休眠的特权用户会带来安全风险，因为攻击者可以利用这些用户进行未经授权的访问。如果没有定期监控和停用，这些过期用户会通过扩大攻击面，为恶意活动创建潜在的入口点。

由于 Microsoft 的数据可用性限制，此 IoE 无法在没有 Microsoft Entra ID P1 或 P2 许可证的情况下工作。
休眠用户是指在指定时间段（默认为 90 天，可通过选项自定义）未成功完成任何登录，而处于非活动状态的用户帐户。
休眠用户可能会带来以下安全风险和操作上的复杂性：
<ul>
<li>如果这些帐户设有弱密码或密码未更改，则可能成为攻击者的潜在目标，从而增加遭入侵的风险。例如，<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">CISA 警报</a>指出：</li>
</ul>
<blockquote>
攻击活动还针对那些不再在受害组织工作但其帐户仍保留在系统中的用户的休眠帐户，
</blockquote>
<ul>
<li>通过创建潜在的漏洞，扩大了 Entra 租户的攻击面。例如，同一 <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">CISA 警报</a> 还提到：</li>
</ul>
<blockquote>
在某次事件中，所有用户被迫重置密码后，发现 SVR 攻击者登录了处于非活动状态的帐户，并按照指示完成了密码重置。这造成攻击者在事件响应驱逐活动后重新获得访问权限。
</blockquote>
<ul>
<li>向不再需要访问权限的人员（如前员工或实习生）授予访问权限。</li>
<li>造成诸如许可证等资源的浪费。通过定期识别、停用或移除休眠用户，组织可以优化资源分配并节省不必要的成本。</li>
</ul>
此外，还应考虑相关 IoE“从未使用的特权用户”，这一指标能够识别所有预先创建但从未使用的用户。
特权用户面临的风险更高。对于非特权用户，另请参阅相关 IOE“非特权”。
注意：
<ol>
<li>此 IoE 依赖用户对象的 <code>signInActivity</code> 属性中的 <code>lastSuccessfulSignInDateTime</code> 属性。与属性 <code>lastSignInDateTime</code> 不同，其优点在于仅报告成功的登录，从而避免因失败的登录尝试而引起的干扰。<code>lastSuccessfulSignInDateTime</code> 属性于 2023 年 12 月开始可用。</li>
<li>要访问 <code>signInActivity</code> 资源类型，每个租户都需要拥有 <a href="https://learn.microsoft.com/zh-cn/graph/api/resources/user?view=graph-rest-beta#:~:text=Details%20for%20this%20property%20require%20a%20Microsoft%20Entra%20ID%20P1%20or%20P2%20license%20and%20the%20AuditLog.Read.All%20permission">Microsoft Entra ID P1 或 P2 许可证</a>。否则，此 IoE 将无法检测从休眠用户，并会因此跳过整个分析过程。</li>
<li>由于这一属性对于从未登录或最后一次登录发生在 <a href="https://learn.microsoft.com/zh-cn/graph/api/resources/signinactivity?view=graph-rest-beta#:~:text=Effective%20December%201%2C%202023">2023 年 12 月之前</a>的用户来说是空白的，因此缺少评估间隔所需的必要数据。鉴于此，Tenable Identity Exposure 无法正确检测最后的登录日期，可能会导致误报。</li>
</ol>

检测

休眠的特权用户

MEDIUM

版本 202507150942

版本 202501131029

版本 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
版本 202501131029 Jan 13, 2025, 10:29 AM New Release: 202501131029