Latest / M365.FM – podcast o Microsoft 365, Copilot i AI po polsku / Microsoft Defender for Identity w prostych słowach: wykrywanie ataków na tożsamość w Active Directory (Dubbing AI)

Transcript

Microsoft Defender for Identity w prostych słowach: wykrywanie ataków na tożsamość w Active Directory (Dubbing AI) · M365.FM – podcast o Microsoft 365, Copilot i AI po polsku

0:00
Gotowi na 10 dni Microsoft 365, Kopilota, iAzure oraz ludzi kształtujących przyszłość pracy?
0:07
W styczniu wraca M365Con i tym razem działamy z większym rozmachem.
0:12
Dołącz do sesji na żywo praktycznych pokazów i wiedzy od MVP oraz ekspertów z całego świata.
0:18
Koniec z ogólnikami. Zero pustych haseł.
0:22
Zajmiemy się realnymi wyzwaniami, Kopilot Studio, agentami, iFabrik, bezpieczeństwem, ładem i automatyzacją.
0:28
Niezależnie od tego, czy jesteś specjalistą i deweloperem, czy liderem biznesowym, mamy sesję dla Ciebie.
0:35
Podczas 10 pełnych dni odkryjesz nowe technologie i nawiążesz kontakty z globalną społecznością.
0:40
Oglądaj na żywo i zabierz praktyczne wnioski do swojej organizacji.
0:44
Styczeń 2027 roku. 10 dni. Jedna społeczność Microsoft. Rejestracja już otwarta. Zarezerwuj swoje miejsce już dziś.
0:53
To m365con.net. Dołącz na m365con.net i widzimy się na żywo w styczniu.
1:05
Co się dzieje, gdy napastnik kradnie poprawne hasło, zamiast włamywać się przez firewall?
1:09
Nazywam się Mirko Peters, a dziś porozmawiamy o Microsoft Defender for Identity.
1:14
Większość narzędzi bezpieczeństwa skupia się na perymetrze.
1:16
Wychwytują złośliwe oprogramowanie, podejrzane pliki, czy nietypowy ruch w sieci.
1:20
Ale ataki na tożsamość całkowicie to pomijają. Napastnik ze skradzionym hasłem nie musi się włamywać.
1:25
Po prostu się loguje, a z zewnątrz wszystko wygląda normalnie.
1:28
Pod koniec tego odcinka zrozumiesz, czym jest Microsoft Defender for Identity,
1:32
dlaczego istnieje i jak wykrywa zagrożenia, które umykają tradycyjnym narzędziom.
1:37
Zacznijmy od tego, dlaczego bezpieczeństwo tożsamości stało się nowym polem bitwy.
1:41
Problem bezpieczeństwa tożsamości.
1:43
20 lat temu zabezpieczenie sieci oznaczało zamknięcie budynku na klucz.
1:46
Konfigurowałeś firewall, uruchamiałeś antywirusa na każdym komputerze i zalecałeś silne hasła.
1:51
Działało to całkiem nieźle, bo napastnicy musieli przełamać twoje zabezpieczenia, aby wejść.
1:55
Musieli znaleźć lukę, wykorzystać ją, a potem poruszać się wewnątrz twojej sieci.
1:59
Perymetr był murem, a mur był solidny, ale to podejście już nie działa.
2:03
Napastnicy nie włamują się, oni po prostu się logują.
2:06
Zdobywają hasło przez phishing, wyciek danych lub zwykłe odgadnięcie i wchodzą frontowymi drzwiami.
2:11
Skompromitowane dane logowania stoją dziś za 79% ataków ransomware.
2:14
To nie jest niszowy problem. To główny sposób, w jaki napastnicy wchodzą do środka, a liczby są poważne.
2:19
70% organizacji doświadczyło przynajmniej jednego naruszenia bezpieczeństwa związanego z tożsamością w 2025 roku.
2:24
Średni koszt naprawy to 1,64 miliona.
2:26
To nie tylko okup, to przestoje, dochodzenia, koszty prawne, kary regulacyjne i utrata reputacji.
2:32
Dla średniej wielkości organizacji średni koszt to nadal 750 tysięcy dolarów.
2:36
To nie jest ryzyko teoretyczne, to dzieje się wszędzie.
2:39
Oto główny problem.
2:40
Tradycyjne narzędzia bezpieczeństwa wykrywają złośliwe oprogramowanie, podejrzane pliki i nietypowe połączenia sieciowe, ale nie rozumieją zachowań użytkowników.
2:46
Nie wiedzą, czy logowanie jest normalne, czy podejrzane.
2:49
Atakujący ze skradzionym hasłem wygląda dokładnie jak uprawniony użytkownik.
2:52
Ta sama nazwa użytkownika, to samo hasło, ten sam proces uwierzytelniania.
2:55
Jedyną różnicą jest intencja.
2:57
Jeśli nie obserwujesz nienormalnych wzorców zachowań, nie zauważysz tego, dopóki nie będzie za późno.
3:01
To właśnie lukę tę stworzono, aby wypełnić Defender for Identity.
3:04
On obserwuje obserwujących, monitoruje infrastrukturę tożsamości, uczy się, co jest normalne dla każdego użytkownika i urządzenia i oznacza wszystko, co nie pasuje.
3:11
Nie szuka złośliwego oprogramowania, szuka zachowań, które nie mają sensu.
3:15
Czym więc dokładnie jest Defender for Identity i jak działa?
3:18
Czym jest Defender for Identity?
3:20
Oto najprostsza definicja.
3:21
Microsoft Defender for Identity to chmurowe narzędzie bezpieczeństwa, które obserwuje lokalną usługę Active Directory pod kątem ataków na tożsamość.
3:28
Zauważ, że nie powiedziałem Entra ID.
3:30
To częsty powód nieporozumień.
3:31
Defender for Identity koncentruje się na twojej lokalnej infrastrukturze tożsamości, w tym na kontrolerach domen, Active Directory i serwerach ADFS.
3:38
To rzeczy, które znajdują się w twoim własnym centrum danych lub na własnych serwerach.
3:41
To nie jest rozwiązanie wyłącznie chmurowe.
3:43
A jak to działa?
3:44
Wykorzystuje analitykę behawioralną.
3:46
Uczy się, co jest normalne dla każdego użytkownika i każdego urządzenia, a następnie oznacza wszystko, co nietypowe.
3:50
Pomyśl o nim jak o ochroniarzu, który zna rutynę każdego pracownika.
3:53
Wie, kto przychodzi o 8 rano, kto pracuje do późna i kto ma dostęp do serwerowni.
3:57
Gdy ktoś pojawia się o 3 nad ranem, próbując otworzyć drzwi serwerowni, ochroniarz natychmiast to zauważa.
4:02
Dokładnie to robi Defender for Identity, ale w twoim środowisku cyfrowym.
4:05
Wyjaśnijmy, czym to narzędzie nie jest.
4:07
To nie jest antywirus, to nie jest firewall, to nie jest rozwiązanie do zarządzania poprawkami.
4:11
To wykrywanie zagrożeń tożsamości, zupełnie inna kategoria.
4:14
Nie szuka złośliwych plików, szuka złośliwego zachowania.
4:17
To rozróżnienie ma znaczenie, ponieważ najgroźniejsze ataki dzisiaj w ogóle nie używają złośliwego oprogramowania, lecz legalnych danych uwierzytelniających.
4:23
Defender for Identity znajduje się wewnątrz Microsoft Defender XDR, czyli platformy Microsoftu do rozszerzonego wykrywania i reagowania.
4:29
W praktyce oznacza to, że wymienia sygnały z Defender for Endpoint, Defender for Office 365 i Microsoft Sentinel.
4:35
Zatem, kiedy Defender for Identity wykryje podejrzane logowanie na kontrolerze domeny,
4:39
może je zestawić z phishingowym e-mailem wykrytym przez Defender for Office 365
4:43
lub podejrzanym procesem na laptopie użytkownika wykrytym przez Defender for Endpoint.
4:47
Prawdziwa wartość nie tkwi w pojedynczym alercie, lecz w sposobie, w jaki te narzędzia współpracują, tworząc pełny obraz ataku.
4:53
Pojedyncze ostrzeżenie może wyglądać na fałszywy alarm, ale gdy widzisz całość, w tym e-mail phishingowy,
4:58
przejęte dane logowania i ruch boczny wiesz dokładnie, co się stało.
5:02
Zajrzyjmy pod maskę i zobaczmy, jak naprawdę wykrywa zagrożenia.
5:05
Jak to działa? Sensory i analiza behawioralna.
5:07
Defender for Identity wykorzystuje lekkie sensory instalowane na kontrolerach domeny.
5:11
To kluczowy element całej układanki.
5:13
Bez sensora nic się nie wydarzy.
5:15
Sensor przechwytuje dane i został zaprojektowany tak, by być jak najmniej inwazyjny działa cicho w tle,
5:20
odczytując ruch sieciowy i zdarzenia systemu Windows bez spowalniania kontrolera domeny.
5:25
Pomyśl o tych sensorach jak o oczach i uszach systemu.
5:28
Przechwytują trzy główne rodzaje informacji.
5:29
Ruch sieciowy, aby widzieć żądania uwierzytelnienia między maszynami zdarzenia systemu Windows,
5:33
aby wiedzieć, co dzieje się na poziomie systemu operacyjnego,
5:36
oraz aktywność uwierzytelniania, aby wiedzieć, kto loguje się, skąd i kiedy.
5:39
Wszystkie te dane są przesyłane do usługi chmurowej Defender for Identity w celu analizy.
5:43
Sensor nie wykonuje ciężkiej pracy samodzielnie, tylko zbiera i przesyła dane dalej.
5:47
Gdy dane trafią do chmury, zaczyna się prawdziwa praca.
5:49
Usługa w chmurze buduje bazowy profil dla każdego użytkownika w Twoim środowisku.
5:54
Uczy się ich typowych godzin logowania, stacji roboczych, których zwykle używają,
5:57
oraz zasobów, do których zazwyczaj mają dostęp.
5:59
To jest część behawioralna.
6:01
System nie przychodzi z gotowymi, prekonfigurowanymi regułami dotyczącymi tego, co jest normą.
6:04
Uczy się na podstawie Twojego rzeczywistego środowiska, co jest ważne, ponieważ norma wygląda inaczej w każdej organizacji.
6:09
Gdy coś odbiega od tej linii bazowej, generowany jest alert.
6:12
Na przykład użytkownik, który zawsze loguje się od 9 do 17,
6:14
nagle uwierzytelnia się o 3 nad ranem ze stacji roboczej, której nigdy wcześniej nie używał.
6:18
To jest odchylenie, system oznacza je jako podejrzane.
6:20
Nie zakłada od razu, że to złośliwe działanie, ale podnosi alert, aby zespół do spraw.
6:24
Bezpieczeństwa mógł to zbadać.
6:25
Jakie rodzaje ataków faktycznie wykrywa?
6:27
Lista jest długa, ale oto te najważniejsze.
6:29
Ataki typu Pass the Hash, gdzie atakujący kradnie skrót hasła i używa go do uwierzytelnienia.
6:33
Kerberoasting, gdzie atakujący żąda biletów serwisowych dla kont uprzywilejowanych i łamie je offline.
6:38
Wykorzystanie Golden Ticket, gdzie atakujący podrabia bilet Kerberos, aby uzyskać dostęp do całej domeny.
6:43
Ataki Tsing, gdzie atakujący udaje kontroler domeny i żąda przekazania skrótów haseł.
6:48
Oraz ruchy boczne, gdzie atakujący wykorzystuje jedno przejęte konto, by przeskakiwać między maszynami.
6:53
Każde wykrycie jest przypisane do RAM MITRE Atak, czyli branżowego standardu opisu technik ataku.
6:58
Dlatego, gdy Defender for Identity coś oznacza, nie mówi po prostu podejrzana aktywność.
7:03
Mówi, to atak typu Pass the Hash przypisany do techniki.
7:07
Daje to twojemu zespołowi do spraw.
7:09
Bezpieczeństwa natychmiastowy kontekst, z czym mają do czynienia i jak reagować.
7:13
Oto prawdziwa różnica.
7:14
Nie tylko informuje, że coś się stało, ale pokazuje oś czasu ataku.
7:17
Śledzi, jak atakujący przemieścił się z punktu A do punktu B.
7:20
Zamiast jednego powiadomienia o podejrzanym logowaniu, otrzymujesz pełną historię.
7:24
Początkowe przejęcie, ruchy boczne, eskalacja uprawnień i dominacja w domenie wszystko połączone na jednej osi czasu.
7:30
Na tym polega różnica między narzędziem, które cię ostrzega, a takim, które pomaga zrozumieć.
7:35
Prześledźmy etapy ataku i zobaczmy, gdzie Defender for Identity wychwytuje każdy z nich.
7:39
Cykl życia ataku, który wykrywa.
7:41
Atakujący działają według przewidywalnego schematu.
7:43
To wcale nie jest przypadek.
7:45
Przechodzą przez etapy, a każdy z nich ma konkretny cel.
7:48
Etapy to rozpoznanie, skompromitowane dane logowania, ruchy boczne i dominacja w domenie.
7:52
Gdy zrozumiesz te etapy, zobaczysz dokładnie, gdzie pasuje Defender for Identity.
7:56
Ale jak to wygląda w praktyce?
7:58
Zacznijmy od rozpoznania.
7:59
Atakujący nie ma jeszcze dostępu.
8:01
Po prostu rozgląda się, skanuje sieć, szuka kont, grup i relacji zaufania.
8:05
Próbuje ustalić, kim są administratorzy, które konta mają podwyższone uprawnienia i jak jest zbudowana domena.
8:11
Często używają narzędzi takich jak Bloodhound, aby odwzorować środowisko.
8:14
Defender for Identity wyłapuje to, monitorując podejrzane zapytania LDAP lub próby enumeracji.
8:19
Alarm włącza się, gdy ktoś zaczyna wyszukiwać wszystkie konta administratorów domeny ze stacji roboczej, która nigdy wcześniej tego nie robiła.
8:24
Atakujący nie zrobił jeszcze nic szkodliwego, ale już wiesz, że prowadzi rozpoznanie.
8:27
Następny etap to skompromitowane dane logowania.
8:30
Atakujący znalazł sposób na zdobycie hasła przez phishing, wyciek danych lub zakup w darkwebie.
8:34
Teraz ma już legalną nazwę użytkownika i hasło.
8:37
Defender for Identity oznacza na tym etapie nietypowe logowania.
8:40
Nietypowe logowania to na przykład użytkownik logujący się z nowej lokalizacji o trzeciej nad ranem lub nagły dostęp do setek plików zamiast zwykłych pięciu.
8:48
To odchylenia behawioralne, które nie wymagają wykrycia złośliwego oprogramowania.
8:52
Wymagają jedynie zrozumienia, jak wygląda normalna praca.
8:54
Potem przychodzą ruchy boczne.
8:56
Atakujący ma już punkt zaczepienia, ale prawdopodobnie jeszcze nie posiada konta z wysokimi uprawnieniami.
8:59
Muszą przemieszczać się po Twojej sieci, aby dotrzeć do cennych celów.
9:02
Stosują techniki takie jak Pass the Hash, Pass the Ticket i Overpass Pass the Hash, by przeskakiwać między maszynami.
9:07
Każdy taki skok wygląda jak poprawne uwierzytelnienie, ale wzorzec jest podejrzany.
9:10
Defender for Identity wykrywa to poprzez monitorowanie anomalii w uwierzytelnianiu.
9:14
Jeśli konto użytkownika loguje się z trzech różnych stacji roboczych, w ciągu pięciu minut nie jest to normalne zachowanie.
9:19
To atakujący, poruszający się wewnątrz sieci.
9:21
Ostatecznie przejęcie kontroli nad domeną.
9:23
Co widzisz? Alerty, incydenty i podejmowanie działań.
9:25
Otwórz portal Microsoft Defender pod adresem security.microsoft.com i przejdź do sekcji tożsamości.
9:29
To Twoje centrum dowodzenia.
9:31
Pierwszą rzeczą, którą zobaczysz jest pulpit nawigacyjny, dający szybki przegląd wszystkiego, co dzieje się w Twoim środowisku tożsamości.
9:37
Monitorowani użytkownicy, liczba aktywnych alertów oraz stan zdrowia Twoich czujników.
9:42
Zaprojektowano go tak, aby dostarczał obraz sytuacji w kilka sekund, a nie minut.
9:45
Na pulpicie znajduje się również wynik, zwany wskaźnikiem bezpieczeństwa tożsamości.
9:49
To liczba od zera do stół, pokazująca, jak dobrze chronisz swoją infrastrukturę tożsamości.
9:53
To nie jest teoretyczna metryka, opiera się na rzeczywistych konfiguracjach i zaleceniach.
9:57
Jeśli masz kontrolery domeny bez czujników, Twój wynik spada.
9:59
Jeśli masz użytkowników bez uwierzytelniania wieloskładnikowego, Twój wynik spada.
10:03
Napraw te problemy, a Twój wynik wzrośnie.
10:05
To konkretny sposób śledzenia stanu bezpieczeństwa w czasie.
10:08
A teraz porozmawiajmy o alertach.
10:10
Alerty są generowane przez reguły wykrywania, wstępnie skonfigurowane warunki definiujące podejrzane zachowania.
10:15
W oparciu o lata badań nad zagrożeniami, Microsoft stworzył setki takich reguł.
10:19
Gdy użytkownik loguje się z nietypowej lokalizacji, to reguła wykrywania.
10:22
Gdy ktoś próbuje ataku DCSync, to reguła wykrywania.
10:25
Gdy atakujący używa złotego biletu, Golden Ticket, to reguła wykrywania.
10:28
System nieustannie porównuje to, co dzieje się w Twoim środowisku, z tymi regułami.
10:32
Ale jest coś ważnego.
10:33
Wiele alertów może łączyć się w jeden incydent.
10:35
To istotne, ponieważ atakujący nie robią tylko jednej podejrzanej rzeczy.
10:39
Wykonują wiele działań w sekwencji.
10:40
Pojedynczy alert może wyglądać jak fałszywy alarm, ale gdy widzisz pełny incydent rozpoznanie, przejęcie poświadczeń, ruch boczny, dominację w domenie wiesz dokładnie, co się stało.
10:49
Incydent to cała historia.
10:51
Alerty to tylko pojedyncze zdania.
10:52
Każdy incydent zawiera graf ataku.
10:54
To wizualna mapa pokazująca, jak atakujący przemieszczał się po Twoim środowisku.
10:58
Pokazuje punkt startowy, każdy skok po drodze i cel końcowy.
11:01
Widzisz, które konta zostały przejęte, do których maszyn uzyskano dostęp i jakich technik użyto.
11:06
To jak oglądanie nagrania z kamery bezpieczeństwa z całego ataku, ale w formie diagramu.
11:10
Możesz podjąć działania bezpośrednio z poziomu portalu.
11:12
Jeśli zidentyfikujesz przejęte konto użytkownika, nie musisz logować się do kontrolera domeny, aby je wyłączyć.
11:17
Możesz to zrobić bezpośrednio z portalu Defender.
11:19
Zablokuj konto, wymuś zmianę hasła, zażądaj próby logowania.
11:23
Sensor komunikuje się z lokalną usługą Active Directory i natychmiast wprowadza zmianę.
11:27
Na tym polega moc posiadania sensora na kontrolerze domeny.
11:30
On nie tylko nasłuchuje, on może działać.
11:32
Możesz również skonfigurować powiadomienia e-mail.
11:34
Gdy pojawi się krytyczny alert Twój zespół do spraw, bezpieczeństwa natychmiast otrzyma wiadomość.
11:38
Nie muszą monitorować pulpitu przez całą dobę.
11:40
System ich powiadomi, a ponieważ alerty są mapowain na ramy MITRE ATT&CK,
11:45
wiedzą dokładnie, z jakim atakiem mają do czynienia, zanim jeszcze otworzą portal.
11:48
Oprócz podstaw istnieje kilka zaawansowanych funkcji, o których warto wiedzieć.
11:52
Honeypoty, tagowanie i wykluczenia.
11:54
Porozmawiajmy o kontach typu Honeypot.
11:56
Nazywane są również Honey Tokens i są dokładnie tym, na co wskazują.
11:59
Fałszywe konta użytkowników, które tworzysz specjalnie, by zwabić atakujących.
12:02
Nadajesz im kuszącą nazwę, na przykład administrator exchange lub usługa kopii zapasowej domeny.
12:06
Nadajesz im przynależność do grup o wysokich uprawnieniach, ale jest jeden haczyk.
12:10
Te konta nie mają żadnego rzeczywistego zastosowania.
12:12
Nikt nigdy nie powinien się na nie logować.
12:14
Nie służą do żadnych uzasadnionych celów.
12:16
Po prostu tam czekają.
12:17
Jeśli ktoś zaloguje się na konto Honeypot, dowiesz się o tym natychmiast.
12:20
Nie dlatego, że skonfigurowałeś niestandardowy monitoring,
12:22
nie dlatego, że napisałeś złożoną regułę wykrywania,
12:24
ale dlatego, że Defender for Identity wie, iż to konto nigdy nie powinno być używane.
12:27
W chwili, gdy ktoś się za jego pomocą uwierzytelni, uruchamia się alert i wiesz dokładnie, co się stało.
12:31
Atakujący znalazł twoje konto przynęte i próbował je wykorzystać.
12:34
To nie jest fałszywy alarm, to potwierdzona próba włamania.
12:37
Możesz je skonfigurować w portalu Defender w sekcji ustawień, tożsamości i tokenów.
12:41
Zajmuje to około 30 sekund.
12:43
Kolejną funkcją jest tagowanie jednostek.
12:45
Możesz oznaczyć konkretnych użytkowników urządzenia lub grupy jako wrażliwe w celu dodatkowego monitorowania.
12:49
Zastanów się, co to oznacza.
12:50
Jeśli oznaczysz konto administratora domeny jako wrażliwe, Defender for Identity będzie dokładniej obserwować każde działanie podejmowane przez to konto.
12:56
Każde odstępstwo od normalnego zachowania zostanie oznaczone wyższym priorytetem.
13:00
Każdy ruch boczny z udziałem tego konta zostanie eskalowany.
13:03
To jak założenie lokalizatora GPS na najcenniejsze zasoby.
13:06
A do tego dochodzą reguły wykluczeń.
13:07
Czasami legalne narzędzia bezpieczeństwa lub procesy administracyjne wywołują fałszywe alarmy.
13:11
Twój skaner podatności może uwierzytelniać się na każdej maszynie w sieci.
13:14
To wygląda podejrzanie.
13:15
Twoje oprogramowanie do kopii zapasowych może uzyskiwać dostęp do kontrolerów domeny w nietypowych godzinach.
13:19
To również wygląda podejrzanie.
13:21
Możesz wykluczyć konkretne adresy IP, urządzenia lub użytkowników z niektórych reguł wykrywania, aby te fałszywe alarmy nie zaśmiecały Twojej kolejki powiadomień.
13:27
Globalne wykluczenia mają zastosowanie do wszystkich reguł wykrywania.
13:30
Wykluczenia dla poszczególnych reguł są bardziej ukierunkowane.
13:33
Cel jest ten sam, zredukować szum, aby zespół do spraw bezpieczeństwa mógł skupić się na realnych zagrożeniach.
13:37
Defender for Identity nie działa w pojedynkę.
13:39
Zobaczmy, jak wpisuje się w szerszy kontekst, jak pasuje do ekosystemu bezpieczeństwa Microsoft, w jaki sposób Defender for Identity pasuje do szerszego obrazu bezpieczeństwa Microsoft.
13:48
Pomyśl o nim jako o elemencie układanki Defender XDR.
13:51
Każde narzędzie z osobna jest użyteczne, ale prawdziwa moc pojawia się, gdy współpracują.
13:55
Defender for Endpoint chroni Twoje urządzenia.
13:57
Sprawdza każdy laptop i serwer pod kątem złośliwego oprogramowania oraz podejrzanej aktywności sieciowej.
14:02
Defender for Office 365 chroni pocztę e-mail i narzędzia do współpracy, wyłapując próby phishingu i złośliwe załączniki.
14:07
Z kolei Defender for Identity czuwa nad kontami użytkowników, wypatrując skradzionych danych uwierzytelniających ruchu bocznego i przejęcia kontroli nad domeną.
14:13
Każde narzędzie jest użyteczne z osobna, ale chodzi o to, że wspólnie wymieniają sygnały i łączą fakty.
14:19
Wyobraź sobie podejrzane logowanie do kontrolera domeny.
14:21
To samo logowanie może być powiązane z wiadomością phishingową, którą Defender for Office 365 już wykrył.
14:27
Atakujący przejął skrzynkę pocztową i teraz próbuje poruszać się wewnątrz sieci.
14:30
Defender for Identity widzi logowanie, Defender for Office 365 widzi wiadomość e-mail, a platforma Microsoft Defender XDR tworzy jeden wspólny incydent.
14:38
Na tym polega różnica między odizolowanymi alertami a pełnym obrazem ataku.
14:41
Integruje się również z Microsoft Sentinel, czyli chmurowym rozwiązaniem S i EM od Microsoftu.
14:45
To tam przeprowadza się zaawansowane wyszukiwanie zagrożeń i tworzy niestandardowe detekcje.
14:48
Możesz pisać zapytania kusto, które przeszukują wszystkie dane Defendera, tożsamość, punkty końcowe, e-mail, aplikacje w chmurze i znajdują wzorce, których automatyczne reguły nie zawsze wyłapują.
14:56
Współpracuje też z Microsoft Entra ID Protection. Oto różnica. Entra ID Protection obsługuje ryzyka logowania w chmurze, takie jak ryzykowne próby.