Uzņēmums nopērk Microsoft 365, pārceļ e-pastu, darbinieki sāk strādāt, un visi pieņem, ka drošība ir nokārtota. Tas taču ir Microsoft. Daļēji tā ir taisnība: platformai ir daudz aizsardzības slāņu. Taču ievērojama daļa no tiem jaunā vidē ir izslēgta vai ieslēgta tikai daļēji, jo Microsoft nevar zināt, kā strādā jūsu uzņēmums, un lēmumu atstāj administratoram.
Pēc mūsu pieredzes, pārņemot Microsoft 365 administrēšanu, visbiežākais atradums nav ielaušanās, bet vide, kas darbojas ar noklusējuma iestatījumiem: MFA ieslēgta tikai administratoriem, vecie e-pasta protokoli atvērti, audita žurnāls nav ieslēgts un daži darbinieki ir iestatījuši kārtulas, kas pārsūta e-pastu uz personīgo pastkasti. Nekas no tā ikdienas darbā nav redzams, kamēr nenotiek incidents.
Zemāk ir astoņi iestatījumi, ko pārbaudām vispirms. Lielākā daļa no tiem nemaksā papildus un tos var ieslēgt stundu, nevis nedēļu laikā.
MFA visiem, ne tikai administratoriem
Daudzfaktoru autentifikācija (MFA) ir vissvarīgākais pasākums pret konta pārņemšanu. Paroles tiek nopludinātas, uzminētas un izkrāptas ar pikšķerēšanu, un otrais faktors šo ķēdi pārtrauc. Jaunām videi Microsoft ieslēdz drošības noklusējumus (security defaults), kas prasa MFA, taču vecākās vidēs tie bieži ir izslēgti, bet uzņēmumos, kas izmanto Conditional Access, atbildība pāriet uz politikām.
Ko pārbaudīt: vai MFA reģistrācija ir obligāta visiem lietotājiem, ieskaitot koplietojamās pastkastes, kurās pierakstās tieši, un servisa kontus. Vai tiek izmantota lietotne Microsoft Authenticator, nevis SMS, kas ir vājākā forma. Vai ir ieslēgta aizsardzība pret MFA nogurumu, kad lietotājs nospiež „apstiprināt” tikai tāpēc, ka pieprasījumi neapstājas.
Conditional Access, nevis „visi saņem visu”
Conditional Access (nosacījumu piekļuve) ir Entra ID P1 funkcija, ko ietver Business Premium un Enterprise plāni. Tā ļauj iestatīt noteikumus: no kurām valstīm drīkst pierakstīties, vai ierīcei jābūt pārvaldītai, kad atkārtoti prasīt MFA, kuras lietotnes bloķēt.
Visbiežākā situācija: uzņēmumam ir Premium, bet nav neviena Conditional Access noteikuma. Tas nozīmē maksāt par funkciju, kas nedarbojas. Minimālais komplekts, ko iesakām:
- Bloķēt pierakstīšanos no valstīm, kurās uzņēmums nedarbojas.
- Prasīt MFA visām mākoņlietotnēm.
- Administratoru kontiem prasīt atbilstošu ierīci.
- Bloķēt vecos autentifikācijas protokolus (sīkāk zemāk).
- Ierobežot sesijas ilgumu nepārvaldītās ierīcēs.
Politikas vispirms ieslēdzam tikai pārskatu režīmā (report-only), lai redzētu, kas tiktu bloķēts, un tikai tad aktivizējam. Tā izvairāmies no situācijas, kad pirmdienas rītā puse uzņēmuma nevar pierakstīties.
Vecie protokoli, kas apiet MFA
POP3, IMAP, SMTP AUTH un vecākas Outlook versijas izmanto tā saukto veco autentifikāciju (legacy authentication), kas MFA neatbalsta. Ja šie protokoli ir atvērti, uzbrucējam vajadzīga tikai parole, un neviens neprasīs otro faktoru. Lielākā daļa paroļu minēšanas uzbrukumu notiek tieši caur šiem protokoliem.
Microsoft daļu no tiem ir atslēdzis platformas līmenī, taču SMTP AUTH joprojām var būt ieslēgts atsevišķām pastkastēm, un bieži tā arī ir daudzfunkciju printeriem, skeneriem vai vecām lietojumprogrammām, kas sūta e-pastu. Risinājums: pārbaudīt pierakstīšanās žurnālus, lai redzētu, kas patiešām izmanto vecos protokolus, pārcelt ierīces uz modernu autentifikāciju vai atsevišķu sūtīšanas savienotāju un tikai tad bloķēt protokolus ar Conditional Access politiku.
E-pasta pārsūtīšanas kārtulu kontrole
Šī ir viena no klusākajām un bīstamākajām lietām. Kad uzbrucējs pārņem kontu, pirmais solis bieži nav e-pasta lasīšana, bet kārtulas izveide: pārsūtīt uz ārēju adresi katru ziņu, kas satur tādus vārdus kā „rēķins”, „maksājums” vai „banka”, un dzēst to no iesūtnes. Lietotājs neko nemana, bet uzbrucējs mēnešiem seko saraksti ar klientiem un gaida īsto brīdi, lai nomainītu bankas rekvizītus rēķinā.
Ko iestatīt: Exchange Online izejošā surogātpasta politikā bloķēt automātisko pārsūtīšanu uz ārējiem domēniem. Ieslēgt brīdinājumu par jaunizveidotām pārsūtīšanas kārtulām. Reizi mēnesī pārskatīt visu pastkašu pārsūtīšanas iestatījumus. Ja pārsūtīšana tiešām vajadzīga, atļaut to konkrētai pastkastei, nevis visiem.
Datu zuduma novēršana (DLP)
DLP politikas ļauj atklāt un apturēt jutīgu datu sūtīšanu: personas kodus, bankas kontus, karšu numurus, konfidenciālus dokumentus. Microsoft Purview ir gatavas veidnes, tostarp Eiropas Savienības Vispārīgajai datu aizsardzības regulai (VDAR), taču neviena no tām nav ieslēgta pēc noklusējuma.
Vērts sākt uzraudzības režīmā: politika reģistrē, kas un kurp sūta jutīgus datus, bet neko nebloķē. Pēc mēneša redzams reālais attēls. Parasti izrādās, ka personas dati Teams tērzēšanas ziņās un uz privātu e-pastu pārvietojas daudz biežāk, nekā kāds iedomājās. Tad politikas var pastiprināt: brīdinājums lietotājam, bloķēšana ar iespēju norādīt darba pamatojumu, bloķēšana bez izņēmumiem.
Audita žurnāls un cik ilgi tas tiek glabāts
Vienotais audita žurnāls (unified audit log) reģistrē, kurš pierakstījās, kad un no kurienes, kurus failus atvēra, kādas kārtulas izveidoja un ko izdzēsa. Bez tā incidenta izmeklēšana ir minēšana. Jaunās vidēs tas parasti ir ieslēgts, bet vecākās tas jāpārbauda, un glabāšanas termiņš ir atkarīgs no plāna: Business plānos un E3 ieraksti tiek glabāti 180 dienas.
Ja jūsu uzņēmumam piemērojams NIS2 vai DORA, 180 dienu var nepietikt. Tad vajadzīgs vai nu papildinājums ilgākai glabāšanai, vai žurnālu eksports uz ārēju sistēmu. Šī ir viena no lietām, ko pārbaudām, veicot IT drošības auditu.
Koplietošanas iestatījumi SharePoint un OneDrive
Pēc noklusējuma SharePoint un OneDrive atļauj koplietot failus ar ikvienu, ieskaitot anonīmu saiti „ikviens, kam ir saite”. Tas ir ērti, taču nozīmē, ka darbinieks var nejauši padarīt publisku visu mapi, un saite paliek spēkā bez termiņa.
Iesakām: atļaut ārēju koplietošanu tikai ar konkrētiem viesiem, kuri pierakstās pēc identitātes pārbaudes. Anonīmām saitēm noteikt derīguma termiņu un tikai lasīšanas tiesības. Noklusējuma saites opciju nomainīt no „ikviens” uz „cilvēki jūsu organizācijā”. Ieslēgt viesu piekļuves pārskatīšanu, lai viesi, ar kuriem vairs nestrādājat, tiktu noņemti automātiski.
Administratoru konti: atsevišķi un bez e-pasta
Bieža situācija: par IT atbildīgais cilvēks izmanto savu ikdienas kontu ar Global Administrator tiesībām. Viņš lasa e-pastu, atver pielikumus un pārlūko tīmekli, un viss tas ar tiesībām, kas ļauj izdzēst visu vidi. Viens veiksmīgs pikšķerēšanas e-pasts, un uzbrucēja rokās ir viss.
Pareizi: atsevišķs konts administrēšanai, bez licences un pastkastes, ar obligātu MFA un, ja iespējams, aparatūras atslēgu. Ne vairāk kā divi vai trīs Global Administrator, visiem pārējiem – šaurākas lomas pēc funkcijas (Exchange, SharePoint, User Administrator). Viens avārijas (break-glass) konts ar garu paroli, kas glabājas seifā un ir izslēgts no Conditional Access politikām. Ja vidi administrē ārējs pakalpojumu sniedzējs, tam jāpierakstās ar saviem atsevišķiem kontiem, nevis caur kopīgu „admin” lietotāju.
No kā sākt
Neviens no šiem iestatījumiem neprasa projektu. Vajadzīga tikai konsekvence.
- Atveriet administrēšanas centrā pārskatu Microsoft Secure Score. Tas parāda, kuri no iepriekš minētajiem punktiem jūsu vidē nav ieslēgti un cik lietotājiem nav MFA.
- Pirmā nedēļa: MFA visiem, veco protokolu bloķēšana, ārējās pārsūtīšanas aizliegums. Šīs trīs lietas aptur lielāko daļu konta pārņemšanas gadījumu.
- Otrā nedēļa: Conditional Access politikas pārskatu režīmā, administratoru kontu nodalīšana, stingrāki koplietošanas iestatījumi.
- Mēneša laikā: DLP uzraudzības režīmā, audita žurnāla glabāšanas termiņa pārbaude.
- Katru ceturksni: Secure Score pārskatīšana un pārsūtīšanas kārtulu pārbaude.
Ja vēlaties, lai to iestatām un uzturam mēs, mūsu Microsoft 365 drošības pakalpojums aptver visus astoņus punktus kā sākotnējo sakārtošanu un pastāvīgu uzraudzību. Kopā ar Microsoft 365 administrēšanu tas nozīmē, ka iestatījumi neatgriezīsies iepriekšējā stāvoklī, kad kāds politiku „uz laiku” izslēgs un aizmirsīs ieslēgt atkal.
