Auditas
Peržiūrime Entra ID: vartotojus be MFA, administratorių sąrašą, nenaudojamas paskyras, pasenusius protokolus, esamas politikas ir Secure Score. Gaunate rizikų sąrašą su prioritetais ir tai, ką galima padaryti su esama licencija.
Microsoft Entra ID
Tvarkome jūsų įmonės tapatybes Microsoft Entra ID: vienas prisijungimas į Microsoft 365 ir kitas sistemas, MFA visiems, sąlyginė prieiga pagal įrenginį ir vietą, sinchronizacija su vietine Active Directory. Įjungiame, sukonfigūruojame ir prižiūrime.
Paruošta pagal ISO 27001NIS2 / TIS2DORA
- MFA visiems
- Sąlyginė prieiga
- SSO į verslo sistemas
Tapatybė yra naujas perimetras – ir dažniausiai ji neapsaugota
- 100 % vartotojų su MFA – be išimčių vadovams
- SAML / OIDC vienas prisijungimas į SaaS sistemas
- P1 sąlyginė prieiga įeina į Business Premium
- 1 minutė prieigos atšaukimas visose sistemose išėjus
Beveik kiekviena Lietuvos įmonė, turinti Microsoft 365 aplinką (Tenant), jau turi ir Microsoft Entra ID – buvusį Azure AD. Problema ta, kad dažniausiai jis vis dar veikia pagal numatytuosius nustatymus: dalis vartotojų be MFA, administratoriaus teises turi žmonės, kuriems jų nereikia kasdien, išėjusių darbuotojų paskyros neišjungtos, o į apskaitos, CRM ar personalo sistemas jungiamasi atskirais slaptažodžiais, kurių niekas centralizuotai nevaldo. Užpuolikui tokiu atveju nereikia laužti serverių – užtenka vieno sėkmingo phishing laiško, ir jis prisijungia kaip jūsų darbuotojas iš bet kurios pasaulio vietos.
Mes paverčiame Entra ID centrine prieigos valdymo vieta. Įjungiame MFA visiems be išimčių (Microsoft Authenticator, FIDO2 raktai, passkeys), sukuriame sąlyginės prieigos politikas, kurios tikrina įrenginį, vietą ir riziką prieš įleisdamos, prijungiame SaaS sistemas per SAML ar OIDC, kad darbuotojas jungtųsi vienu prisijungimu, o išėjus iš darbo prieiga visur dingtų tą pačią minutę. Jei turite vietinę Active Directory, sinchronizuojame ją per Entra Connect ir nustatome, kuri pusė yra pagrindinė. Administratorių paskyras atskiriame nuo kasdienių, o su P2 licencija teises suteikiame tik laikinai per PIM. Kas priklauso nuo licencijos, pasakome iš anksto: Free, P1 ar P2 – palyginimas lentelėje žemiau.
Ką įjungiame
Aštuonios funkcijos, kurias sukonfigūruojame ir dokumentuojame – pagal jūsų licenciją.
MFA visiems
Microsoft Authenticator su numerio patvirtinimu, FIDO2 raktai ar passkeys administratoriams ir vadovams. SMS paliekame tik kaip atsarginį būdą.
Sąlyginė prieiga
Politikos pagal vartotoją, įrenginį, vietą ir programą: blokuojame pasenusius protokolus, reikalaujame valdomo įrenginio jautriems duomenims, ribojame prisijungimus iš netikėtų šalių.
SSO į verslo sistemas
Prijungiame CRM, personalo, dokumentų ir kitas SaaS sistemas per SAML arba OIDC, kad darbuotojai jungtųsi su Microsoft paskyra ir Entra ID politikos galiotų visur.
Entra Connect
Sinchronizacija su vietine Active Directory: slaptažodžių sinchronizavimas arba tiesioginė autentifikacija, hibridinis įrenginių jungimas, aiškus šaltinis, kuriame kuriami vartotojai.
Administratorių apsauga
Atskiros administratorių paskyros be pašto, avarinė paskyra saugykloje, su P2 – Privileged Identity Management, kur teisės suteikiamos laikinai ir su patvirtinimu.
Identity Protection
Su P2 – rizikingų prisijungimų ir vartotojų vertinimas: nutekėję slaptažodžiai, neįmanomos kelionės, anoniminiai tinklai. Rizikai pasiekus ribą reikalaujame MFA arba slaptažodžio keitimo.
Gyvavimo ciklas ir peržiūros
Darbuotojo priėmimas ir išėjimas pagal procesą, grupės pagal taisykles, su Entra ID Governance – periodinės prieigos peržiūros, kurias patvirtina vadovai, ne IT.
Global Secure Access
Private Access vietoj klasikinio VPN prie vidinių sistemų ir Internet Access interneto srautui – su tomis pačiomis sąlyginės prieigos taisyklėmis.
Entra ID Free, P1 ir P2
Ką galima įjungti su kiekviena licencija – ir kurioje Microsoft 365 prenumeratoje ji jau yra.
| Entra ID Free | Entra ID P1 | Entra ID P2 | |
|---|---|---|---|
SSO į Microsoft 365 ir SaaS sistemas | |||
MFA (Authenticator, FIDO2, passkeys) | |||
Entra Connect sinchronizacija su vietine AD | |||
Sąlyginė prieiga | |||
Hibridinis įrenginių jungimas ir dinaminės grupės | |||
Identity Protection (rizikos vertinimas) | |||
Privileged Identity Management (PIM) | |||
Įeina į | Microsoft 365 Business Basic ir Standard | Microsoft 365 Business Premium ir E3 | Microsoft 365 E5 arba perkama atskirai |
Kaip diegiame
Be prastovų ir be užblokuotų vadovų pirmadienio rytą.
Politikų projektavimas
Sukuriame politikas ir įjungiame jas ataskaitų režimu, kad matytume, kas būtų blokuota, bet niekas nenutrūktų. Suderiname išimtis: paslaugų paskyras, spausdintuvus, senas programas.
Įjungimas etapais
MFA ir politikas įjungiame grupėmis, pradedant nuo IT ir vadovybės. Darbuotojai gauna trumpą instrukciją, helpdesk tą dieną budi. Tada prijungiame SaaS sistemas per SSO ir, jei reikia, Entra Connect.
Priežiūra
Kas mėnesį peržiūrime rizikingus prisijungimus, administratorių teises ir neaktyvias paskyras, kas ketvirtį – prieigos peržiūras su vadovais. Microsoft pakeitimus Entra ID įvertiname ir pritaikome mes, ne jūs.
Entra ID yra pamatas – toliau Microsoft 365 saugumas
Tapatybės apsauga yra pirmas žingsnis. Kiti – Defender for Office 365 paštui, Intune įrenginiams, Purview duomenims. Visa tai sudedame į vieną Microsoft 365 saugumo paslaugą.
Dažniausiai užduodami klausimai
Kuo Entra ID skiriasi nuo vietinės Active Directory?
Vietinė AD valdo kompiuterius ir vartotojus biuro tinkle ir iš išorės reikalauja VPN. Entra ID veikia debesyje, valdo prieigą prie Microsoft 365 ir SaaS sistemų iš bet kur ir turi MFA, sąlyginę prieigą bei rizikos vertinimą, kurių vietinė AD neturi. Abi gali veikti kartu per Entra Connect.
Ar galime dirbti tik su Entra ID, be vietinės AD?
Taip, jei neturite senų sistemų, kurioms būtina domeno narystė. Kompiuteriai jungiami tiesiai prie Entra ID ir valdomi per Intune, failai – SharePoint ir OneDrive. Mūsų praktikoje įmonės iki kelių dešimčių darbuotojų į cloud-only pereina per vieną migracijos projektą.
Ką daro sąlyginė prieiga?
Tai taisyklės, tikrinamos per kiekvieną prisijungimą: kas jungiasi, iš kokio įrenginio, iš kur ir prie ko. Pavyzdžiui, iš nevaldomo kompiuterio leisti tik naršyklę be atsisiuntimo, iš užsienio reikalauti MFA, administratoriams – tik iš valdomų įrenginių. Reikalinga P1 licencija, kuri įeina į Business Premium.
Ar Entra ID padeda atitikti TIS2 ir ISO 27001 reikalavimus?
Taip – prieigos kontrolė, MFA, teisių peržiūros ir audito žurnalai yra tai, ko šie reikalavimai prašo. Sukonfigūruotą Entra ID su dokumentuotomis politikomis pateikiame kaip įrodymą auditui, o prieigos peržiūrų protokolai rodo, kad kontrolė veikia nuolat.
Ar reikia P2 licencijos?
Daugumai įmonių užtenka P1 iš Business Premium: MFA, sąlyginė prieiga, hibridinis jungimas. P2 verta, kai turite daug administratorių ar IT rangovų ir norite teises suteikti laikinai per PIM, arba reikia automatinio rizikos vertinimo. P2 perkama tik tiems vartotojams, kuriems jos reikia.
Kompetencija, patvirtinta sertifikatais
Šią paslaugą teikia specialistai su galiojančiais tarptautiniais sertifikatais – kompetenciją patvirtino ne mes patys, o nepriklausomos organizacijos.
-
Certified Information Security Manager
Saugumo valdymas, politikos ir incidentų procesai pagal ISACA metodiką.
-
Lead Cloud Security Manager
Debesijos saugumas valdomas pagal ISO/IEC 27017 ir 27018 praktikas.
-
Certified Data Privacy Solutions Engineer
Asmens duomenys tvarkomi pagal „privacy by design“ ir BDAR reikalavimus.
Gaukite Entra ID diegimo pasiūlymą
Parašykite, kiek turite vartotojų ir ar naudojate vietinę Active Directory – per 1 darbo dieną pasiūlysime planą ir reikalingas licencijas.
Atsakome per 1 darbo dieną