阻止有风险的用户，以防止未经授权的访问和潜在漏洞。安全性最佳实践建议使用条件访问策略来阻止易受攻击的帐户进行 Entra ID 身份验证。

Microsoft Entra ID Protection（原 Identity Protection）可识别 Entra ID 中的<a href="https://learn.microsoft.com/zh-cn/entra/id-protection/howto-identity-protection-investigate-risk#why-is-a-user-at-risk">风险用户</a>，并需要 <a href="https://learn.microsoft.com/zh-cn/entra/id-protection/overview-identity-protection#license-requirements">Microsoft Entra ID P2 许可证</a>才能运行。正如 <a href="https://learn.microsoft.com/zh-cn/entra/id-protection/concept-identity-protection-risks#risk-detections-mapped-to-riskeventtype">Microsoft 关于风险检测的文档</a>中所述，风险检测分为两种类型：
<ul>
<li>登录风险检测。此检测已在专门的 IoE“有风险的登录未要求进行 MFA”中解决</li>
<li>用户风险检测</li>
</ul>
在以下情况下，用户可能被视为存在风险：
<ul>
<li>用户进行了一次或多次存在风险的登录。</li>
<li>在他们的帐户上检测到一个或多个<a href="https://learn.microsoft.com/zh-cn/entra/id-protection/concept-identity-protection-risks#risk-detections-mapped-to-riskeventtype">风险</a>，例如<a href="https://learn.microsoft.com/zh-cn/entra/id-protection/concept-identity-protection-risks#leaked-credentials">泄露的凭据</a>或<a href="https://learn.microsoft.com/zh-cn/entra/id-protection/concept-identity-protection-risks#anomalous-user-activity">异常的用户活动</a>。</li>
</ul>
存在三个风险 <a href="https://learn.microsoft.com/zh-cn/entra/id-protection/concept-identity-protection-risks#risk-levels">级别</a>：
<ul>
<li>高危</li>
<li>中危</li>
<li>低危</li>
</ul>
当系统识别到某个用户存在风险时，可以使用条件访问策略来强制实施安全措施。
根据 BOD 25-01 的规定，需要将 CISA“Microsoft Entra ID 的 M365 安全配置基准”中的<a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#risk-based-policies">MS.AAD.2.1v1</a> 策略设置为“应阻止经检测存在高风险的用户”。如果遵循 CISA 指南，此 IoE 可确保至少一个条件访问策略包含以下设置：
<ul>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">用户</a>”设置为包括“所有用户”。</li>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-cloud-apps">目标资源</a>”设置为“所有资源”。</li>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-conditions#user-risk">条件 &gt; 用户风险</a>”设置为“是”，并选择“高”风险级别。</li>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-grant">授予</a>”设置为“阻止访问”。</li>
<li>“启用策略”设置为“开启”（而非“关闭”或“仅报告”）。</li>
</ul>
另一方面，如果您选择遵循 <a href="https://learn.microsoft.com/zh-cn/entra/fundamentals/configure-security#restrict-access-to-high-risk-users">Microsoft 的建议</a>，此 IoE 可确保至少一个条件访问策略包含以下设置：
<ul>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">用户</a>”设置为包括“所有用户”。</li>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-cloud-apps">目标资源</a>”设置为“所有资源”。</li>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-conditions#user-risk">条件 &gt; 用户风险</a>”设置为“是”，并选择“高”风险级别。</li>
<li>“<a href="https://learn.microsoft.com/zh-cn/entra/identity/conditional-access/concept-conditional-access-grant">授予</a>”设置为“需要更改密码”。</li>
<li>“启用策略”设置为“开启”（而非“关闭”或“仅报告”）。</li>
</ul>

检测

无强制措施的风险用户

MEDIUM

版本 202608241311

版本 202504150945

版本 202608241311 Aug 24, 2026, 1:11 PM Metadata (Explain that the Microsoft Entra Connect and Cloud Sync service accounts must be excluded from the recommended Conditional Access policy, since they cannot comply with its requirements, also exclude the "On Premises Directory Sync Account" role from the policy created by the remediation script, and fix this script which could not create the policy from the Microsoft template at all) Release: 202608241311
版本 202504150945 Apr 15, 2025, 9:45 AM New Release: 202504150945