Yn dit artikel wolle wy sjen litte hoe't wurkjen mei Microsoft Teams derút sjocht út it eachpunt fan brûkers, IT-behearders en personiel foar ynformaasjefeiligens.
Litte wy earst dúdlik wêze oer hoe't Teams oars is fan de measte oare Microsoft-produkten yn har Office 365 (O365 foar koart) oanbod.
Teams is allinich in klant en hat gjin eigen wolkapplikaasje. En it host de gegevens dy't it beheart oer ferskate O365-applikaasjes.
Wy sille jo sjen litte wat der "ûnder de motorkap" bart as brûkers wurkje yn Teams, SharePoint Online (hjirnei oantsjutten as SPO) en OneDrive.
As jo wolle trochgean nei it praktyske diel fan it garandearjen fan feiligens mei help fan Microsoft-ark (1 oere fan 'e totale kursustiid), riede wy tige oan te harkjen nei ús kursus Office 365 Sharing Audit, beskikber Dizze kursus behannelt ek dielingsynstellingen yn O365, dy't allinich kinne wurde feroare fia PowerShell.
Moetsje it ynterne projektteam fan Acme Co.
Dit is hoe dit team derút sjocht yn Teams, neidat it is makke en de passende tagong is ferliend oan har leden troch de eigner fan dit team, Amelia:
It team begjint te wurkjen
Linda ymplisearret dat it bestân mei it bonusbetellingsplan pleatst yn it kanaal dat se makke sil allinich tagong wurde troch James en William, mei wa't se it besprutsen.
James stjoert op syn beurt in keppeling om tagong te krijen ta dit bestân nei in HR-meiwurker, Emma, dy't gjin diel is fan it Team.
William stjoert in oerienkomst mei de persoanlike gegevens fan in tredde partij nei in oar Teamlid yn it MS Teams-petear:
Wy klimme ûnder de motorkap
Zoey, mei help fan Amelia, kin no op elk momint elkenien tafoegje of fuortsmite fan it Team:
Linda, it pleatsen fan in dokumint mei krityske gegevens bedoeld foar gebrûk allinich troch twa fan har kollega's, makke in flater mei it Kanaaltype by it oanmeitsjen, en it bestân waard beskikber foar alle Teamleden:
Gelokkich is d'r in Microsoft-applikaasje foar O365 wêryn jo (folslein brûke foar oare doelen) fluch kinne sjen hokker krityske gegevens hawwe absolút alle brûkers tagong ta?, brûke foar de test in brûker dy't lid is fan allinich de meast algemiene feiligensgroep.
Sels as de bestannen binnen Private Channels lizze, kin dit gjin garânsje wêze dat allinich in bepaalde sirkel fan minsken tagong ta har sil hawwe.
Yn it foarbyld fan James joech hy in keppeling nei it bestân fan Emma, dat net iens lid is fan it Team, lit stean tagong ta it Private Channel (as it ien wie).
It slimste fan dizze situaasje is dat wy gjin ynformaasje oer dit oeral sille sjen yn 'e feiligensgroepen yn Azure AD, om't de tagongsrjochten der direkt oan wurde jûn.
It PD-bestân ferstjoerd troch William sil op elk momint beskikber wêze foar Margaret, en net allinich wylst se online petearje.
Wy klimme oant de taille
Litte wy it fierder útfine. Litte wy earst sjen wat der krekt bart as in brûker in nij team oanmakket yn MS Teams:
- In nije Office 365-befeiligingsgroep is makke yn Azure AD, dy't teameigners en teamleden omfettet
- In nije teamside wurdt makke yn SharePoint Online (hjirnei oantsjutten as SPO)
- Trije nije lokale (allinich jildich yn dizze tsjinst) groepen wurde makke yn SPO: Eigners, Leden, Besikers
- Feroarings wurde makke oan Exchange Online ek.
MS Teams gegevens en wêr't it libbet
Teams is gjin data warehouse of platfoarm. It is yntegrearre mei alle Office 365-oplossingen.
- O365 biedt in protte applikaasjes en produkten, mar de gegevens wurde altyd opslein op 'e folgjende plakken: SharePoint Online (SPO), OneDrive (OD), Exchange Online, Azure AD
- Gegevens dy't jo diele of ûntfange fia MS Teams wurde opslein op dy platfoarms, net binnen Teams sels
- Yn dit gefal is it risiko de groeiende trend nei gearwurking. Elkenien mei tagong ta gegevens yn 'e SPO- en OD-platfoarms kin it beskikber stelle foar elkenien binnen of bûten de organisaasje
- Alle teamgegevens (útsein de ynhâld fan partikuliere kanalen) wurde sammele yn 'e SPO-side, automatysk oanmakke by it meitsjen fan in team
- Foar elk oanmakke kanaal wurdt automatysk in submap makke yn 'e map Dokuminten op dizze SPO-side:
- bestannen yn kanalen wurde opladen nei de korrespondearjende submappen fan 'e dokumintenmap fan' e SPO Teams-side (deselde neamd as it kanaal)
- E-postberjochten stjoerd nei it kanaal wurde opslein yn 'e submap "E-postberjochten" fan 'e kanaalmap
- As in nij privee kanaal wurdt oanmakke, wurdt in aparte SPO-side makke om de ynhâld op te slaan, mei deselde struktuer as hjirboppe beskreaun foar reguliere kanalen (wichtich - foar elk privee kanaal wurdt in eigen spesjale SPO-side makke)
- Bestannen ferstjoerd fia petearen wurde opslein yn it OneDrive-akkount fan de stjoerende brûker (yn 'e map "Microsoft Teams Chat Files") en wurde dield mei peteardielnimmers
- Chat- en korrespondinsje-ynhâld wurde opslein yn respektivelik brûkers- en teampostfakken yn ferburgen mappen. D'r is op it stuit gjin manier om ekstra tagong ta har te krijen.
Der sit wetter yn de fergasser, der sit in lek yn de bilge
Wichtige punten dy't wichtich binne om te ûnthâlden yn kontekst ynformaasje feiligens:
- Tagongskontrôle, en begryp fan wa't rjochten kinne wurde takend op wichtige gegevens, wurdt oerdroegen oan it ein brûkersnivo. Net oanbean folsleine sintralisearre kontrôle of tafersjoch.
- As immen bedriuwsgegevens dielt, binne jo bline flekken sichtber foar oaren, mar net foar jo.
Wy sjogge Emma net yn 'e list fan minsken dy't diel útmeitsje fan it Team (fia in befeiligingsgroep yn Azure AD), mar se hat tagong ta in spesifyk bestân, de keppeling wêrnei't James har stjoerde.
Likegoed sille wy net witte oer har fermogen om tagong te krijen ta bestannen fan 'e Teams-ynterface:
Is d'r in manier wêrop wy ynformaasje kinne krije oer hokker objekt Emma tagong hat? Ja, wy kinne, mar allinne troch it ûndersykjen fan de tagongsrjochten op alles of in spesifyk objekt yn de SPO dêr't wy hawwe fermoedens.
Nei't sokke rjochten ûndersocht hawwe, sille wy sjen dat Emma en Chris rjochten hawwe op it objekt op it SPO-nivo.
Chris? Wy kenne gjin Chris. Wêr kaam er wei?
En hy "kaam" nei ús fan 'e "lokale" SPO-befeiligingsgroep, dy't op syn beurt al de Azure AD-befeiligingsgroep omfettet, mei leden fan it Team "Compensations".
Kinne, Microsoft Cloud App Security (MCAS) sil by steat wêze om te smyt ljocht op de saken dy't ynteressearje ús, it jaan fan it nedige nivo fan begryp?
Och, nee ... Hoewol wy Chris en Emma sille kinne sjen, sille wy de spesifike brûkers dy't tagong hawwe krigen net kinne sjen.
Nivo's en metoaden foar it jaan fan tagong yn O365 - IT-útdagings
It ienfâldichste proses foar it jaan fan tagong ta gegevens oer bestân opslach binnen de perimeter fan organisaasjes is net bysûnder yngewikkeld en biedt praktysk gjin kânsen om de ferliende tagongsrjochten te omgean.
O365 hat ek in protte mooglikheden foar gearwurking en dielen fan gegevens.
- Brûkers begripe net wêrom tagong ta gegevens beheine as se gewoan in keppeling kinne leverje nei in bestân dat foar elkenien beskikber is, om't se gjin basisekspertize hawwe op it mêd fan ynformaasjefeiligens, of se negearje risiko's, meitsje oannames oer de lege kâns fan har foarkommen
- As resultaat kin krityske ynformaasje de organisaasje ferlitte en beskikber wurde foar in breed skala oan minsken.
- Derneist binne d'r in protte mooglikheden om oerstallige tagong te jaan.
Microsoft yn O365 hat wierskynlik tefolle manieren levere om tagongskontrôlelisten te feroarjen. Sokke ynstellings binne beskikber op it nivo fan hierder, siden, mappen, bestannen, objekten sels en keppelings nei har. It konfigurearjen fan de ynstellings foar dielingsmooglikheden is wichtich en moat net ferwaarleazge wurde.
Wy biede de kâns om in fergese, sawat ien en in heal oere fideokursus te nimmen oer de konfiguraasje fan dizze parameters, de keppeling wêrnei't oan it begjin fan dit artikel wurdt levere.
Sûnder twa kear nei te tinken kinne jo alle eksterne dielen fan bestannen blokkearje, mar dan:
- Guon fan 'e mooglikheden fan it O365-platfoarm sille net brûkt wurde, foaral as guon brûkers wend binne om se thús of op in eardere baan te brûken
- "Avansearre brûkers" sille "helpe" oare meiwurkers brekke de regels dy't jo ynsteld troch oare middels
It ynstellen fan dielingsopsjes omfettet:
- Ferskate konfiguraasjes foar elke applikaasje: OD, SPO, AAD en MS Teams (guon konfiguraasjes kinne allinich dien wurde troch de behearder, guon kinne allinich dien wurde troch de brûkers sels)
- Ynstellingskonfiguraasjes op it hierdernivo en op it nivo fan elke spesifike side
Wat betsjut dit foar ynformaasjefeiligens?
Lykas wy hjirboppe seagen, kinne folsleine autoritative tagongsrjochten foar gegevens net sjoen wurde yn ien interface:
Dus, om te begripen wa't tagong hat ta ELKE spesifike triem of map, moatte jo selsstannich in tagongsmatrix oanmeitsje, dêr gegevens foar sammelje, rekken hâldend mei it folgjende:
- Teamleden binne sichtber yn Azure AD en Teams, mar net yn SPO
- Teameigners kinne Co-Eigners beneame, dy't de Teamlist selsstannich útwreidzje kinne
- Teams kinne ek EKSTERNE brûkers omfetsje - "Gasten"
- Keppelings levere foar dielen of downloaden binne net sichtber yn Teams of Azure AD - allinich yn SPO, en allinich nei ferfeelsum klikken troch in ton keppelings
- SPO-side allinich tagong is net sichtber yn Teams
Gebrek oan sintralisearre kontrôle betsjut dat jo net kinne:
- Sjoch wa't tagong hat ta hokker boarnen
- Sjoch wêr't krityske gegevens leit
- Moetsje regeljouwingeasken dy't in privacy-earste oanpak fan tsjinstplanning fereaskje
- Detect ûngewoan gedrach oangeande krityske gegevens
- Beheine oanfal gebiet
- Kies in effektive manier om risiko's te ferminderjen op basis fan har beoardieling
Gearfetting
As konklúzje kinne wy dat sizze
- Foar IT-ôfdielingen fan organisaasjes dy't kieze om te wurkjen mei O365, is it wichtich om kwalifisearre meiwurkers te hawwen dy't sawol technysk wizigingen kinne ymplementearje yn dielingsynstellingen en de gefolgen fan it feroarjen fan bepaalde parameters rjochtfeardigje om belied te skriuwen foar it wurkjen mei O365 dat is ôfpraat mei ynformaasje feiligens en saaklike ienheden
- It is wichtich foar ynformaasjefeiligens om op in automatyske deistige basis, of sels yn realtime, in kontrôle fan gegevenstagong te kinnen útfiere, oertredings fan O365-belied oerienkommen mei IT- en bedriuwsôfdielingen en in analyze fan 'e krektens fan' e ferliende tagong , en ek om oanfallen te sjen op elk fan 'e tsjinsten yn har hierder O365
Boarne: www.habr.com