Microsoft Entra'da Kullanıcı Riskini Sıfırlamak için Şirket İçi Parola Değişikliğine İzin Verme

Kullanıcı riskinin ele alınması, özellikle kullanıcıların dünyanın her yerinde olduğu ve kimlik tabanlı saldırıların arttığı günümüzde zor bir iş olabilir. Kuruluşların kendilerine sunulan riskleri anlamaları ve bu risklerin onları nasıl etkilediğini gerçek zamanlı olarak görebilmeleri gerekir.

Elbette tüm bunlar, bu riskleri ortadan kaldırmak ve düzeltmek zorunda olan BT veya güvenlik ekiplerinize bir yük olarak geliyor; bu nedenle, sorumluluğun bir kısmını son kullanıcıya geri vererek bu yükün hafifletilmesine yardımcı olabiliriz.

Kullanıcıların şirket içi parolalarını sıfırlayarak hesaplarıyla ilişkili riskleri ortadan kaldırmasına olanak tanıyarak yönetim yükünü ve bir bütün olarak süreci azaltabiliriz. Genel olarak, bir kullanıcının parolasını yerel olarak sıfırlaması (mümkünse), buluttaki parola sıfırlama işlemini takip etmekten daha kolaydır.

Microsoft Entra'da kullanıcı riskini sıfırlamayı anlama

Microsoft Entra'da, kullanıcılar tarafından oturum açma sırasında (oturum açma riski olarak bilinir) veya kullanıcı oturum açtıktan sonra (kullanıcı riski olarak bilinir) şüpheli eylemler gerçekleştirildiğinde riskler algılanır. Oturum açma sırasında veya sonrasında kullanıcıların farklı eylemleri, genellikle kullanıcı hesabının ele geçirilme olasılığına bağlı olarak farklı risk düzeylerine katkıda bulunur.

Kullanıcı tarafından gerçekleştirilen bir eyleme veya farklı eylemlerin birleşimine bağlı olarak risk düzeyi Microsoft Entra'da otomatik olarak güncellenir. Riski Microsoft Entra Yönetim Merkezi'nden görüntüleyebilirsiniz:

1. Microsoft Entra'da oturum açın
2. Koruma'yı genişletin
3. Riskli etkinlikler'i seçin

Buradan riskli kullanıcıların listesini ve ilgili risk düzeyini görebilirsiniz.

Microsoft Entra, riski bir kullanıcının gerçekleştirdiği eyleme göre hesapladığında, bu risklerin bir kısmı gerçek zamanlı olarak (oluştukça) ve bir kısmı da çevrimdışı olarak (olay gerçekleştikten sonra) hesaplanır; bu, türüne bağlıdır Aşağıdaki tablolarda listelenen etkinlik.

Oturum açma riski algılamaları

Kullanıcı riski tespitleri

Ortamınızdaki kullanıcı riskini etkili bir şekilde izlemek ve kontrol etmek için tamamlamanız gereken bazı önemli görevler vardır.

1 numara, yüksek riskli bir uyarı oluşturulduğunda bildirim e-postalarını yapılandırmaktır. Yüksek riskli kullanıcılar normalde bir kullanıcının güvenliğinin ihlal edilmesine atfedildiğinden endişe kaynağıdır ve BT ekibinizin derhal bilgilendirilmesi gerekir.

İkinci adım, risk düzeyine göre erişimi engellemek veya self servis parola sıfırlama mekanizması yoluyla parola değişikliğini zorlayarak kullanıcıya otomatik düzeltme şansı vermek için kullanılabilecek kullanıcı riski veya oturum açma riski ilkesini yapılandırmaktır. Bu aynı zamanda Koşullu Erişim politikaları aracılığıyla da kontrol edilir.

Üçüncüsü, tüm kullanıcıların, self servis parola sıfırlama için kullanılabilecek Microsoft Authenticator uygulaması gibi güçlü bir yöntemle yapılandırılmış çok faktörlü kimlik doğrulamasına sahip olmasını sağlamaktır. Sadece ofis portalından şifreyi değiştirmek kullanıcı riskini ortadan kaldırmaz.

Şirket içi şifre değişiklikleri için topoloji

Her ne kadar açık olsa da, kullanıcılarınızın şirket içinde parolalarını sıfırlayarak hesaplarıyla ilişkili risk düzeyini düzeltebilmelerini istiyorsanız kimlik senkronizasyonunu Microsoft Entra Connect ile çalıştırmanız gerektiğini söylemekte fayda var. veya Microsoft Entra Bulut Senkronizasyonu. Bunun yanı sıra, senkronizasyon aracının her iki sürümüyle de Şifre Karması senkronizasyonunu kullandığınızdan emin olmanız gerekir.

Microsoft Entra Connect kullanıyorsanız aşağıdaki komutla Parola Karması Eşitlemesinin etkin olup olmadığını kontrol etmek için PowerShell'i kullanabilirsiniz.

Get-ADSyncAADCompanyFeature

Aksi takdirde, Microsoft Entra Cloud Sync kullanıyorsanız aşağıdaki adımları izleyerek aynı bilgileri Microsoft Entra Admin Center'dan kontrol edebilirsiniz:

1. Microsoft Entra yönetim merkezinde oturum açın

2. Kimlik > Karma Yönetim'i genişletin ve Microsoft Entra Connect'i seçin.

3. Bulut Senkronizasyonu > Yapılandırmalar'ı seçin ve Bulut Senkronizasyonu yapılandırmanızı seçin.

4. Genel Bakış sekmesinde Özellikler'i seçin; buradan Şifre karma senkronizasyonunun etkin mi yoksa devre dışı mı olduğunu göreceksiniz.

Microsoft Entra'da 'Kullanıcı Riskini Sıfırlamak için Şirket İçi Parola Değişikliğine İzin Ver' seçeneğini etkinleştirin

Kullanıcı riskini sıfırlamak için şirket içi parola değişikliğine izin ver ayarı, Microsoft Entra yönetim merkezinin Kimlik Koruma dikey penceresinde bulunur; buradan bu ayarı açabilir veya kapatabilirsiniz. Ayarı etkinleştirmek için aşağıdaki adımları izleyin:

1. Microsoft Entra'ya giriş yapın

2. Koruma'yı genişletin ve Kimlik Koruması'nı seçin.

3. Ayarlar başlığı altında Ayarlar'ı seçin.

4. Ayarı etkinleştirmek için kutuyu işaretleyin.

Microsoft Graph PowerShell'i Kullanma

Bu özelliği Microsoft Graph PowerShell'i kullanarak programlı olarak da etkinleştirebilirsiniz. Henüz Microsoft Graph PowerShell modüllerini yüklemediyseniz eğitimime göz atın: Microsoft Graph PowerShell Modülü Nasıl Kurulur.

Öncelikle gerekli izinlerle Microsoft Graph'a bağlanın: policy.readwrite.identityprotection

Connect-MgGraph -scopes policy.readwrite.identityprotection

Bu değişiklik için henüz özel bir cmdlet olmadığından Invoke-MgGraphRequest tümünü yakala cmdlet'ini kullanmamız gerekecek.

$body = @'
{
        "isUserRiskClearedOnPasswordReset": true
}
'@

$uri = 'https://graph.microsoft.com/beta/identityProtection/policy'

Invoke-MgGraphRequest -Uri $uri -Body $body -Method PATCH -ContentType "application/json" 

Kullanıcı risk düzeyi örneğini sıfırlamak için şirket içi parolayı sıfırlama

Bu özellik etkinleştirildiğinde ve kimlik senkronizasyonu topolojiniz şifre karması senkronizasyonunu desteklediğinde, sonuçlar oldukça hızlı olacaktır.

Bu test için Adsync Kullanıcısı 2 adında bir kullanıcım var. Microsoft Authenticator uygulamasında yanlış bir MFA istemi bildirerek yüksek riskli oturum açma simülasyonu yaptım. Birkaç dakika sonra kullanıcı riskli oturum açma günlüğünde göründü.

Riskli oturum açma günlüğü göründükten birkaç dakika sonra, kullanıcının şirket içinde oturum açtığı iş istasyonuna geri döndüm ve basit bir CTRL + ALT + Sil ve parolayı sıfırla ile parolayı sıfırladım. Yerel etki alanı denetleyicisindeki bu günlük, parolanın şirket içinde güncelleştirildiğini gösterir.

Şifre güncellendikten ve Microsoft Entra ID ile senkronize edildikten birkaç dakika sonra, Adsync User02'nin riskli oturum açma günlüğü düzeltilmiş duruma getirildi ve günlük ayrıntılarında Kullanıcı şifreyi şirket içinde değiştirdi göründü .