Microsoft 365 biztonsági keményítés
Ellenőrizzük és javítjuk a Microsoft 365 és Entra ID bérlő biztonsági beállításait: a hitelesítést, a feltételes hozzáférést, a megosztást, a levelezést és a naplózást.
A felmérés területei
Mit vizsgálunk a bérlőben
Öt beállításcsoportot nézünk át. A bérlő gyakori hibáiról a Microsoft 365 biztonságáról szóló cikkünkben írtunk.
Hitelesítés
Mely fiókokon van többfaktoros hitelesítés, milyen módszerrel, és kapnak-e az adminisztrátori fiókok erősebb védelmet a többinél.
Feltételes hozzáférés
A szabályok az ismeretlen eszközről vagy szokatlan helyről érkező bejelentkezést szűrik. Nem megfelelő eszközről például csak korlátozott, letöltés nélküli hozzáférés adható.
Külső megosztás
Kikkel és milyen hivatkozással oszthatnak meg a felhasználók dokumentumot a szervezeten kívül.
Levelezés
A külső címre irányított automatikus továbbítás és a kívülről érkező levelek jelölése. Ez a jelölés a vezetői utasításnak álcázott adathalászat ellen az egyik leghatékonyabb kontroll.
Naplózás
A felhős naplózás gyakran nem alapértelmezett, vagy rövid ideig őrződik meg. Ellenőrizzük, hogy rögzül-e a postafiók-szabályok létrehozása, a tömeges letöltés és az adminisztratív műveletek. Az új postafiók-szabály klasszikus jele annak, hogy a fiókot átvették.
Kivételek és kerülőutak
Ahol a többfaktoros hitelesítés rést hagy
Az MFA-bevezetés ott bukik el, ahol lyuk marad benne. A szabályok beállításakor ezekre a helyekre külön figyelünk.
Örökölt protokollok
A régi levelezési hitelesítési módok (POP3, IMAP, alapszintű hitelesítésű SMTP) nem támogatják az MFA-t. Ha engedélyezve maradnak, a támadó ezeken lép be, ezért le kell tiltani őket.
Szolgáltatásfiókok
Interaktív MFA itt nem használható. Kivétel helyett hosszú, egyedi, tárolt jelszó és szigorúan korlátozott jogosultság, illetve bejelentkezési hely védi őket.
„Csak a vezetőségnek ne”
A vezetői fiókokra ugyanaz a szabály vonatkozik, mint a többire. A vezetőség a legcélzottabb csoport, ezért itt a kényelmi kivétel a legkockázatosabb.
Megbízható hálózat
A „belső hálózatból nem kérünk MFA-t” szabály feltételezi, hogy a belső hálózat biztonságos. A tipikus incidensben a támadó éppen onnan dolgozik.
MFA-fáradtság
A jelszó birtokában a támadó addig küldi a push-értesítéseket, amíg a felhasználó jóvá nem hagy egyet. A szám-egyeztetés ezt gyakorlatilag megszünteti, és a legtöbb rendszerben egy kapcsolóval bekapcsolható.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A bérlő biztonsági állapotának felmérése
- Többfaktoros hitelesítés és feltételes hozzáférési szabályok beállítása
- Külső megosztási és levelezési beállítások szigorítása
- A végrehajtott változtatások dokumentációja
Kapcsolódó szolgáltatások
A bérlőn túl
Ezek a szolgáltatások a bérlő melletti területeket fedik le.
E-mail biztonság
Adathalász levelek, kártékony mellékletek és hivatkozások elleni védelem, a levelezési domain SPF-, DKIM- és DMARC-hitelesítésének rendezésével.
Hozzáférés-kezelés (IAM)
Ki, mihez, milyen hitelesítéssel fér hozzá, és mi történik belépéskor, szerepkörváltáskor és kilépéskor.
Adatszivárgás-védelem (DLP)
Az érzékeny adatok azonosítása, és kiszivárgásuk megakadályozása e-mailen, felhőtárhelyen, nyomtatón és cserélhető adathordozón keresztül.
SIEM
A bérlő naplója a SIEM-be másolva akkor is megmarad, ha a támadó a bérlőben eltünteti a nyomait.
Gyakori kérdések
Amit a legtöbben kérdeznek
Mindegy, milyen többfaktoros hitelesítést használunk?
Nem mindegy. Az SMS-ben vagy alkalmazásban kapott kódot a felhasználó egy hamis bejelentkező oldalon is beírja, a támadó pedig valós időben továbbítja. A FIDO2-kulcs és a passkey kriptográfiailag a domainhez kötött, ezért más domainen nem ad választ. A passkey a telefon vagy a laptop biometrikus moduljában tárolódik, külön hardver nem kell hozzá. Az adminisztrátori fiókokhoz lehetőleg hardveres kulcs kell. A módszerek összehasonlítását az MFA típusairól szóló cikkünkben találja.
Megnehezíti a szigorítás a felhasználók munkáját?
Ha a biztonság túl sok súrlódást okoz, a felhasználók megkerülik. A kockázatalapú hitelesítésnél az alacsony kockázatú, ismerős környezetből érkező bejelentkezés nem kér plusz lépést. Minden felhasználónak kell tartalék módszer is, különben az első elveszett telefonnál a helpdesk kénytelen kikapcsolni az MFA-t. Az elvről a Zero Trust útmutatónkban írtunk.
Miben más ez, mint az IT-biztonsági felmérés?
Az IT-biztonsági felmérés a teljes informatikai környezetet átvilágítja a hozzáférés-kezeléstől a frissítéseken, a mentésen és a hálózaton át a felhasználói biztonságig. A Microsoft 365 keményítés a bérlőre szűkül, és a felmérés után a beállításokat is kijavítjuk.
