Office 365&Microsoft टीमें - सहयोग में आसानी और सुरक्षा पर प्रभाव

इस लेख में, हम यह दिखाना चाहेंगे कि उपयोगकर्ताओं, आईटी प्रशासकों और सूचना सुरक्षा कर्मचारियों के दृष्टिकोण से Microsoft Teams के साथ काम करना कैसा दिखता है।

सबसे पहले, आइए यह स्पष्ट करें कि Office 365 (संक्षेप में O365) की पेशकश में Teams अधिकांश अन्य Microsoft उत्पादों से किस प्रकार भिन्न है।

टीम्स केवल एक क्लाइंट है और इसका अपना क्लाउड एप्लिकेशन नहीं है। और यह विभिन्न O365 अनुप्रयोगों में प्रबंधित डेटा को होस्ट करता है।

हम आपको दिखाएंगे कि जब उपयोगकर्ता टीम्स, शेयरपॉइंट ऑनलाइन (इसके बाद एसपीओ के रूप में संदर्भित) और वनड्राइव में काम करते हैं तो "अंडर द हुड" क्या हो रहा है।

यदि आप Microsoft टूल (कुल पाठ्यक्रम समय का 1 घंटा) का उपयोग करके सुरक्षा सुनिश्चित करने के व्यावहारिक भाग पर आगे बढ़ना चाहते हैं, तो हम अत्यधिक अनुशंसा करते हैं कि आप उपलब्ध हमारे Office 365 शेयरिंग ऑडिट पाठ्यक्रम को सुनें। लिंक। यह पाठ्यक्रम O365 में साझाकरण सेटिंग्स को भी शामिल करता है, जिसे केवल PowerShell के माध्यम से बदला जा सकता है।

एक्मे कंपनी की आंतरिक परियोजना टीम से मिलें।

यह टीम टीमों में ऐसी दिखती है, इसके निर्माण के बाद और इस टीम के मालिक, अमेलिया द्वारा इसके सदस्यों को उचित पहुंच प्रदान की गई है:

टीम काम करना शुरू कर देती है

लिंडा का तात्पर्य है कि उसके द्वारा बनाए गए चैनल में रखी गई बोनस भुगतान योजना वाली फ़ाइल केवल जेम्स और विलियम द्वारा ही एक्सेस की जाएगी, जिनके साथ उन्होंने इस पर चर्चा की थी।

बदले में, जेम्स इस फ़ाइल तक पहुंचने के लिए एक एचआर कर्मचारी एम्मा को एक लिंक भेजता है, जो टीम का हिस्सा नहीं है।

विलियम एमएस टीम चैट में किसी अन्य टीम के सदस्य को तीसरे पक्ष के व्यक्तिगत डेटा के साथ एक समझौता भेजता है:

हम हुड के नीचे चढ़ते हैं

ज़ोई, अमेलिया की मदद से, अब किसी भी समय किसी को भी टीम से जोड़ या हटा सकती है:

लिंडा ने केवल अपने दो सहयोगियों द्वारा उपयोग के लिए महत्वपूर्ण डेटा के साथ एक दस्तावेज़ पोस्ट किया, इसे बनाते समय चैनल प्रकार में गलती हो गई, और फ़ाइल टीम के सभी सदस्यों के लिए उपलब्ध हो गई:

सौभाग्य से, O365 के लिए एक Microsoft एप्लिकेशन है जिसमें आप (इसे पूरी तरह से अन्य उद्देश्यों के लिए उपयोग करके) तुरंत देख सकते हैं सभी उपयोगकर्ताओं के पास किस महत्वपूर्ण डेटा तक पहुंच है?, परीक्षण के लिए ऐसे उपयोगकर्ता का उपयोग करना जो केवल सबसे सामान्य सुरक्षा समूह का सदस्य है।

भले ही फ़ाइलें निजी चैनलों के अंदर स्थित हों, यह गारंटी नहीं हो सकती है कि केवल एक निश्चित समूह के लोगों के पास ही उन तक पहुंच होगी।

जेम्स उदाहरण में, उन्होंने एम्मा की फ़ाइल का एक लिंक प्रदान किया, जो टीम का सदस्य भी नहीं है, निजी चैनल (यदि वह एक होता) तक पहुंच की तो बात ही छोड़ दें।

इस स्थिति के बारे में सबसे बुरी बात यह है कि हम Azure AD में सुरक्षा समूहों में कहीं भी इसके बारे में जानकारी नहीं देखेंगे, क्योंकि इसे सीधे एक्सेस अधिकार प्रदान किए जाते हैं।

विलियम द्वारा भेजी गई पीडी फ़ाइल मार्गरेट के लिए किसी भी समय उपलब्ध होगी, न कि केवल ऑनलाइन चैट करते समय।

हम कमर तक चढ़ते हैं

आइए इसे आगे समझें। सबसे पहले, आइए देखें कि जब कोई उपयोगकर्ता MS Teams में एक नई टीम बनाता है तो वास्तव में क्या होता है:

• Azure AD में एक नया Office 365 सुरक्षा समूह बनाया गया है, जिसमें टीम के मालिक और टीम के सदस्य शामिल हैं
• SharePoint Online में एक नई टीम साइट बनाई जा रही है (इसके बाद इसे SPO के रूप में संदर्भित किया जाएगा)
• एसपीओ में तीन नए स्थानीय (केवल इस सेवा में मान्य) समूह बनाए गए हैं: मालिक, सदस्य, आगंतुक
• एक्सचेंज ऑनलाइन में भी बदलाव किए जा रहे हैं।

एमएस टीम डेटा और यह कहां रहता है

टीमें कोई डेटा वेयरहाउस या प्लेटफ़ॉर्म नहीं है। यह सभी Office 365 समाधानों के साथ एकीकृत है।

• O365 कई एप्लिकेशन और उत्पाद प्रदान करता है, लेकिन डेटा हमेशा निम्नलिखित स्थानों पर संग्रहीत होता है: SharePoint Online (SPO), OneDrive (OD), एक्सचेंज ऑनलाइन, Azure AD
• MS Teams के माध्यम से आपके द्वारा साझा किया गया या प्राप्त किया गया डेटा उन प्लेटफ़ॉर्म पर संग्रहीत किया जाता है, Teams के भीतर नहीं
• इस मामले में, जोखिम सहयोग की ओर बढ़ती प्रवृत्ति है। एसपीओ और ओडी प्लेटफॉर्म में डेटा तक पहुंच रखने वाला कोई भी व्यक्ति इसे संगठन के अंदर या बाहर किसी को भी उपलब्ध करा सकता है
• सभी टीम डेटा (निजी चैनलों की सामग्री को छोड़कर) एसपीओ साइट में एकत्र किया जाता है, टीम बनाते समय स्वचालित रूप से बनाया जाता है
• बनाए गए प्रत्येक चैनल के लिए, इस एसपीओ साइट में दस्तावेज़ फ़ोल्डर में एक सबफ़ोल्डर स्वचालित रूप से बनाया जाता है:
  • चैनल में फ़ाइलें एसपीओ टीम साइट के दस्तावेज़ फ़ोल्डर के संबंधित सबफ़ोल्डर में अपलोड की जाती हैं (चैनल के समान नाम दिया गया है)
  • चैनल को भेजे गए ईमेल चैनल फ़ोल्डर के "ईमेल संदेश" सबफ़ोल्डर में संग्रहीत किए जाते हैं

• जब एक नया निजी चैनल बनाया जाता है, तो उसकी सामग्री को संग्रहीत करने के लिए एक अलग एसपीओ साइट बनाई जाती है, जिसकी संरचना नियमित चैनलों के लिए ऊपर वर्णित है (महत्वपूर्ण - प्रत्येक निजी चैनल के लिए अपनी विशेष एसपीओ साइट बनाई जाती है)
• चैट के माध्यम से भेजी गई फ़ाइलें भेजने वाले उपयोगकर्ता के वनड्राइव खाते ("Microsoft टीम चैट फ़ाइलें" फ़ोल्डर में) में सहेजी जाती हैं और चैट प्रतिभागियों के साथ साझा की जाती हैं
• चैट और पत्राचार सामग्री क्रमशः उपयोगकर्ता और टीम मेलबॉक्स में छिपे हुए फ़ोल्डरों में संग्रहीत की जाती है। वर्तमान में उन तक अतिरिक्त पहुंच प्राप्त करने का कोई तरीका नहीं है।

कार्बोरेटर में पानी है, बिल्ज में रिसाव है

मुख्य बिंदु जो संदर्भ में याद रखना महत्वपूर्ण हैं सूचना सुरक्षा:

• पहुंच नियंत्रण, और यह समझ कि किसे महत्वपूर्ण डेटा का अधिकार दिया जा सकता है, अंतिम उपयोगकर्ता स्तर पर स्थानांतरित कर दिया जाता है। उपलब्ध नहीं कराया पूर्ण केंद्रीकृत नियंत्रण या निगरानी.
• जब कोई कंपनी का डेटा साझा करता है, तो आपके ब्लाइंड स्पॉट दूसरों को दिखाई देते हैं, लेकिन आपको नहीं।

हम एम्मा को उन लोगों की सूची में नहीं देखते हैं जो टीम का हिस्सा हैं (एज़्योर एडी में एक सुरक्षा समूह के माध्यम से), लेकिन उसके पास एक विशिष्ट फ़ाइल तक पहुंच है, जिस लिंक पर जेम्स ने उसे भेजा था।

इसी तरह, हम टीम इंटरफ़ेस से फ़ाइलों तक पहुँचने की उसकी क्षमता के बारे में नहीं जान पाएंगे:

क्या कोई ऐसा तरीका है जिससे हम यह जानकारी प्राप्त कर सकें कि एम्मा की पहुंच किस वस्तु तक है? हां, हम कर सकते हैं, लेकिन केवल एसपीओ में हर चीज या किसी विशिष्ट वस्तु तक पहुंच अधिकारों की जांच करके, जिसके बारे में हमें संदेह है।

ऐसे अधिकारों की जांच करने पर, हम देखेंगे कि एम्मा और क्रिस के पास एसपीओ स्तर पर वस्तु के अधिकार हैं।

क्रिस? हम किसी क्रिस को नहीं जानते. वह कहाँ से आया?

और वह "स्थानीय" एसपीओ सुरक्षा समूह से हमारे पास "आया", जिसमें बदले में, "मुआवजा" टीम के सदस्यों के साथ पहले से ही Azure AD सुरक्षा समूह शामिल है।

शायद माइक्रोसॉफ्ट क्लाउड ऐप सुरक्षा (एमसीएएस) क्या हम आवश्यक स्तर की समझ प्रदान करते हुए उन मुद्दों पर प्रकाश डालने में सक्षम होंगे जिनमें हमारी रुचि है?

अफसोस, नहीं... यद्यपि हम क्रिस और एम्मा को देख पाएंगे, हम उन विशिष्ट उपयोगकर्ताओं को नहीं देख पाएंगे जिन्हें पहुंच प्रदान की गई है।

O365 में पहुंच प्रदान करने के स्तर और तरीके - आईटी चुनौतियाँ

संगठनों की परिधि के भीतर फ़ाइल भंडारण पर डेटा तक पहुंच प्रदान करने की सबसे सरल प्रक्रिया विशेष रूप से जटिल नहीं है और व्यावहारिक रूप से दिए गए पहुंच अधिकारों को बायपास करने का अवसर प्रदान नहीं करती है।

O365 में सहयोग और डेटा साझा करने के भी कई अवसर हैं।

• उपयोगकर्ताओं को यह समझ में नहीं आता है कि यदि वे सभी के लिए उपलब्ध फ़ाइल का लिंक प्रदान कर सकते हैं तो डेटा तक पहुंच को प्रतिबंधित क्यों करें, क्योंकि उनके पास सूचना सुरक्षा के क्षेत्र में बुनियादी विशेषज्ञता नहीं है, या वे जोखिमों की उपेक्षा करते हैं, जिससे उनकी कम संभावना के बारे में धारणाएं बन जाती हैं। घटना
• परिणामस्वरूप, महत्वपूर्ण जानकारी संगठन से बाहर निकल सकती है और व्यापक श्रेणी के लोगों के लिए उपलब्ध हो सकती है।
• इसके अलावा, अनावश्यक पहुंच प्रदान करने के कई अवसर हैं।

O365 में Microsoft ने एक्सेस कंट्रोल सूचियों को बदलने के लिए संभवतः बहुत सारे तरीके प्रदान किए हैं। ऐसी सेटिंग्स टैनेंट, साइट्स, फ़ोल्डर्स, फ़ाइलों, ऑब्जेक्ट्स और उनसे लिंक के स्तर पर उपलब्ध हैं। साझाकरण क्षमता सेटिंग्स को कॉन्फ़िगर करना महत्वपूर्ण है और इसे उपेक्षित नहीं किया जाना चाहिए।

हम इन मापदंडों के कॉन्फ़िगरेशन पर एक निःशुल्क, लगभग डेढ़ घंटे का वीडियो कोर्स लेने का अवसर प्रदान करते हैं, जिसका लिंक इस लेख की शुरुआत में दिया गया है।

दो बार सोचे बिना, आप सभी बाहरी फ़ाइल साझाकरण को ब्लॉक कर सकते हैं, लेकिन तब:

• O365 प्लेटफ़ॉर्म की कुछ क्षमताएं अप्रयुक्त रहेंगी, खासकर यदि कुछ उपयोगकर्ता उन्हें घर पर या पिछली नौकरी में उपयोग करने के आदी हैं
• "उन्नत उपयोगकर्ता" अन्य कर्मचारियों को अन्य माध्यमों से आपके द्वारा निर्धारित नियमों को तोड़ने में "मदद" करेंगे

साझाकरण विकल्प सेट करने में शामिल हैं:

• प्रत्येक एप्लिकेशन के लिए विभिन्न कॉन्फ़िगरेशन: OD, SPO, AAD और MS टीमें (कुछ कॉन्फ़िगरेशन केवल व्यवस्थापक द्वारा ही किए जा सकते हैं, कुछ केवल उपयोगकर्ताओं द्वारा ही किए जा सकते हैं)
• टैनेंट स्तर पर और प्रत्येक विशिष्ट साइट के स्तर पर सेटिंग्स कॉन्फ़िगरेशन

सूचना सुरक्षा के लिए इसका क्या अर्थ है?

जैसा कि हमने ऊपर देखा, पूर्ण आधिकारिक डेटा एक्सेस अधिकार एक इंटरफ़ेस में नहीं देखे जा सकते हैं:

इस प्रकार, यह समझने के लिए कि प्रत्येक विशिष्ट फ़ाइल या फ़ोल्डर तक किसकी पहुंच है, आपको निम्नलिखित को ध्यान में रखते हुए, स्वतंत्र रूप से एक एक्सेस मैट्रिक्स बनाने, इसके लिए डेटा एकत्र करने की आवश्यकता होगी:

• टीम के सदस्य Azure AD और Teams में दिखाई देते हैं, लेकिन SPO में नहीं
• टीम के मालिक सह-मालिकों की नियुक्ति कर सकते हैं, जो स्वतंत्र रूप से टीम सूची का विस्तार कर सकते हैं
• टीमों में बाहरी उपयोगकर्ता भी शामिल हो सकते हैं - "अतिथि"
• साझा करने या डाउनलोड करने के लिए दिए गए लिंक Teams या Azure AD में दिखाई नहीं देते हैं - केवल SPO में, और केवल ढेर सारे लिंक पर क्लिक करने के बाद ही दिखाई देते हैं
• टीमों में केवल एसपीओ साइट तक पहुंच दिखाई नहीं देती है

केंद्रीकृत नियंत्रण का अभाव इसका मतलब है कि आप ऐसा नहीं कर सकते:

• देखें कि किन संसाधनों तक किसकी पहुंच है
• देखें कि महत्वपूर्ण डेटा कहाँ स्थित है
• उन विनियामक आवश्यकताओं को पूरा करें जिनके लिए सेवा योजना के लिए गोपनीयता-प्रथम दृष्टिकोण की आवश्यकता होती है
• महत्वपूर्ण डेटा के संबंध में असामान्य व्यवहार का पता लगाएं
• आक्रमण क्षेत्र सीमित करें
• उनके आकलन के आधार पर जोखिमों को कम करने का प्रभावी तरीका चुनें

सारांश

निष्कर्ष के रूप में हम यह कह सकते हैं

• O365 के साथ काम करने का चयन करने वाले संगठनों के आईटी विभागों के लिए, योग्य कर्मचारियों का होना महत्वपूर्ण है जो तकनीकी रूप से साझाकरण सेटिंग्स में बदलावों को लागू कर सकते हैं और O365 के साथ काम करने के लिए नीतियों को लिखने के लिए कुछ मापदंडों को बदलने के परिणामों को उचित ठहरा सकते हैं जो जानकारी के साथ सहमत हैं सुरक्षा और व्यावसायिक इकाइयाँ
• सूचना सुरक्षा के लिए यह महत्वपूर्ण है कि वह स्वचालित दैनिक आधार पर, या यहां तक ​​कि वास्तविक समय में, डेटा एक्सेस का ऑडिट, आईटी और व्यावसायिक विभागों के साथ सहमत O365 नीतियों के उल्लंघन और दी गई एक्सेस की शुद्धता का विश्लेषण करने में सक्षम हो। , साथ ही उनके किरायेदार O365 में प्रत्येक सेवा पर हमले देखने के लिए

स्रोत: www.habr.com