Freigeben über

So untersuchen Sie die Anmeldungen, die eine Benachrichtigung über kompatible oder verwaltete Geräte erfordern

  • Artikel

Die Microsoft Entra Health-Überwachung bietet eine Reihe von Integritätsmetriken auf Mandantenebene, die Sie überwachen können und die Sie alarmieren, wenn ein potenzielles Problem oder eine Fehlerbedingung erkannt wird. Es gibt mehrere Integritätsszenarien, die überwacht werden können, einschließlich zwei im Zusammenhang mit Geräten:

  • Anmeldungen, die ein kompatibles Gerät für bedingten Zugriff erfordern
  • Anmeldungen, die ein verwaltetes Gerät für bedingten Zugriff erfordern

In diesen Szenarien können Sie Warnungen für die Benutzerauthentifizierung überwachen und empfangen, die eine Richtlinie für bedingten Zugriff erfüllen, die die Anmeldung von einem kompatiblen oder verwalteten Gerät erfordert. Weitere Informationen zur Funktionsweise von Microsoft Entra Health finden Sie unter:

In diesem Artikel werden die Integritätsmetriken im Zusammenhang mit kompatiblen und verwalteten Geräten und die Problembehandlung eines potenziellen Problems beschrieben, wenn Sie eine Warnung erhalten.

Voraussetzungen

Es gibt unterschiedliche Rollen, Berechtigungen und Lizenzanforderungen zum Anzeigen von Signalen zur Systemüberwachung und zum Konfigurieren und Empfangen von Warnungen. Es wird jedoch empfohlen, gemäß dem Zero Trust-Leitfaden eine Rolle mit den geringsten Berechtigungen zu verwenden.

  • Ein Mandant mit einer Microsoft Entra P1- oder P2-Lizenz ist erforderlich, um die Überwachungssignale des Microsoft Entra-Integritätsszenarios anzuzeigen.
  • Ein Mandant mit einer Microsoft Entra P1- oder P2-Lizenz und mindestens 100 monatlich aktive Benutzer müssen Warnungen anzeigen und Benachrichtigungen empfangen.
  • Die Rolle Berichtsleseberechtigter ist die am wenigsten privilegierte Rolle, die zum Anzeigen von Szenarioüberwachungssignalen, Warnungen und Warnungskonfigurationen erforderlich ist.
  • Der Helpdeskadministrator ist die am wenigsten privilegierte Rolle, die zum Aktualisieren von Warnungen und zum Aktualisieren von Updatebenachrichtigungskonfigurationen erforderlich ist.
  • Die Berechtigung „HealthMonitoringAlert.Read.All“ ist erforderlich, um die Warnungen mithilfe der Microsoft Graph-API anzuzeigen.
  • Die Berechtigung „HealthMonitoringAlert.ReadWrite.All“ ist erforderlich, um die Warnungen mithilfe der Microsoft Graph-API anzuzeigen und zu ändern.
  • Eine vollständige Liste der Rollen finden Sie unter Rolle mit den geringsten Privilegien nach Aufgabe.

Untersuchen der Warnung und des Signals

Die Untersuchung einer Warnung beginnt mit dem Sammeln von Daten.

  1. Sammeln Sie die Signaldetails und die Auswirkungszusammenfassung.
  2. Überprüfen Sie Ihre Intune-Gerätecompliancerichtlinien.
  3. Untersuchen sie häufig auftretende Probleme mit bedingtem Zugriff.
  4. Sie zeigen die Anmeldeprotokolle an.
  5. Überprüfen Sie die Überwachungsprotokolle auf kürzliche Richtlinienänderungen.

Beheben häufiger Probleme

Die folgenden häufig auftretenden Probleme können zu einer Spitze bei Anmeldungen führen, die ein kompatibles oder verwaltetes Gerät erfordern. Diese Liste ist nicht vollständig, bietet aber einen Ausgangspunkt für Ihre Untersuchung.

Viele Benutzer wurden daran gehindert, sich von bekannten Geräten aus anzumelden.

Wenn eine große Gruppe von Benutzern daran gehindert wird, sich bei bekannten Geräten anzumelden, könnte eine Spitze darauf hindeuten, dass diese Geräte nicht mehr kompatibel sind.

Zum Untersuchen von:

Der Benutzer kann sich nicht von einem unbekannten Gerät aus anmelden

Wenn die Zunahme der blockierten Anmeldungen von einem unbekannten Gerät stammt, könnte diese Spitze darauf hinweisen, dass ein Angreifer die Anmeldeinformationen eines Benutzers erlangt hat und versucht, sich von einem Gerät anzumelden, das für solche Angriffe verwendet wird.

Zum Untersuchen von:

Netzwerkprobleme

Es könnte ein regionaler Systemausfall aufgetreten sein, der dazu führte, dass sich eine große Anzahl von Benutzern gleichzeitig anmelden wollte.

Zum Untersuchen von:

  • Wenn resourceType in der Auswirkungszusammenfassung „Benutzer“ ist und der impactedCount-Wert einen großen Prozentsatz der Benutzer Ihrer Organisation anzeigt, handelt es sich möglicherweise um ein größeres Problem.
  • Überprüfen Sie die System- und Netzwerkintegrität, um festzustellen, ob ein Ausfall oder eine Aktualisierung dem gleichen Zeitrahmen entspricht wie die Anomalie.

Nächste Schritte