EDR שמתממשק ל-Entra ID, מה זה נותן ואיך זה עובד?

EDR שמתממשק ל-Entra ID מחבר את זיהוי האיומים בנקודות הקצה לנתוני הזהות של הארגון ב-Microsoft Entra ID (לשעבר Azure AD). לפי Bitdefender, Azure AD הוא חיישן XDR שאוסף ומעבד מראש נתונים על משתמשים וקבוצות מ-Microsoft Entra ID, והנתונים נוגעים לפעילות ההתחברות שלהם ולשינויי תצורה. ב-GravityZone הממשק ל-Entra ID הוא חלק מ-XDR. אופק דיסט, חברת הפצה, ייעוץ ותמיכה בפתרונות אבטחת מידע, ענן ותקשורת, שפועלת מאז 2006 ומשרדיה בפתח תקווה, מפיצה בישראל את Bitdefender GravityZone. המאמר מסביר מה הממשק נותן, איך הוא מתחבר, אילו רישיונות נדרשים ואילו פעולות תגובה הוא מאפשר.

בקצרה

• לפי Bitdefender, החיבור של Entra ID ל-GravityZone XDR נעשה דרך Microsoft Graph API, עם Azure Event Hubs כתוספת אופציונלית ומומלצת.
• לפי Bitdefender, כשמקצים לאפליקציית Entra ID את ההרשאות המתאימות, אנליסטים יכולים להשבית חשבונות משתמש שמעורבים באירועי XDR ישירות מ-GravityZone.
• לפי NCSC הבריטי, מומלץ לחייב אימות רב-גורמי (MFA) חזק לכל משתמש שניגש למידע רגיש, וזה מפחית את הסיכוי שמשתמשים לא מורשים יגיעו אליו.

למה צריך EDR שמתממשק ל-Entra ID?

EDR שמתממשק ל-Entra ID מוסיף לזיהוי בנקודת הקצה גם את נתוני החשבונות, כי מתקפה יכולה להתחיל בחשבון ולא בקובץ, ואז נתוני הזהות הם הראיה הראשונה. לפי NCSC הבריטי, כששירותים ארגוניים היו נגישים רק מתוך הרשת המקומית, הגישה הפיזית שימשה כגורם אימות שני מדומה, וכשהגורם הזה נעלם בשירותים מקוונים, אימות בסיסמה בלבד אינו חזק מספיק כדי להגן על מידע רגיש. כשהעובדים מתחברים מכל מקום, החשבון עצמו הוא נקודת הכניסה.

לפי Bitdefender, GravityZone XDR Identity נותן נראות לסיכונים בספרייה הארגונית (Active Directory), ב-Azure AD ובספקי זהות בענן, מזהה חריגות התנהגותיות ופרטי גישה שנפרצו, חוסם תנועה רוחבית ומציע תגובות בלחיצה אחת. לפי Bitdefender, באמצעות חיישן XDR Identity, GravityZone XDR בונה אירועים מורחבים עם נתוני זהות מפורטים גם בלי מעורבות של נקודת קצה מנוהלת. לפי Bitdefender, אלה הנתונים שחיישן Azure AD אוסף, ואיך הם מגיעים ל-GravityZone.

• התחברויות: נתוני פעילות ההתחברות של משתמשים ל-Entra ID.
• שינויי תצורה: שינויים בחשבונות ובקבוצות ב-Entra ID.
• ערוץ החיבור: לפי Bitdefender, Microsoft Graph API, עם Azure Event Hubs כתוספת אופציונלית.

איך GravityZone מתממשקת ל-Entra ID?

לפי Bitdefender, החיבור של Entra ID ל-GravityZone XDR נעשה דרך Microsoft Graph API, עם Azure Event Hubs כתוספת אופציונלית. לפי Bitdefender, מומלץ להשתמש ב-Azure Event Hubs, כי שימוש ב-Graph API בלבד יכול לגרום לעיכובים בשליפת אירועי אבטחה מ-Entra ID. חיישן Azure AD הוא החלק שמושך את נתוני Entra ID אל GravityZone.

לפי Bitdefender, בסביבת Active Directory היברידית צריך לפרוס גם את חיישן ה-Active Directory, בנוסף לחיישן Azure AD. כלומר, ארגון שיש לו גם Active Directory מקומי לצד Entra ID צריך לפרוס את שני החיישנים.

אילו הרשאות ורישיונות של Entra ID נדרשים?

לפי Bitdefender, ההרשאות הקשורות למשתמשים בסיכון ולאירועי סיכון ב-Entra ID (IdentityRiskyUser ו-IdentityRiskEvent) דורשות רישיון Microsoft Entra ID P2, ושאר ההרשאות דורשות רישיון P1. לפי Bitdefender, Entra ID Free נתמך גם הוא לפריסת חיישן Azure AD, אבל הזיהויים בו מוגבלים למידע שקיים ביומני הביקורת של הספרייה הכלולים ברישיון החינמי.

כלומר, היקף הזיהוי תלוי ברישיון Entra ID שיש לארגון, ולא רק ברישוי של GravityZone XDR, שבו לפי Bitdefender כל קטגוריית חיישן היא תוסף נפרד. לפני ההקמה כדאי לבדוק איזה רישיון Entra ID קיים, ואילו הרשאות אפשר להקצות לאפליקציה.

אילו פעולות תגובה אפשר לבצע על חשבונות מ-GravityZone?

לפי Bitdefender, כשמקצים לאפליקציית Entra ID את ההרשאות המתאימות, אנליסטים יכולים להשבית חשבונות משתמש שמעורבים באירועי XDR ישירות מ-GravityZone. לפי Bitdefender, כפיית איפוס סיסמה דורשת בנוסף הקצאת תפקיד User Administrator לאפליקציה, ופעולות תגובה על חשבונות מנהלים דורשות תפקיד Global Administrator.

לפי Bitdefender, GravityZone משתלבת עם Entra ID להחלפת מידע סיכון בזמן אמת, לסימון חשבונות משתמש שנפרצו ולהפעלת בידוד משתמש אוטומטי. כך אירוע שהתחיל בנקודת הקצה יכול להסתיים בפעולה על החשבון, בלי לעבור לקונסולה אחרת.

מה מוסיפים חיישני Microsoft 365?

לפי Bitdefender, ב-GravityZone XDR, פלטפורמת Microsoft Office 365 כוללת את חיישני Mail ו-Audit, שמעשירים את זיהויי ה-XDR בנתונים על תעבורת המייל ותוכנו ועל פעולות משתמשים ומנהלים שנשלפות מיומן הביקורת המאוחד של Microsoft 365. לפי Bitdefender, GravityZone XDR Productivity מנטר את Office 365 ואת Google Workspace, מזהה איומים כמו פישינג, מתקפות ניחוש סיסמאות (brute force) וחריגות התנהגותיות, וכולל תגובות כמו מחיקת מיילים או השעיית חשבונות.

לפי Bitdefender, הרישוי של GravityZone XDR משלב את GravityZone Business Security Enterprise עם תוסף שנרכש בנפרד לכל קטגוריית חיישן, ובהן רשת, זהות, ענן ואפליקציות פרודוקטיביות. לפני ההקמה כדאי לבדוק גם אילו חיישני XDR הארגון צריך, כי כל קטגוריה דורשת תוסף משלה.

פתרונות Bitdefender GravityZone זמינים בישראל דרך אופק דיסט. אופק דיסט מוכרת גם את מודולי GravityZone, בין השאר הצפנת דיסק, PHASR, ניהול עדכונים וניהול סיכונים וחולשות. אופק דיסט נותנת שירות ותמיכה בעברית, בשעון ישראל, בלי פנייה ליצרן בחו"ל.

האם אפשר להתחבר לקונסולה עם Entra ID?

לפי Bitdefender, GravityZone Cloud תומכת בכניסה מאוחדת (SSO) עם ספקי זהות שמשתמשים בתקן SAML 2.0, ובהם Entra ID של Microsoft. לפי Bitdefender, SSO והאימות בשני גורמים (2FA) של הקונסולה לא פועלים יחד, וכשמפעילים SSO למשתמש, ה-2FA שלו מושבת. לכן את דרישת האימות הנוסף מעבירים לספק הזהות, כלומר ל-Entra ID.

לפי NCSC, מומלץ לחייב MFA חזק לכל משתמש שניגש למידע רגיש, וזה מפחית את הסיכוי שמשתמשים לא מורשים יגיעו אליו. גישה לקונסולת ניהול האבטחה היא גישה למידע רגיש ולשליטה בהגנה, ולכן כדאי לוודא שמדיניות ה-MFA ב-Entra ID חלה על מי שמתחבר אליה.

Summary

EDR שמתממשק ל-Entra ID מחבר את זיהוי האיומים בנקודות הקצה לנתוני ההתחברות ושינויי התצורה של החשבונות. לפי Bitdefender, GravityZone מתחברת ל-Entra ID דרך Microsoft Graph API, עם Azure Event Hubs כתוספת מומלצת, וכשמקצים לאפליקציה את ההרשאות המתאימות, אנליסטים יכולים להשבית חשבונות ישירות מהקונסולה. לפי Bitdefender, Entra ID Free נתמך עם זיהויים מוגבלים ליומני הביקורת, ולכן היקף הזיהוי תלוי ברישיון Entra ID שיש לארגון. אופק דיסט מפיצה בישראל את Bitdefender GravityZone.

לתיאום ייעוץ, צוות אופק דיסט זמין בטלפון 073-22-00-123.

שאלות נפוצות על EDR שמתממשק ל-Entra ID