В этой статье объясняется, как использовать Панель мониторинга облачной активности для отслеживания активности в SaaS приложениях.
Обзор
Панель мониторинга облачной активности предоставляет централизованную и комплексную видимость активности пользователей в SaaS приложениях, используемых в вашей экосистеме. Панель содержит данные из нескольких функций для объединения санкционированных и несанкционированных приложений, которые отслеживаются как встроенно, так и внеполосно. Это позволяет обнаруживать любые аномалии, обеспечивать соответствие и оптимизировать реакцию на инциденты с единой панели.
Панель мониторинга облачной активности позволяет отслеживать:
Активность пользователя в теневой IT и санкционированных приложениях
На основе инспекции трафика в соответствии с вашей Политикой контроля приложений вы можете посмотреть активности каждого пользователя
Эти данные отображаются на панели мониторинга облачной активности только если включены Контроль приложений и инспекция TLS
Для получения дополнительной информации см. Cloud Access Security Broker (CASB)
Каждую активность неуправляемых и управляемых пользователей
На основе интеграции API с разрешенными приложениями
Для получения дополнительной информации см. What is App Activities
Входы в разрешенные приложения
На основе пользователей, входящих в приложение через SSO и API интеграции с вашим поставщиком идентификационных данных
Поддерживается для Microsoft Entra ID
Для получения дополнительной информации см. Configuring the Microsoft Entra ID (Azure AD) Connector и Configuring the Microsoft Entra ID Protection Connector for Sign-In Anomaly Data
Заметка:
Некоторые виджеты на панели управления требуют, чтобы Контроль приложений был включен с правилом, которое мониторит всю облачную активность во всех облачных приложениях.
Понимание общих компонентов Панели мониторинга облачной активности
Виджеты в разделе Аудиторские действия содержат два компонента, которые помогают определить тенденции использования:
Переключение Встроенные/API: Этот переключатель переключает данные между приложениями, отслеживаемыми встроенно, и приложениями, отслеживаемыми через API.
Индикатор роста/снижения: Если конкретная метрика изменяется более чем на 100% за определенный период, рядом с метрикой появляется стрелка. Если было увеличение, рядом появляется красная стрелка, указывающая вверх. Если есть снижение, появляется зеленая стрелка, указывающая вниз. Наведя курсор на метрику, вы можете увидеть точное процентное изменение.
Категории активностей: Активности, выполненные в приложении, сгруппированы в Категории активностей на панели. Это позволяет отслеживать, фильтровать и визуализировать активность в SaaS приложениях, чтобы эффективно управлять и исследовать поведение пользователей. Для получения дополнительной информации см. What is Application Control via API with Audit Activities?.
Использование случаев
Вот примеры аналитики, которую можно получить из виджетов Панели мониторинга облачной активности:
Подозрительные загрузки: Обнаружение больших или необычных загрузок данных. Например, конкретный сотрудник скачивает значительно больше данных, чем обычно, что может указывать на эксфильтрацию данных или внутренние угрозы.
Изменения разрешений: Отслеживание и обзор случаев, когда разрешения пользователей изменяются, помогая выявлять несанкционированный доступ или повышение привилегий.
Начало работы с Панелью управления облачной активностью
Панель мониторинга облачной активности разделена на три секции:
Обзор: Обобщённая информация о количестве приложений, используемых в вашей экосистеме
Аудиторские действия: Сводка принятых мер, приложений, которые были вовлечены, и пользователей, которые их выполняли как для встроенных, так и для внеполосных приложений.
Входы через SSO: Видимость для событий входа через SSO в арендатора Microsoft Entra ID вашей организации
Эти таблицы объясняют виджеты на панели управления облачной активностью.
Понимание секции Обзор
Эта таблица объясняет виджеты в разделе Обзор:
Имя | Описание |
|---|---|
Приложения, отслеживаемые в режиме inline | Количество приложений, отслеживаемых решением CASB от CATO. Это значение не подвергается влиянию при изменении диапазона времени или фильтра. |
Приложения, отслеживаемые через API | Количество приложений, отслеживаемых через API. Это значение не влияет на изменение диапазона времени или фильтра. |
Несанкционированные | Количество несанкционированных приложений, используемых в вашем аккаунте. Это значение не подвергается влиянию при изменении диапазона времени или фильтра. |
Доступ вне Cato | Количество приложений, доступ к которым осуществлен вне Cato (например, в облачных приложениях – отображаются только при настройке EntraID). |
Понимание раздела Аудиторские действия
Эта таблица объясняет виджеты в разделе Аудиторские действия:
Имя | Описание |
|---|---|
Активности со временем | Частота возникновения каждой категории активностей в течение диапазона времени и фильтра. |
Пользователи | Частота, с которой каждый пользователь завершил активность. |
Распределение активностей | Распределение каждой активности как процент от общего числа активностей. |
Приложения | Частота, с которой активность произошла в каждом приложении. |
Файлы | Файлы, которые были загружены или скачаны. |
Понимание раздела для аномальной активности SaaS
Раздел аномальной активности SaaS содержит два виджета: Наблюдения по SaaS, которые отображают количество событий аномальной активности по заголовку или серьезности. Виджет Приложения отображает приложения, в которых была обнаружена аномальная активность SaaS.
Понимание раздела Входы через SSO
Эта таблица объясняет виджеты в разделе Входы через SSO:
Имя | Описание |
|---|---|
Активность входа в санкционированные приложения | Показывает информацию о входе в систему через SSO для всех санкционированных SaaS-приложений вашей организации, использующих SSO. Вы можете нажать на строку приложения, чтобы отобразить страницу Событий с предварительной фильтрацией по событиям входа для данного приложения. Это столбцы виджета:
Нажмите на строку приложения, чтобы отобразить страницу Событий с предварительной фильтрацией по событиям входа для данного приложения |
Категории активностей по странам | Показывает следующую информацию о входах из каждой страны:
|
Топ пользователей с неудачными входами | Список пользователей с наибольшим количеством неудачных входов для одного приложения, с названием приложения и количеством неудачных входов. |
Топ входов вне Cato | Список пользователей с наибольшим количеством входов для одного приложения вне, с названием приложения и количеством неудачных входов. |
Лучшие аномалии при входе в систему | Список пользователей с наибольшим количеством аномалий при входе. |
Активность входа в систему со временем | Демонстрирует общее количество входов и неудачные входы на хронологии
|
Аномалии | Аномальные входы в ваш арендатор Entra ID, которые могут указывать на вредоносную активность. Типы аномалий включают: нетипичное путешествие, аномальный токен, подозрительный браузер, непривычные параметры входа, вредоносный IP-адрес, подозрительные правила манипуляции с почтовым ящиком, атаки методом подборки пароля, невозможное путешествие, новая страна, активность с анонимного IP-адреса, подозрительная переадресация почты, массовый доступ к конфиденциальным файлам, подтвержденный IP-адрес злоумышленника, обнаружен дополнительный риск, анонимный IP-адрес, администратор подтвердил, что пользователь компрометирован, угрозы Microsoft Entra. |
Распределение входов по операционным системам | Показывает количество входов в приложения, выполненных на каждой операционной системе. Наведите курсором мыши на раздел диаграммы, чтобы отобразить количество входов для этой операционной системы и его процент от общего количества входов. |
Распределение входов по браузерам | Показывает количество входов в приложения, выполненных на каждом браузере. Наведите курсором мыши на раздел диаграммы, чтобы отобразить количество входов для этого браузера и его процент от общего количества входов. |