Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Oggi, come amministratore IT, ti trovi tra l'incudine e il martello. Si vuole consentire ai dipendenti di essere produttivi. Ciò significa consentire ai dipendenti di accedere alle app in modo che possano lavorare in qualsiasi momento, da qualsiasi dispositivo. Tuttavia, si vuole proteggere gli asset dell'azienda, incluse le informazioni proprietarie e privilegiate. Come è possibile consentire ai dipendenti di accedere alle app cloud proteggendo al tempo stesso i dati?
Questa esercitazione consente di rivalutare Microsoft Entra criteri di accesso condizionale quando gli utenti eseguono azioni sensibili durante una sessione.
La minaccia
Un dipendente connesso a SharePoint Online dall'ufficio aziendale. Durante la stessa sessione, il loro indirizzo IP è stato registrato al di fuori della rete aziendale. Forse sono andati al bar al piano di sotto, o forse il loro token è stato compromesso o rubato da un utente malintenzionato.
Soluzione
Proteggi la tua organizzazione richiedendo che i criteri di Accesso Condizionale di Microsoft Entra vengano rivalutati durante azioni di sessione sensibili tramite il controllo delle app per l'accesso condizionale di Defender for Cloud Apps.
Prerequisiti
Una licenza valida per Microsoft Entra ID P1
La tua app cloud, in questo caso SharePoint Online, configurata come app di Microsoft Entra ID e che usa l'accesso Single Sign-On (SSO) tramite SAML 2.0 o OpenID Connect
Verificare che l'app sia distribuita in Defender for Cloud Apps
Creare un criterio per imporre l'autenticazione avanzata
Defender for Cloud Apps criteri di sessione consentono di limitare una sessione in base allo stato del dispositivo. Per eseguire il controllo di una sessione usando il dispositivo come condizione, creare sia un criterio di accesso condizionale che un criterio di sessione.
Per creare i criteri:
Nel portale di Microsoft Defender, in App cloud, passare a Criteri ->Gestione dei criteri.
Nella pagina Criteri selezionare Crea criterio seguito da Criteri sessione.
Nella pagina Crea criterio di sessione, assegna un nome e una descrizione al criterio. Ad esempio, Richiedere l'autenticazione dettagliata nei download da SharePoint Online da dispositivi non gestiti.
Assegnare un livello di gravità e una categoria di criteri.
Per il tipo di controllo della sessione, selezionare Blocca attività,Controlla il caricamento dei file (con ispezione),Controlla il download dei file (con ispezione).
In Origine attività nella sezione Attività corrispondente a tutte le sezioni seguenti selezionare i filtri:
Tag del dispositivo: Seleziona Non è uguale a e quindi seleziona Conforme a Intune, aggiunto a Microsoft Entra in modalità ibrida o Certificato client valido. La selezione dipende dal metodo usato nell'organizzazione per identificare i dispositivi gestiti.
App: selezionare Onboarding automatico di Azure AD e quindi selezionare SharePoint Online dall'elenco.
Utenti: selezionare gli utenti da monitorare.
In Origine attività nella sezione File corrispondenti a tutte le sezioni seguenti impostare i filtri seguenti:
Etichette di riservatezza: se si usano etichette di riservatezza di Microsoft Purview Information Protection, filtrare i file in base a un'etichetta di riservatezza Microsoft Purview Information Protection specifica.
Selezionare Nome file o Tipo di file per applicare restrizioni in base al nome o al tipo di file.
Abilitare l'ispezione del contenuto per consentire alla prevenzione della perdita dei dati interna di analizzare i file alla ricerca di contenuti sensibili.
In Azioni selezionare Richiedi autenticazione dettagliata.
Nota
A tale scopo, è necessario creare il contesto di autenticazione nell Microsoft Entra ID.
Impostare gli avvisi che si desidera ricevere quando viene trovata una corrispondenza con i criteri. È possibile impostare un limite in modo da non ricevere troppi avvisi. Selezionare se per ottenere gli avvisi come messaggio di posta elettronica.
Selezionare Crea.
Convalidare i criteri
Per simulare questo criterio, accedi dall'app da un dispositivo non gestito o da una posizione di rete non aziendale. Provare quindi a scaricare un file.
È necessario eseguire l'azione configurata nei criteri del contesto di autenticazione.
Nel portale di Microsoft Defender, in App cloud, passare a Criteri ->Gestione dei criteri. Selezionare quindi i criteri creati per visualizzare il report dei criteri. Una corrispondenza dei criteri di sessione dovrebbe essere visualizzata a breve.
Nel report dei criteri è possibile visualizzare quali account di accesso sono stati reindirizzati a Microsoft Defender for Cloud Apps per il controllo sessione e quali file sono stati scaricati o bloccati dalle sessioni monitorate.
Passaggi successivi
Come creare un criterio di accesso
Come creare criteri di sessione
Se si verificano problemi, siamo qui per aiutarti. Per ottenere assistenza o supporto per il problema del prodotto, aprire un ticket di supporto.