Compartilhar via

Como investigar as entradas que exigem um alerta de dispositivo compatível ou gerenciado

  • Artigo

O monitoramento do Microsoft Entra Health fornece um conjunto de métricas de integridade no nível do locatário que você pode monitorar e alertas quando um possível problema ou condição de falha é detectado. Há vários cenários de integridade que podem ser monitorados, incluindo dois relacionados a dispositivos:

  • Entradas que exigem um dispositivo compatível com o Acesso Condicional
  • Entradas que exigem um dispositivo gerenciado de Acesso Condicional

Esses cenários permitem monitorar e receber alertas sobre a autenticação do usuário que atendem a uma política de Acesso Condicional que exige a entrada de um dispositivo em conformidade ou gerenciado. Para saber mais sobre como o Microsoft Entra Health funciona, confira:

Este artigo descreve as métricas de integridade relacionadas a dispositivos gerenciados e compatíveis e como solucionar um possível problema quando você recebe um alerta.

Pré-requisitos

Há diferentes funções, permissões e requisitos de licença para exibir sinais de monitoramento de integridade e configurar e receber alertas. Recomendamos usar uma função com acesso de privilégio mínimo para se alinhar às diretrizes de Confiança Zero.

  • Um locatário com uma licença Microsoft Entra P1 ou P2 é necessário para exibir os sinais de monitoramento do cenário de integridade do Microsoft Entra.
  • Um locatário com uma licença Microsoft Entra P1 ou P2 e pelo menos 100 usuários ativos mensais é necessário para exibir alertas e receber notificações de alerta.
  • A função Leitor de relatórios é a que tem menos privilégios, e é necessária para exibir sinais de monitoramento de cenário, alertas e configurações de alerta.
  • A função Administrador da assistência técnica é a que tem menos privilégios, e é necessária para atualizar alertas e atualizar as configurações de notificação de alerta.
  • A permissão HealthMonitoringAlert.Read.All é necessária para exibir os alertas usando a API do Microsoft Graph.
  • A permissão HealthMonitoringAlert.ReadWrite.All é necessária para exibir e modificar os alertas usando a API do Microsoft Graph.
  • Para uma lista completa de funções, confira Função com menos privilégios por tarefa.

Investigar o alerta e o sinal

A investigação de um alerta começa com a coleta de dados.

  1. Colete os detalhes do sinal e o resumo do impacto.
  2. Examine as políticas de conformidade de dispositivo do Intune.
  3. Investigue problemas comuns de Acesso condicional.
  4. Examine os logs de entrada.
  5. Verifique os logs de auditoria para obter alterações recentes na política.

Atenuar problemas comuns

Os problemas comuns a seguir podem causar um pico de entradas que exigem um dispositivo em conformidade ou gerenciado. Essa lista não é exaustiva, mas fornece um ponto de partida para sua investigação.

Muitos usuários são impedidos de entrar em dispositivos conhecidos

Se um grande grupo de usuários for impedido de entrar em dispositivos conhecidos, um pico poderá indicar que esses dispositivos estão fora de conformidade.

Para Investigar:

O usuário é impedido de entrar em um dispositivo desconhecido

Se o aumento das entradas bloqueadas for proveniente de um dispositivo desconhecido, esse pico poderá indicar que um invasor adquiriu as credenciais de um usuário e está tentando entrar de um dispositivo usado para esses ataques.

Para Investigar:

Problemas de rede

É possível que ocorra uma interrupção regional do sistema que exija que um grande número de usuários faça login ao mesmo tempo.

Para investigar, faça o seguinte:

  • No resumo do impacto, se resourceType for "usuário" e o valor impactedCount indicar uma grande porcentagem dos usuários da organização, isso poderá consistir em um problema de ampla distribuição.
  • Verifique a integridade do sistema e da rede para analisar se uma interrupção ou atualização corresponde ao mesmo período da anomalia.

Próximas etapas