Microsoft Entra ID Protection (ส่วนหนึ่งของ Microsoft Entra ID P2) เป็นคุณสมบัติที่ใช้ AI และ machine learning เพื่อตรวจจับความเสี่ยงด้านตัวตน (identity risks) และทำการ remediate แบบอัตโนมัติหรือช่วยให้แอดมินจัดการได้ง่ายขึ้น ช่วยป้องกัน identity-based attacks เช่น credential stuffing, password spray, phishing, token theft
ประเภทความเสี่ยง (Risk Detections)
- User Risk: ความน่าจะเป็นที่ตัวตนผู้ใช้ถูกคุกคาม (compromised) ตัวอย่าง: leaked credentials, anomalous travel, anonymous IP, atypical travel, malicious IP, suspicious browser activity
- Sign-in Risk: ความน่าจะเป็นที่การ sign-in ครั้งนั้นไม่ใช่เจ้าของตัวตนจริง ตัวอย่าง: unfamiliar location, anonymous IP, impossible travel, password spray, token replay, suspicious inbox forwarding rules
Remediation Policies (นโยบายการแก้ไข)
- User Risk Policy: เมื่อ user risk level ถึงเกณฑ์ (Low, Medium, High) บังคับ: require password change (self-remediation), block access, หรือ require MFA re-registration
- Sign-in Risk Policy: เมื่อ sign-in risk level ถึงเกณฑ์ บังคับ: require MFA, block access
- MFA Registration Policy: บังคับให้ users ลงทะเบียน MFA ก่อนเข้าถึงทรัพยากร
การทำงานของ Risk-Based Conditional Access
Entra ID Protection ทำงานร่วมกับ Conditional Access: ใช้ risk level (Low/Medium/High) เป็น condition ใน Conditional Access policies ตัวอย่าง: ถ้า sign-in risk = High → Block access หรือ Require MFA + compliant device + approved client app
การสืบสวนและ Reporting
- Risk Detections Report: รายการ risk detections พร้อมรายละเอียด (type, level, status, timestamp, location, IP)
- Risky Users Report: ผู้ใช้ที่มี active risk detections
- Risky Sign-ins Report: การ sign-in ที่มี risk detections
- Export ไป SIEM (Microsoft Sentinel) หรือดูผ่าน Microsoft Graph API
การ Remediate แบบ Manual
- Admin confirm user compromised → force password reset, revoke sessions, require MFA re-registration
- Dismiss false positive risk detections
- Bulk remediate multiple users
Licensing
- ต้องมี Microsoft Entra ID P2 license (รวมใน Microsoft 365 E5, Microsoft 365 E5 Security, EMS E5)
- Entra ID P1: มี risk detections แต่อยู่ใน read-only mode (ไม่มี remediation policies)
- Free tier: ไม่มี Entra ID Protection
ประโยชน์หลัก
- AI/ML-driven detection: จับ identity threats ที่ rule-based systems พลาด
- Automated remediation: Self-remediation (password change) ลดภาระ SOC
- Risk-based Conditional Access: Adaptive security ตาม context ไม่ใช่ static rules
- Integration: Microsoft 365 Defender, Sentinel, Intune, Graph API
- Visibility: Dashboard และ reports สำหรับ identity risk posture
