Office 365&Microsoft Teams - קלות שיתוף פעולה והשפעה על אבטחה

במאמר זה, ברצוננו להראות כיצד נראית עבודה עם Microsoft Teams מנקודת המבט של משתמשים, מנהלי IT וצוות אבטחת מידע.

ראשית, בואו נבהיר כיצד Teams שונה מרוב מוצרי Microsoft האחרים בהיצע Office 365 שלהם (בקיצור O365).

Teams הוא לקוח בלבד ואין לו אפליקציית ענן משלו. והוא מארח את הנתונים שהוא מנהל במגוון יישומי O365.

אנו נראה לך מה קורה "מתחת למכסה המנוע" כאשר משתמשים עובדים ב-Teams, SharePoint Online (להלן SPO) ו-OneDrive.

אם תרצה לעבור לחלק המעשי של הבטחת אבטחה באמצעות כלי Microsoft (שעה אחת מזמן הקורס הכולל), אנו ממליצים בחום להקשיב לקורס ביקורת השיתוף שלנו ב-Office 1, הזמין בקישור. קורס זה מכסה גם את הגדרות השיתוף ב-O365, אותן ניתן לשנות רק באמצעות PowerShell.

הכירו את צוות הפרויקט הפנימי של Acme Co.

כך נראה הצוות הזה ב-Teams, לאחר שהוא נוצר והגישה המתאימה ניתנה לחבריו על ידי הבעלים של הצוות הזה, אמיליה:

הצוות מתחיל לעבוד

לינדה רומזת שהקובץ עם תוכנית תשלום הבונוס שהוצב בערוץ שיצרה ייכנס רק לג'יימס וויליאם, איתם שוחחו עליו.

ג'יימס, בתורו, שולח קישור לגישה לקובץ הזה לעובדת משאבי אנוש, אמה, שאינה חלק מהצוות.

וויליאם שולח הסכם עם הנתונים האישיים של צד שלישי לחבר צוות אחר בצ'אט של MS Teams:

אנחנו מטפסים מתחת למכסה המנוע

זואי, בעזרתה של אמיליה, יכולה כעת להוסיף או להסיר כל אחד מהצוות בכל עת:

לינדה, שפרסמה מסמך עם נתונים קריטיים שנועדו לשימוש רק על ידי שניים מעמיתיה, עשתה טעות בסוג הערוץ בעת יצירתו, והקובץ הפך זמין לכל חברי הצוות:

למרבה המזל, יש יישום של מיקרוסופט עבור O365 שבו אתה יכול (בשימוש בו לחלוטין למטרות אחרות) לראות במהירות לאילו נתונים קריטיים יש גישה לכל המשתמשים?, תוך שימוש לצורך הבדיקה במשתמש שחבר רק בקבוצת האבטחה הכללית ביותר.

גם אם הקבצים ממוקמים בתוך ערוצים פרטיים, ייתכן שהדבר אינו ערובה לכך שרק למעגל מסוים של אנשים תהיה גישה אליהם.

בדוגמה של ג'יימס, הוא סיפק קישור לקובץ של אמה, שהוא אפילו לא חבר בצוות, שלא לדבר על גישה לערוץ הפרטי (אם זה היה כזה).

הדבר הגרוע ביותר במצב הזה הוא שלא נראה מידע על כך בשום מקום בקבוצות האבטחה ב-Azure AD, שכן זכויות הגישה ניתנות לה ישירות.

קובץ ה-PD שנשלח על ידי וויליאם יהיה זמין למרגרט בכל עת, ולא רק בזמן צ'אט מקוון.

אנחנו מטפסים עד המותניים

בואו נבין את זה יותר. ראשית, בואו נראה מה בדיוק קורה כאשר משתמש יוצר צוות חדש ב-MS Teams:

• נוצרת קבוצת אבטחה חדשה של Office 365 ב-Azure AD, הכוללת בעלי צוות וחברי צוות
• אתר צוות חדש נוצר ב-SharePoint Online (להלן SPO)
• שלוש קבוצות מקומיות חדשות (תקפות רק בשירות זה) נוצרות ב-SPO: בעלים, חברים, מבקרים
• מתבצעים שינויים גם ב-Exchange Online.

נתוני MS Teams והיכן הוא חי

Teams אינו מחסן נתונים או פלטפורמה. הוא משולב עם כל פתרונות Office 365.

• O365 מציע יישומים ומוצרים רבים, אך הנתונים מאוחסנים תמיד במקומות הבאים: SharePoint Online (SPO), OneDrive (OD), Exchange Online, Azure AD
• נתונים שאתה משתף או מקבל דרך MS Teams מאוחסנים בפלטפורמות אלה, לא בתוך Teams עצמה
• במקרה זה, הסיכון הוא המגמה הגוברת לשיתוף פעולה. כל מי שיש לו גישה לנתונים בפלטפורמות SPO ו-OD יכול להפוך אותם לזמינים לכל אחד בתוך הארגון או מחוצה לו
• כל נתוני הצוות (למעט תוכן הערוצים הפרטיים) נאספים באתר SPO, נוצרים באופן אוטומטי בעת יצירת צוות
• עבור כל ערוץ שנוצר, תתיקיית משנה נוצרת אוטומטית בתיקיית המסמכים באתר SPO זה:
  • קבצים בערוצים מועלים לתיקיות המשנה המתאימות של תיקיית המסמכים של אתר SPO Teams (השם זהה לערוץ)
  • הודעות דוא"ל שנשלחות לערוץ מאוחסנות בתיקיית המשנה "הודעות דוא"ל" של תיקיית הערוץ

• כאשר נוצר ערוץ פרטי חדש, נוצר אתר SPO נפרד לאחסון התוכן שלו, עם אותו מבנה כפי שתואר לעיל עבור ערוצים רגילים (חשוב - לכל ערוץ פרטי נוצר אתר SPO מיוחד משלו)
• קבצים שנשלחים דרך צ'אטים נשמרים בחשבון OneDrive של המשתמש השולח (בתיקיית "קבצי צ'אט של Microsoft Teams") ומשותפים עם משתתפי הצ'אט
• תוכן הצ'אט והתכתבות מאוחסן בתיבות הדואר של המשתמש והצוות, בהתאמה, בתיקיות נסתרות. כרגע אין דרך להשיג גישה נוספת אליהם.

יש מים בקרבורטור, יש נזילה בבלג

נקודות מפתח שחשוב לזכור בהקשר אבטחת מידע:

• בקרת הגישה, וההבנה למי ניתן להעניק זכויות לנתונים חשובים, מועברות לרמת משתמש הקצה. לא מסופק בקרה או ניטור מרוכז מלא.
• כאשר מישהו משתף נתוני חברה, הנקודות העיוורות שלך גלויות לאחרים, אבל לא לך.

אנחנו לא רואים את אמה ברשימת האנשים שהם חלק מהצוות (דרך קבוצת אבטחה ב-Azure AD), אבל יש לה גישה לקובץ ספציפי, הקישור אליו ג'יימס שלח לה.

כמו כן, לא נדע על יכולתה לגשת לקבצים מממשק Teams:

האם יש דרך כלשהי שנוכל לקבל מידע על החפץ אליו יש לאמה גישה? כן, אנחנו יכולים, אבל רק על ידי בחינת זכויות הגישה לכל דבר או לאובייקט ספציפי ב-SPO שלגביו יש לנו חשדות.

לאחר שבדקנו זכויות כאלה, נראה כי לאמה וכריס יש זכויות על האובייקט ברמת SPO.

כריס? אנחנו לא מכירים אף כריס. מאיפה הוא הגיע?

והוא "בא" אלינו מקבוצת האבטחה "המקומית" של SPO, אשר בתורה כבר כוללת את קבוצת האבטחה Azure AD, עם חברי צוות "פיצויים".

אולי, Microsoft Cloud App Security (MCAS) האם יוכל לשפוך אור על הנושאים המעניינים אותנו, תוך מתן רמת ההבנה הדרושה?

אבוי, לא... למרות שנוכל לראות את כריס ואמה, לא נוכל לראות את המשתמשים הספציפיים שקיבלו גישה.

רמות ושיטות למתן גישה ב-O365 - אתגרי IT

התהליך הפשוט ביותר של מתן גישה לנתונים על מאגרי קבצים בהיקף של ארגונים אינו מסובך במיוחד ולמעשה אינו מספק הזדמנויות לעקוף את זכויות הגישה שניתנו.

ל-O365 יש גם הזדמנויות רבות לשיתוף פעולה ושיתוף נתונים.

• משתמשים אינם מבינים מדוע להגביל את הגישה לנתונים אם הם יכולים פשוט לספק קישור לקובץ הזמין לכולם, כי אין להם מומחיות בסיסית בתחום אבטחת המידע, או שהם מזניחים סיכונים, מניחים הנחות לגבי ההסתברות הנמוכה שלהם. הִתרַחֲשׁוּת
• כתוצאה מכך, מידע קריטי עלול לעזוב את הארגון ולהיות זמין למגוון רחב של אנשים.
• בנוסף, ישנן הזדמנויות רבות לספק גישה מיותרת.

Microsoft ב-O365 סיפקה כנראה דרכים רבות מדי לשנות רשימות בקרת גישה. הגדרות כאלה זמינות ברמת הדייר, האתרים, התיקיות, הקבצים, האובייקטים עצמם והקישורים אליהם. הגדרת הגדרות יכולות השיתוף חשובה ואין להזניח אותה.

אנו מספקים את ההזדמנות לקחת קורס וידאו חינם, כשעה וחצי, על תצורת הפרמטרים הללו, שהקישור אליו מסופק בתחילת מאמר זה.

בלי לחשוב פעמיים, אתה יכול לחסום את כל שיתוף הקבצים החיצוני, אבל אז:

• חלק מהיכולות של פלטפורמת O365 יישארו ללא שימוש, במיוחד אם חלק מהמשתמשים רגילים להשתמש בהן בבית או בעבודה קודמת
• "משתמשים מתקדמים" "יעזרו" לעובדים אחרים לשבור את הכללים שקבעתם באמצעים אחרים

הגדרת אפשרויות השיתוף כוללת:

• תצורות שונות לכל אפליקציה: OD, SPO, AAD ו-MS Teams (חלק מהתצורות יכולות להיעשות רק על ידי המנהל, חלקן יכולות להיעשות רק על ידי המשתמשים עצמם)
• תצורות הגדרות ברמת הדייר וברמת כל אתר ספציפי

מה זה אומר על אבטחת מידע?

כפי שראינו לעיל, לא ניתן לראות זכויות גישה סמכותיות מלאות לנתונים בממשק אחד:

לפיכך, על מנת להבין למי יש גישה לכל קובץ או תיקיה ספציפיים, תצטרך ליצור באופן עצמאי מטריצת גישה, לאסוף עבורה נתונים, תוך התחשבות בדברים הבאים:

• חברי צוותים גלויים ב-Azure AD וב-Teams, אך לא ב-SPO
• בעלי צוות יכולים למנות בעלים משותפים, שיכולים להרחיב את רשימת הצוותים באופן עצמאי
• צוותים יכולים לכלול גם משתמשים חיצוניים - "אורחים"
• קישורים שסופקו לשיתוף או הורדה אינם גלויים ב-Teams או ב-Azure AD - רק ב-SPO, ורק לאחר לחיצה מייגעת על המון קישורים
• גישה לאתר SPO בלבד אינה גלויה ב-Teams

חוסר בקרה ריכוזית אומר שאתה לא יכול:

• ראה למי יש גישה לאילו משאבים
• ראה היכן נמצאים נתונים קריטיים
• עמוד בדרישות הרגולטוריות הדורשות גישה של פרטיות ראשונה לתכנון שירות
• זיהוי התנהגות חריגה לגבי נתונים קריטיים
• הגבל את אזור ההתקפה
• בחר דרך יעילה להפחתת סיכונים על סמך הערכתם

תקציר

לסיכום, אפשר לומר זאת

• למחלקות IT של ארגונים הבוחרים לעבוד עם O365, חשוב שיהיו עובדים מוסמכים שיוכלו גם ליישם שינויים טכניים בהגדרות השיתוף וגם להצדיק את ההשלכות של שינוי פרמטרים מסוימים כדי לכתוב מדיניות לעבודה עם O365 המוסכמת עם מידע יחידות אבטחה ועסקיות
• חשוב שאבטחת המידע תהיה מסוגלת לבצע על בסיס יומיומי אוטומטי, או אפילו בזמן אמת, ביקורת גישה לנתונים, הפרות של מדיניות O365 שסוכמו עם מחלקות IT ועסקים וניתוח נכונות הגישה שניתנה. , כמו גם לראות התקפות על כל אחד מהשירותים בדייר שלהם O365

מקור: www.habr.com