Įmonė perka Microsoft 365, migruoja paštą, darbuotojai pradeda dirbti ir visi laiko, kad saugumas sutvarkytas – juk tai Microsoft. Iš dalies tai tiesa: platforma turi daug apsaugos sluoksnių. Bet nemaža dalis jų naujame nuomininke (tenant) yra išjungta arba įjungta tik iš dalies, nes Microsoft negali žinoti, kaip dirba jūsų įmonė, ir palieka sprendimą administratoriui.
Mūsų praktikoje perimant Microsoft 365 administravimą dažniausias radinys yra ne įsilaužimas, o nuomininkas, kuriame veikia tik numatytieji nustatymai: MFA įjungta tik administratoriams, senieji pašto protokolai atviri, audito žurnalas neįjungtas, o keli darbuotojai patys susikūrė taisykles, kurios persiunčia laiškus į asmeninį paštą. Nė vienas iš šių dalykų nėra matomas kasdienėje veikloje, kol neįvyksta incidentas.
Žemiau – aštuoni nustatymai, kuriuos tikriname pirmiausia. Dauguma jų neturi papildomos kainos ir įjungiami per valandas, ne savaites.
MFA visiems, ne tik administratoriams
Daugiafaktorinis autentifikavimas (MFA) yra pati svarbiausia priemonė prieš paskyrų perėmimą. Slaptažodžiai nutekinami, atspėjami ir išviliojami, o antras faktorius šią grandinę nutraukia. Microsoft naujiems nuomininkams įjungia saugumo numatytuosius nustatymus (security defaults), kurie reikalauja MFA, bet senesniuose nuomininkuose jie dažnai išjungti, o įmonėse, kurios naudoja sąlyginę prieigą, atsakomybė perkeliama į politikas.
Ką tikrinti: ar MFA registracija privaloma visiems vartotojams, įskaitant bendras dėžutes, prie kurių jungiamasi tiesiogiai, ir paslaugų paskyras. Ar naudojama Microsoft Authenticator programėlė, o ne SMS, kuris yra silpniausia forma. Ar įjungta apsauga nuo MFA nuovargio – kai vartotojas spaudžia „patvirtinti“ tik dėl to, kad pranešimai nesiliauja.
Sąlyginė prieiga vietoj „visiems viskas“
Sąlyginė prieiga (Conditional Access) yra Entra ID P1 funkcija, kurią turi Business Premium ir Enterprise planai. Ji leidžia nustatyti taisykles: iš kokių šalių galima jungtis, ar įrenginys turi būti valdomas, kada reikalauti MFA iš naujo, kokias programas blokuoti.
Dažniausia situacija – įmonė turi Premium, bet nė vienos sąlyginės prieigos politikos. Tai reiškia, kad už funkciją mokama, bet ji neveikia. Minimalus rinkinys, kurį rekomenduojame:
- Blokuoti prisijungimus iš šalių, kuriose įmonė neveikia.
- Reikalauti MFA visoms debesijos programoms.
- Administratorių paskyroms reikalauti atitinkančio reikalavimus įrenginio.
- Blokuoti senuosius autentifikavimo protokolus (apie tai žemiau).
- Riboti sesijos trukmę nevaldomuose įrenginiuose.
Politikas pirmiausia įjungiame tik ataskaitų režimu (report-only), kad pamatytume, kas būtų užblokuota, ir tik tada aktyvuojame. Taip išvengiame situacijos, kai pirmadienio rytą pusė įmonės negali prisijungti.
Senieji protokolai, kurie apeina MFA
POP3, IMAP, SMTP AUTH ir senesnės Outlook versijos naudoja vadinamąjį senąjį autentifikavimą (legacy authentication), kuris nepalaiko MFA. Jei šie protokolai atviri, užpuolikui pakanka slaptažodžio – antro faktoriaus niekas nepaprašys. Būtent per juos vyksta dauguma slaptažodžių spėliojimo atakų.
Microsoft dalį jų išjungė platformos lygiu, bet SMTP AUTH vis dar galima įjungti atskiroms dėžutėms, ir tai dažnai padaryta daugiafunkciams įrenginiams, skeneriams ar senoms programoms, kurios siunčia laiškus. Sprendimas – patikrinti prisijungimų žurnale, kas realiai naudoja senuosius protokolus, perkelti įrenginius į šiuolaikinį autentifikavimą arba į atskirą siuntimo jungtį, o tada protokolus užblokuoti sąlyginės prieigos politika.
Pašto peradresavimo taisyklių kontrolė
Tai vienas tyliausių ir pavojingiausių dalykų. Kai užpuolikas perima paskyrą, pirmas jo veiksmas dažnai yra ne laiškų skaitymas, o taisyklės sukūrimas: visus laiškus su žodžiais „sąskaita“, „mokėjimas“ ar „banko“ persiųsti į išorinį adresą ir ištrinti iš gautųjų. Vartotojas nieko nepastebi, o užpuolikas mėnesiais seka susirašinėjimą su klientais ir laukia tinkamo momento pakeisti sąskaitos rekvizitus.
Ką nustatyti: Exchange Online išeinančio pašto politikoje uždrausti automatinį persiuntimą į išorinius domenus. Įjungti įspėjimą apie naujai sukurtas persiuntimo taisykles. Kartą per mėnesį peržiūrėti visų dėžučių persiuntimo nustatymus. Jei persiuntimas kažkam tikrai reikalingas, leisti jį konkrečiai dėžutei, ne visiems.
Duomenų praradimo prevencija (DLP)
DLP politikos leidžia aptikti ir sustabdyti jautrių duomenų siuntimą: asmens kodų, banko sąskaitų, kortelių numerių, konfidencialių dokumentų. Purview turi paruoštus šablonus, įskaitant ES bendrojo duomenų apsaugos reglamento rinkinį, bet nė vienas iš jų neįjungtas pagal nutylėjimą.
Pradėti verta nuo stebėjimo režimo: politika fiksuoja, kas ir kur siunčia jautrius duomenis, bet neblokuoja. Po mėnesio matote tikrą vaizdą – dažniausiai paaiškėja, kad asmens duomenys keliauja Teams pokalbiuose ir į asmeninius paštus kur kas dažniau, nei kas nors įsivaizdavo. Tada politikos sugriežtinamos: įspėjimas vartotojui, blokavimas su galimybe pagrįsti, blokavimas be išimčių.
Audito žurnalas ir jo saugojimo trukmė
Vieningas audito žurnalas (unified audit log) fiksuoja, kas, kada ir iš kur jungėsi, kokius failus atidarė, kokias taisykles sukūrė, ką ištrynė. Be jo incidento tyrimas yra spėliojimas. Naujuose nuomininkuose jis dažniausiai įjungtas, bet senesniuose reikia patikrinti, o saugojimo trukmė pagal planą yra ribota – Business planuose ir E3 įrašai saugomi 180 dienų.
Jei įmonei taikomi TIS2 ar DORA reikalavimai, 180 dienų gali būti per mažai. Tada reikia arba atitinkamo priedo ilgesniam saugojimui, arba žurnalų eksporto į išorinę sistemą. Tai vienas iš dalykų, kuriuos tikriname atlikdami IT saugumo auditą.
Bendrinimo nustatymai SharePoint ir OneDrive
Pagal nutylėjimą SharePoint ir OneDrive leidžia dalytis failais su bet kuo, įskaitant anoniminę nuorodą „visi, turintys nuorodą“. Tai patogu, bet reiškia, kad darbuotojas gali per klaidą paviešinti visą aplanką, o nuoroda galioja neribotai.
Rekomenduojame: išorinį bendrinimą leisti tik su konkrečiais svečiais, kurie prisijungia patvirtinę tapatybę. Anoniminėms nuorodoms nustatyti galiojimo laiką ir tik skaitymo teises. Numatytąją nuorodos parinktį pakeisti iš „visi“ į „tik įmonės darbuotojai“. Įjungti svečių prieigos peržiūrą, kad svečiai, su kuriais nebedirbama, būtų pašalinti automatiškai.
Administratorių paskyros – atskiros ir be pašto
Dažna situacija: IT atsakingas naudoja savo kasdienę paskyrą su visuotinio administratoriaus (Global Administrator) teisėmis. Jis skaito paštą, atidaro priedus, naršo – ir visa tai su teisėmis, kurios leidžia ištrinti visą nuomininką. Vienas sėkmingas sukčiavimo laiškas ir užpuolikas turi viską.
Teisinga tvarka: administravimui – atskira paskyra be licencijos ir be pašto, su privalomu MFA ir, jei įmanoma, su aparatiniu raktu. Visuotinių administratorių ne daugiau nei du–trys, kiti gauna siauresnes roles pagal funkciją (Exchange, SharePoint, vartotojų administratorius). Viena avarinė paskyra (break-glass) su ilgu slaptažodžiu seife, kuri nepatenka į sąlyginės prieigos politikas. Jei nuomininką administruoja išorinis tiekėjas, jis turi jungtis per savo atskiras paskyras, o ne per bendrą „admin“ vartotoją.
Nuo ko pradėti
Nė vienas iš šių nustatymų nereikalauja projekto. Reikia tik nuoseklumo.
- Atsidarykite Microsoft Secure Score ataskaitą administravimo centre. Ji parodys, kurie iš aukščiau aprašytų dalykų jūsų nuomininke neįjungti, ir kiek vartotojų neturi MFA.
- Pirmą savaitę: MFA visiems, senųjų protokolų blokavimas, išorinio persiuntimo draudimas. Tai trys dalykai, kurie sustabdo daugumą paskyrų perėmimo atvejų.
- Antrą savaitę: sąlyginės prieigos politikos ataskaitų režimu, administratorių paskyrų atskyrimas, bendrinimo nustatymų sugriežtinimas.
- Per mėnesį: DLP stebėjimo režimu, audito žurnalo saugojimo trukmės patikra.
- Kas ketvirtį: Secure Score peržiūra ir persiuntimo taisyklių patikra.
Jei norite, kad tai atliktume ir prižiūrėtume mes, Microsoft 365 saugumo paslauga apima visus aštuonis punktus kaip pradinį sutvarkymą ir nuolatinę stebėseną. Kartu su Microsoft 365 administravimu tai reiškia, kad nustatymai nepasikeis atgal, kai kas nors „laikinai“ išjungs politiką ir pamirš įjungti.
