Skip to main content

​
מה האינטגרציה הזו תורמת

Microsoft Entra ID יכול לספק פעילות מנורמלת של זהויות, כניסות, סיכונים, מכשירים וסימולציות תקיפה. הדוגמאות שנבדקו כוללות:
  • account.compromised — חשבון שסומן כחשבון שנפרץ
  • auth.login.unusual — כניסות מהקשרים חריגים
  • phishing.simulation.clicked — לחיצה על סימולציה ללא דיווח
אלו דוגמאות מייצגות, ואין בהן התחייבות שכל אירוע זמין בכל דייר. ראו כיצד נתוני אינטגרציה הופכים לאותות.

​
מה Living Security צריכה

היקפי הרשאה (הרשאות יישום):

​
אתם קובעים מה החיבור הזה יכול לעשות

החיבור הזה קורא נתונים. הוא יכול גם לבצע פעולות בספרייה שלכם, אך ורק אם תבחרו לאפשר זאת. כל ההרשאות שלעיל, מלבד האחרונה, הן לקריאה בלבד. אם תעניקו רק אותן, החיבור לא יוכל לשנות דבר בדייר שלכם — הפלטפורמה מזהה זאת ואינה מציעה פעולות קבוצה כלל. הוסיפו את GroupMember.ReadWrite.All ופעולות חברות בקבוצה יהיו זמינות לשימוש בפלייבוקים. דבר לא יתחיל לקרות מעצמו: עדיין עליכם לבחור לאילו קבוצות הפלטפורמה רשאית לגעת (ראו בהמשך) וליצור פלייבוק שמשתמש בהן. תוכלו לשנות את דעתכם בכל עת. די להוסיף הרשאה ב-Microsoft Entra ID או להסיר אותה ולהעניק מחדש הסכמת מנהל — אין צורך להזין מחדש פרטי הזדהות בפלטפורמה, וסנכרוני הנתונים שלכם ימשיכו לפעול לאורך כל התהליך. השינוי נכנס לתוקף תוך כשעה.
פעולות חברות בקבוצה מוגבלות בנוסף לקבוצות שתייעדו. לאחר החיבור, מנהל מערכת בוחר בחיבור רשימת היתרים מפורשת של קבוצות. כל עוד רשימה זו לא קיימת, פעולות קבוצה אינן זמינות גם אם ההרשאה הוענקה — ולכן GroupMember.ReadWrite.All אינו מציין לעולם “כל קבוצה בדייר”.בחרו קבוצות אלו בקפידה: הימנעו מכל קבוצה המקנה תפקידי ניהול, גישה מורחבת או זכויות רישיון.
תפקיד נדרש: Application Administrator או Global Administrator ב-Microsoft Entra ID
שתיים מההרשאות האלה נוספו לאחרונה. אם חיברתם את Microsoft Entra ID לפני שהן הופיעו ברשימה זו, הוסיפו אותן לרישום היישום הקיים שלכם והענקו מחדש הסכמת מנהל — Microsoft דורשת להעניק הסכמה מחדש בכל פעם שההרשאות משתנות. בינתיים, כל שאר זרמי הנתונים ממשיכים לפעול כרגיל.Policy.Read.ConditionalAccess — ללא הרשאה זו, Microsoft מסירה את פרטי הגישה המותנית מכל רשומת כניסה. הרשומה עדיין מציינת שמדיניות גישה מותנית התקיימה, אך רשימת המדיניות חוזרת ריקה. דבר אינו נכשל ושום אזהרה אינה מוצגת: נתוני הכניסה ממשיכים להגיע והחיבור נשאר תקין. הפלטפורמה פשוט אינה יכולה לדעת אילו כניסות התקיימו באמצעות אימות רב-גורמי, ולכן פעילות MFA מהחיבור הזה נשארת ריקה.IdentityRiskEvent.Read.All — קריאת זיהויי סיכון דורשת גם רישיון Microsoft Entra ID P1 או P2. זיהוי פרטי הזדהות שדלפו זמין בכל הדרגות, כולל P1; הזיהויים הפרימיום מדווחים כ-generic בדרגות הנמוכות מ-P2.

​
דרישות מוקדמות

  • נדרשת לכם גישת Application Administrator או Global Administrator ב-Microsoft Entra ID כדי לרשום יישומים ולהעניק הסכמת מנהל.

​
חלק א׳ — ב-Microsoft Entra ID

מנהל Microsoft Entra ID שלכם משלים את השלבים האלה.
1

רישום יישום חדש

  1. היכנסו אל מרכז הניהול של Microsoft Entra.
  2. בניווט השמאלי, עברו אל Entra ID → App registrations.
  3. לחצו על New registration.
  4. הזינו שם משמעותי ליישום, כגון Living Security Platform.
  5. תחת Supported account types, בחרו Accounts in this organizational directory only.
  6. השאירו את Redirect URI ריק — האינטגרציה הזו משתמשת בזרימת client credentials.
  7. לחצו על Register.
לאחר הרישום, רשמו את הערכים הבאים מהדף סקירה כללית:
  • Application (client) ID
  • Directory (tenant) ID
2

הוספת הרשאות יישום של Microsoft Graph

  1. בדף סקירה כללית של היישום, לחצו על API permissions בתפריט השמאלי.
  2. לחצו על Add a permission.
  3. בחרו Microsoft Graph.
  4. בחרו Application permissions.
  5. חפשו ובחרו כל אחת מההרשאות שלהלן, ולאחר מכן לחצו על Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. הוסיפו את GroupMember.ReadWrite.All רק אם ברצונכם לאפשר לפלייבוקים לשנות חברות בקבוצות. דלגו עליה כדי לשמור על החיבור הזה לקריאה בלבד.
אלו ההרשאות המינימליות עבור כל זרמי הנתונים. אם בכוונתכם להפעיל רק חלק מהזרמים, תוכלו להשמיט הרשאות של זרמים שלא תשתמשו בהם.
3

מתן הסכמת מנהל

הרשאות יישום דורשות הסכמת מנהל מפורשת.
  1. בדף API permissions, לחצו על Grant admin consent for <your tenant name>.
  2. בתיבת הדו-שיח לאישור, לחצו על כן.
  3. ודאו שכל הרשאה מציגה Granted בעמודה מצב.
אם הכפתור Grant admin consent מופיע באפור, נדרשות לכם הרשאות Privileged Role Administrator או Global Administrator. יש להעניק הסכמת מנהל מחדש בכל פעם שמוסיפים הרשאות חדשות.
4

יצירת סוד לקוח

  1. בדף סקירה כללית של היישום, לחצו על Certificates & secrets בתפריט השמאלי.
  2. לחצו על הלשונית Client secrets, ולאחר מכן על New client secret.
  3. הזינו תיאור (למשל Living Security Platform).
  4. בחרו תוקף שמתאים למדיניות ההחלפה שלכם.
  5. לחצו על הוסף.
העתיקו את ערך הסוד מיד. Microsoft Entra ID מציג את סוד הלקוח המלא פעם אחת בלבד. אם תעברו לדף אחר לפני שהעתקתם אותו, יהיה עליכם למחוק את הסוד וליצור סוד חדש.
שמרו את הסוד במקום מאובטח. הגדירו תזכורת ביומן להחלפתו לפני פקיעת התוקף — סוד שפג תוקפו גורם לכישלון הסנכרונים עם 401 Unauthorized.
5

קביעת מארח Graph API ומארח הרשות

עבור רוב הארגונים בענן המסחרי, השתמשו בערכי ברירת המחדל:עבור ענני ממשל או ענני ריבונות, השתמשו בנקודות הקצה המתאימות לסביבה שלכם.
מארח Graph API ומארח הרשות חייבים להתאים זה לזה — אסימונים מרשות של ענן אחד אינם תקפים מול נקודת הקצה של Graph בענן אחר.

​
חלק ב׳ — ב-Living Security Platform

בעל התוכנית משלים שלב זה, או מנהל המערכת אם הוזמן אל הפלטפורמה.
כעת אתם מחוברים ל-Microsoft Entra ID (Client Credentials).

​
פתרון בעיות

פרטי ההזדהות אינם תקפים או שפג תוקפם. בדקו:
  1. סוד הלקוח לא פג תוקפו ולא הוחלף
  2. מזהה הדייר ומזהה הלקוח נכונים
  3. מארח הרשות תואם לסביבת הענן שלכם
ברישום היישום חסרות הרשאות, או שהסכמת מנהל לא הוענקה. ודאו:
  1. כל ההרשאות הנדרשות מופיעות ב-API permissions
  2. כל הרשאה מציגה מצב Granted (סימן וי ירוק)
  3. הסכמת מנהל הוענקה לאחר הוספת ההרשאות
אם הוספתם הרשאות חדשות לאחר ההסכמה הראשונית, עליכם להעניק הסכמת מנהל מחדש.
ייתכן שליישום חסרה ההרשאה הספציפית לאותו זרם:
  • אין משתמשים → חסרה User.Read.All
  • אין התראות אבטחה → חסרה SecurityAlert.Read.All
  • אין יומני כניסה → חסרה AuditLog.Read.All
  • אין תוצאות סימולציית תקיפה → חסרה AttackSimulation.Read.All
  • אין מכשירי Entra ID → חסרה Device.Read.All
  • אין מכשירים מנוהלים ב-Intune → חסרה DeviceManagementManagedDevices.Read.All
  • אין זיהויי סיכון → חסרה IdentityRiskEvent.Read.All, הסכמת המנהל לא הוענקה מחדש לאחר הוספתה, או שהדייר נמצא מתחת לרף הרישוי של Microsoft Entra ID P1
ייתכן שמארח Graph API ומארח הרשות אינם תואמים. שניהם חייבים להתאים לאותה סביבת ענן (מסחרי, ממשלתי וכן הלאה).
פעולות חברות בקבוצה מוצעות רק כאשר שלושת התנאים הבאים מתקיימים:
  1. GroupMember.ReadWrite.All נמצאת ברישום היישום, וניתנה לה הסכמת מנהל. אם הוספתם אותה לאחרונה, המתינו עד שעה.
  2. מנהל מערכת ייעד בחיבור רשימת היתרים של קבוצות.
  3. החיבור פעיל ותקין.
אם הענקתם את ההרשאה והפעולות עדיין אינן זמינות, הענקו הסכמת מנהל מחדש — Microsoft דורשת זאת בכל פעם שההרשאות משתנות.
אם בדייר שלכם קיימת מדיניות גישה מותנית (Conditional Access) המוגבלת לפי כתובת IP, היא עלולה לחסום בקשות הנושאות את פרט ההזדהות של החיבור הזה. רוב הדיירים אינם מושפעים — Microsoft Graph אינו מגביל לפי כתובת IP כברירת מחדל. אם אתם אוכפים מדיניות המוגבלת לפי IP עבור service principals, האינטגרציה הזו דורשת הכללה ברשימת ההיתרים של שתי קבוצות כתובות, מפני שההגדרה וסנכרון הנתונים יוצאים מרשתות שונות.Living Security מפיקה בעצמה את אסימון הגישה של החיבור הזה ומחדשת אותו באופן רציף, ולכן בקשות האסימון יוצאות מהכתובות של הפלטפורמה עצמה, ולא מהכתובות שבהן משתמשים סנכרוני הנתונים שלכם.פעולות קבוצה הן עניין נפרד. כברירת מחדל הן מנותבות באותו אופן כמו סנכרוני הנתונים ויוצאות מכתובות הסנכרון. הן עוברות לכתובות הפלטפורמה רק אם מנהל מערכת מעביר את החיבור ליציאה ישירה.הוסיפו את שתי הקבוצות ל-named location שמדיניות הגישה המותנית שלכם נותנת בו אמון או מוציאה אותו מתחולתה. בקשות האסימון מגיעות אל login.microsoftonline.com ובקשות הנתונים מגיעות אל graph.microsoft.com; שתיהן חייבות לעבור.אם רק כתובות הסנכרון נכללו ברשימת ההיתרים, ההגדרה נכשלת בשלב קבלת האסימון ולא נוצר חיבור. אם רק כתובות הפלטפורמה נכללו ברשימת ההיתרים, ההגדרה מצליחה וכל סנכרון מחזיר אפס רשומות.