Ettevõte ostab Microsoft 365, kolib e-posti üle, töötajad hakkavad töötama ja kõik eeldavad, et turvalisus on korras. Tegemist on ju Microsoftiga. See on osaliselt tõsi: platvormil on palju kaitsekihte. Kuid hea osa neist on uues keskkonnas välja lülitatud või ainult osaliselt sees, sest Microsoft ei tea, kuidas teie ettevõte töötab, ja jätab otsuse administraatorile.
Meie kogemuse põhjal, kui võtame Microsoft 365 halduse üle, ei ole kõige sagedasem leid rikkumine, vaid vaikeseadetel töötav keskkond: MFA sisse lülitatud ainult administraatoritele, vanad e-posti protokollid lahti, auditilogi sisse lülitamata ja mõned töötajad, kes on seadistanud reeglid, mis edastavad e-kirju isiklikku postkasti. Midagi sellest ei paista igapäevatöös välja enne, kui juhtub intsident.
Allpool on kaheksa seadet, mida kontrollime esimesena. Enamik neist ei maksa lisaraha ja need saab sisse lülitada tundidega, mitte nädalatega.
MFA kõigile, mitte ainult administraatoritele
Mitmefaktoriline autentimine (MFA) on kõige olulisem meede konto ülevõtmise vastu. Paroole lekitatakse, ära arvatakse ja õngitsetakse ning teine faktor katkestab selle ahela. Microsoft lülitab uutes keskkondades sisse turvavaikeseaded (security defaults), mis nõuavad MFA-d, kuid vanemates keskkondades on need sageli välja lülitatud ning tingimuslikku ligipääsu kasutavates ettevõtetes liigub vastutus poliitikatele.
Mida kontrollida: kas MFA registreerimine on nõutav kõigile kasutajatele, sealhulgas jagatud postkastidele, millesse otse sisse logitakse, ja teenusekontodele. Kas kasutatakse Microsoft Authenticatori rakendust, mitte SMS-i, mis on nõrgim vorm. Kas MFA-väsimuse vastane kaitse on sees, kus kasutaja vajutab „kinnita“ lihtsalt seetõttu, et päringud ei lõpe.
Tingimuslik ligipääs, mitte „kõik saavad kõike“
Tingimuslik ligipääs (Conditional Access) on Entra ID P1 funktsioon, mida Business Premium ja Enterprise paketid sisaldavad. See võimaldab seada reegleid: millistest riikidest võib sisse logida, kas seade peab olema hallatav, millal MFA-d uuesti küsida, milliseid rakendusi blokeerida.
Kõige sagedasem olukord on ettevõte, kellel on Premium, kuid mitte ühtegi tingimusliku ligipääsu poliitikat. See tähendab, et makstakse funktsiooni eest, mis ei tööta. Minimaalne komplekt, mida soovitame:
- Blokeerida sisselogimised riikidest, kus ettevõte ei tegutse.
- Nõuda MFA-d kõigi pilverakenduste jaoks.
- Nõuda administraatorikontodelt nõuetele vastavat seadet.
- Blokeerida vanad autentimisprotokollid (sellest allpool).
- Piirata sessiooni kestust halduseta seadmetes.
Lülitame poliitikad esmalt sisse ainult aruandlusrežiimis, et näha, mida blokeeritaks, ja aktiveerime need alles seejärel. See väldib olukorda, kus esmaspäeva hommikul ei saa pool ettevõtet sisse logida.
Vanad protokollid, mis MFA-st mööda lähevad
POP3, IMAP, SMTP AUTH ja vanemad Outlooki versioonid kasutavad nn vana autentimist (legacy authentication), mis MFA-d ei toeta. Kui need protokollid on avatud, vajab ründaja ainult parooli ja keegi ei küsi teist faktorit. Enamik paroolide äraarvamise rünnakuid käib just nende protokollide kaudu.
Microsoft on mõned neist platvormi tasandil keelanud, kuid SMTP AUTH-i saab üksikute postkastide jaoks siiski lubada ja seda tehakse sageli multifunktsionaalsete printerite, skannerite või vanade rakenduste jaoks, mis saadavad e-kirju. Lahendus on kontrollida sisselogimislogidest, kes vanu protokolle tegelikult kasutab, viia seadmed üle kaasaegsele autentimisele või eraldi saatmiskonnektorile ning seejärel blokeerida protokollid tingimusliku ligipääsu poliitikaga.
E-kirjade edastamisreeglite kontroll
See on üks vaiksemaid ja ohtlikumaid asju. Kui ründaja konto üle võtab, ei ole tema esimene samm sageli e-kirjade lugemine, vaid reegli loomine: edastada kõik kirjad, mis sisaldavad sõnu nagu „arve“, „makse“ või „pank“, välisele aadressile ja kustutada need postkastist. Kasutaja ei märka midagi, ründaja aga jälgib kuude kaupa kirjavahetust klientidega ja ootab õiget hetke, et arve pangaandmeid muuta.
Mida seada: Exchange Online’i väljuva rämpsposti poliitikas blokeerige automaatne edastamine välistesse domeenidesse. Lülitage sisse hoiatus äsja loodud edastamisreeglite kohta. Vaadake kord kuus üle kõigi postkastide edastamisseaded. Kui edastamine on tõesti vajalik, lubage see konkreetsele postkastile, mitte kõigile.
Andmeleke tõkestamine (DLP)
DLP poliitikad võimaldavad tuvastada ja peatada tundlike andmete saatmist: isikukoodid, pangakontod, kaardinumbrid, konfidentsiaalsed dokumendid. Microsoft Purview’l on valmis mallid, sealhulgas üks GDPR-i (isikuandmete kaitse üldmääruse) jaoks, kuid ükski neist ei ole vaikimisi sisse lülitatud.
Tasub alustada seirerežiimis: poliitika registreerib, kes saadab tundlikke andmeid ja kuhu, kuid ei blokeeri midagi. Kuu aja pärast näete tegelikku pilti. Tavaliselt selgub, et isikuandmed liiguvad Teamsi vestlustes ja isiklikule e-postile palju sagedamini, kui keegi arvas. Seejärel karmistate poliitikaid: hoiatus kasutajale, blokeerimine võimalusega esitada äriline põhjendus, blokeerimine ilma erandita.
Auditilogi ja selle säilitusaeg
Ühtne auditilogi (unified audit log) salvestab, kes millal ja kust sisse logis, milliseid faile avas, milliseid reegleid lõi ja mida kustutas. Ilma selleta on intsidendi uurimine aimamine. Uutes keskkondades on see tavaliselt sees, kuid vanemaid tuleb kontrollida ja säilitusaeg sõltub paketist: Business pakettides ja E3-s säilitatakse kirjeid 180 päeva.
Kui teie ettevõttele kohaldub NIS2 või DORA, ei pruugi 180 päeva piisata. Siis on vaja kas lisa pikema säilitamise jaoks või logide eksporti välisesse süsteemi. See on üks asjadest, mida kontrollime IT-turvaauditi tegemisel.
Jagamisseaded SharePointis ja OneDrive’is
Vaikimisi lubavad SharePoint ja OneDrive faile jagada kellega tahes, sealhulgas anonüümse lingiga „igaüks, kellel on link“. See on mugav, kuid tähendab, et töötaja võib kogemata teha avalikuks terve kausta ja link jääb kehtima tähtajatult.
Soovitame: lubada väline jagamine ainult kindlate külalistega, kes logivad sisse pärast isiku tuvastamist. Anda anonüümsetele linkidele aegumiskuupäev ja ainult lugemisõigus. Muuta lingi vaikevalikut „igaüks“ valikuks „organisatsiooni inimesed“. Lülitada sisse külaliste ligipääsu ülevaatused, et külalised, kellega te enam ei tööta, eemaldataks automaatselt.
Administraatorikontod: eraldi ja ilma e-postita
Sage olukord: IT eest vastutav inimene kasutab oma igapäevast kontot globaalse administraatori õigustega. Ta loeb e-kirju, avab manuseid ja sirvib veebi ning kõik see õigustega, mis lubavad kustutada kogu keskkonna. Üks õnnestunud õngitsuskiri ja ründajal on kõik.
Õige viis: eraldi konto haldamiseks, ilma litsentsi ja postkastita, kohustusliku MFA-ga ning võimaluse korral riistvaralise võtmega. Mitte rohkem kui kaks või kolm globaalset administraatorit, kõigile teistele kitsamad rollid funktsiooni järgi (Exchange, SharePoint, kasutajate administraator). Üks hädaolukorra (break-glass) konto pika parooliga, mida hoitakse seifis ja mis on tingimusliku ligipääsu poliitikatest välja jäetud. Kui keskkonda haldab väline teenusepakkuja, peaks ta sisse logima oma eraldi kontodega, mitte jagatud „admin“ kasutaja kaudu.
Kust alustada
Ükski neist seadetest ei vaja projekti. Vaja on ainult järjekindlust.
- Avage halduskeskuses Microsoft Secure Score’i aruanne. See näitab, millised ülaltoodud punktidest teie keskkonnas sisse lülitamata on ja mitmel kasutajal MFA puudub.
- Esimene nädal: MFA kõigile, vanade protokollide blokeerimine, välise edastamise keeld. Need kolm asja peatavad enamiku konto ülevõtmise juhtumeid.
- Teine nädal: tingimusliku ligipääsu poliitikad aruandlusrežiimis, administraatorikontode eraldamine, karmimad jagamisseaded.
- Kuu jooksul: DLP seirerežiimis, auditilogi säilitusaja kontroll.
- Iga kvartal: Secure Score’i ülevaatus ja edastamisreeglite kontroll.
Kui soovite, et seadistame ja hoiame selle korras, katab meie Microsoft 365 turvalisuse teenus kõik kaheksa punkti esmase korrastuse ja jooksva seirena. Koos Microsoft 365 haldusega tähendab see, et seaded ei veere tagasi, kui keegi lülitab poliitika „ajutiselt“ välja ja unustab selle uuesti sisse lülitada.
