями, которые определяют, как выглядит подозрительное поведение.
10:15
Основываясь на многолетних исследованиях угроз, компания Microsoft создала сотни таких правил.
10:19
Когда пользователь входит в систему из необычного места, это правило обнаружения.
10:22
Когда кто-то пытается провести атаку DC-Sync, это правило обнаружения.
10:25
Когда злоумышленник использует золотой билет, Golden Ticket, это правило обнаружения.
10:28
Система постоянно сравнивает происходящее в вашей среде с этими правилами.
10:32
Но вот в чем дело.
10:33
Несколько оповещений могут объединяться в один инцидент.
10:35
Это важно, потому что злоумышленники не ограничиваются одним подозрительным действием.
10:39
Они совершают множество действий последовательно.
10:41
Одиночное оповещение может выглядеть как ложное срабатывание,
10:43
но когда вы видите полный инцидент, разведку, компрометацию учетных данных,
10:46
горизонтальное перемещение, доминирование в домене, вы точно знаете, что произошло.
10:49
Инцидент — это история целиком, а оповещение — это лишь отдельные предложения.
10:53
Каждый инцидент включает в себя граф атаки.
10:55
Это визуальная карта того, как злоумышленник перемещался по вашей среде.
10:58
Она показывает отправную точку, каждый шаг на пути и конечный пункт назначения.
11:01
Вы можете увидеть, какие учетные записи были скомпрометированы,
11:04
каким машинам получили доступ и какие методы использовались.
11:06
Это похоже на просмотр записи с камерой видеонаблюдения, только в виде схемы.
11:10
И вы можете предпринять действия прямо из портала.
11:12
Если вы обнаружили скомпрометированную учетную запись,
11:14
вам не нужно заходить на контроллер домена, чтобы ее отключить.
11:17
Вы можете сделать это прямо в портале Defender.
11:19
Отключите учетную запись, принудительно сбросьте пароль, запросите попытку входа.
11:23
Сенсор передает сигнал в вашу локальную актив-директорию и мгновенно вносит изменения.
11:27
В этом и заключается преимущество наличия сенсора на контроллере домена.
11:30
Он не просто очлеживает ситуацию, он может действовать.
11:32
Вы также можете настроить уведомления по электронной почте.
11:34
При срабатывании критического оповещения, ваша служба безопасности мгновенно получает письмо.
11:38
Им не нужно круглосуточно следить за панелью мониторинга.
11:40
Система оповестит их сама.
11:42
А поскольку оповещения сопоставлены с базой знаний MITREATT и CK,
11:46
они заранее знают тип атаки еще до открытия портала.
11:48
Помимо базовых функций, есть несколько продвинутых возможностей, о которых стоит знать.
11:52
Приманки, ханипотс, тегирование и исключения.
11:54
Давайте поговорим об учетных записях приманках.
11:56
Их еще называют медовыми токенами, и название говорит само за себя.
11:59
Это поддельные учетные записи, которые вы создаете специально для привлечения злоумышленников.
12:03
Вы даете им заманчивые имена, такие как администратор эксчейнджа или служба резервного копирования домена.
12:06
Вы назначаете им членство в группах с высокими привилегиями.
12:09
Но вот в чем подвох.
12:10
Эти учетные записи не имеют реального применения.
12:12
Никто никогда не должен входить в них.
12:14
Они не используются ни для каких законных целей.
12:16
Они просто существуют в ожидании.
12:17
Если кто-то все же войдет в такую учетную запись, вы узнаете об этом немедленно.
12:20
Не потому, что вы настроили особый мониторинг или сложное правило обнаружения,
12:23
а потому, что Defender for Identity знает, что эта учетная запись не должна использоваться.
12:27
В момент, когда кто-то проходит проверку подлинности через нее,
12:29
срабатывает оповещение, и вы точно знаете, что произошло.
12:31
Злоумышленник нашел вашу фальшивую учетную запись и попытался ее использовать.
12:34
Это не ложное срабатывание, это подтвержденная попытка вторжения.
12:37
Вы можете настроить их в портале Defender в разделе параметров, идентификаторов и токенов.
12:41
Это занимает около 30 секунд.
12:42
Тегирование сущностей — еще одна полезная функция.
12:45
Вы можете пометить конкретных пользователей, устройства или группы,
12:47
как конфиденциальные для усиленного мониторинга.
12:49
Задумайтесь, что это означает.
12:50
Если вы пометите учетную запись администратора домена как конфиденциальную,
12:53
Defender for Identity будет более пристально следить за каждым ее действием.
12:56
Любое отклонение от нормального поведения будет отмечаться с более высоким приоритетом.
13:00
Любое горизонтальное перемещение с участием этой учетной записи будет рассматриваться как критическое.
13:03
Это как установка GPS-трекира на ваши самые ценные активы.
13:06
И, наконец, существуют правила исключений.
13:07
Иногда легитимные инструменты безопасности или административные процессы вызывают ложные тревоги.
13:11
Ваш сканер уязвимости может пытаться аутентифицироваться на каждом компьютере в сети.
13:14
Это выглядит подозрительно.
13:16
Ваши подлерезервного копирования может обращаться к контроллерам домена в нерабочее время.
13:19
Это тоже выглядит подозрительно.
13:21
Вы можете исключить определенные IP-адреса, устройства или пользователей из некоторых правил обнаружения,
13:25
чтобы ложные срабатывания не загромождали очередь уведомлений.
13:27
Глобальные исключения применяются ко всем правилам обнаружения.
13:30
Исключения для отдельных правил более адресные.
13:33
Цель одна — снизить уровень шума, чтобы ваша команда безопасности сосредоточилась на реальных угрозах.
13:37
Defender for Identity работает не в одиночку.
13:39
Давайте посмотрим, как он вписывается в общую картину.
13:41
Как он вписывается в экосистему безопасности Microsoft?
13:44
Итак, как Defender for Identity вписывается в общую картину безопасности Microsoft?
13:48
Представьте его как одну из частей головоломки Defender XDR.
13:51
Каждый инструмент полезен сам по себе, но реальная сила проявляется при их совместной работе.
13:55
Defender for Inpoint защищает ваше устройство.
13:57
Он проверяет каждый ноутбук и сервер на наличие вредоносного по и подозрительной сетевой активности.
14:01
Defender for Office 365 защищает электронную почту и инструменты для совместной работы, выявляя фишинг и вредоносные вложения.
14:07
А Defender for Identity следит за учетными записями пользователей, выявляя кражу учетных данных, горизонтальное перемещение и попытки захвата домена.
14:13
Каждый инструмент полезен по отдельности, но суть в том, что вместе они обмениваются сигналами и связывают все воедино.
14:19
Представьте подозрительный вход в систему на контроллере домена.
14:21
Этот же вход может быть связан с фишинговым письмом, которое уже обнаружил Defender for Office 365.
14:26
Злоумышленник скомпрометировал почтовый ящик и теперь пытается перемещаться внутри сети.
14:30
Defender for Identity видит вход, Defender for Office 365 видит письмо, а платформа Microsoft Defender XDR создает единый инцидент.
14:38
В этом разница между разрозненными оповещениями и полной историей атаки.
14:41
Он также интегрируется с Microsoft Sentinel, облачной SIEM системой от Microsoft.
14:45
Там вы можете проводить расширенный поиск угроз и настраивать собственные правила обнаружения.
14:48
Вы можете писать запросы каста для поиска по всем данным Defender удостоверением, конечным точкам, почте, облачным приложением и находить закономерности, которые автоматические правила не всегда замечают.
14:56
И он работает параллельно с Microsoft IntraID Protection.
14:59
Вот в чем различие.
15:00
IntraID Protection обрабатывает облачные риски при входе, например, подозрительные попытки.