Office 365 및 Microsoft Teams - 협업 용이성 및 보안에 대한 영향

이 문서에서는 사용자, IT 관리자 및 정보 보안 직원의 관점에서 Microsoft Teams로 작업하는 모습을 보여 드리고자 합니다.

먼저 Teams가 Office 365(줄여서 O365) 제품에서 대부분의 다른 Microsoft 제품과 어떻게 다른지 명확히 하겠습니다.

Teams는 클라이언트일 뿐이며 자체 클라우드 애플리케이션이 없습니다. 그리고 다양한 O365 애플리케이션에서 관리하는 데이터를 호스팅합니다.

사용자가 Teams, SharePoint Online(이하 SPO라고 함) 및 OneDrive에서 작업할 때 "내부적으로" 무슨 일이 일어나고 있는지 보여드리겠습니다.

Microsoft 도구를 사용하여 보안을 보장하는 실무적인 부분(총 과정 시간 중 1시간)으로 넘어가고 싶다면 Office 365 공유 감사 과정을 듣는 것이 좋습니다. 링크. 이 과정에서는 PowerShell을 통해서만 변경할 수 있는 O365의 공유 설정도 다룹니다.

Acme Co. 내부 프로젝트 팀을 만나보세요.

이 팀이 만들어지고 이 팀의 소유자인 Amelia가 구성원에게 적절한 액세스 권한을 부여한 후 Teams에서 이 팀의 모습은 다음과 같습니다.

팀이 작업을 시작합니다.

Linda는 자신이 만든 채널에 있는 보너스 지불 계획이 포함된 파일에 대해 논의한 James와 William만 액세스할 수 있음을 암시합니다.

James는 팀에 속하지 않은 HR 직원 Emma에게 이 파일에 액세스할 수 있는 링크를 보냅니다.

William은 MS Teams 채팅에서 다른 팀원에게 제XNUMX자의 개인 데이터에 대한 계약을 보냅니다.

우리는 후드 아래로 올라갑니다

이제 Zoey는 Amelia의 도움으로 언제든지 팀에 누구든지 추가하거나 제거할 수 있습니다.

두 명의 동료만 사용하도록 의도된 중요한 데이터가 포함된 문서를 게시한 Linda는 문서를 만들 때 채널 유형에 실수를 하여 모든 팀 구성원이 파일을 사용할 수 있게 되었습니다.

다행히도 다른 목적으로 완전히 사용하여 빠르게 확인할 수 있는 O365용 Microsoft 애플리케이션이 있습니다. 모든 사용자가 액세스할 수 있는 중요한 데이터는 무엇입니까?, 테스트에는 가장 일반적인 보안 그룹에만 속한 사용자를 사용합니다.

파일이 비공개 채널 내에 위치하더라도 특정 집단의 사람들만 해당 파일에 액세스할 수 있다는 보장은 없습니다.

James의 예에서 그는 개인 채널(있는 경우)에 대한 액세스는 물론 팀의 구성원도 아닌 Emma의 파일에 대한 링크를 제공했습니다.

이 상황에서 가장 나쁜 점은 액세스 권한이 직접 부여되기 때문에 Azure AD의 보안 그룹 어디에서도 이에 대한 정보를 볼 수 없다는 것입니다.

William이 보낸 PD 파일은 온라인 채팅 중뿐만 아니라 언제든지 Margaret에게 제공됩니다.

우리는 허리까지 올라간다

더 자세히 알아 보겠습니다. 먼저 사용자가 MS Teams에서 새 팀을 만들 때 정확히 어떤 일이 발생하는지 살펴보겠습니다.

• 팀 소유자와 팀 구성원을 포함하는 새로운 Office 365 보안 그룹이 Azure AD에 생성됩니다.
• SharePoint Online(이하 SPO)에서 새로운 팀 사이트가 생성됩니다.
• SPO에 세 개의 새로운 로컬(이 서비스에서만 유효) 그룹이 생성됩니다: 소유자, 구성원, 방문자
• Exchange Online에도 변경 사항이 적용됩니다.

MS Teams 데이터 및 데이터 위치

Teams는 데이터 웨어하우스나 플랫폼이 아닙니다. 모든 Office 365 솔루션과 통합됩니다.

• O365는 다양한 애플리케이션과 제품을 제공하지만 데이터는 항상 SharePoint Online(SPO), OneDrive(OD), Exchange Online, Azure AD와 같은 위치에 저장됩니다.
• MS Teams를 통해 공유하거나 수신하는 데이터는 Teams 자체가 아닌 해당 플랫폼에 저장됩니다.
• 이 경우 위험은 협업을 향한 추세가 점점 더 커지고 있다는 것입니다. SPO 및 OD 플랫폼의 데이터에 액세스할 수 있는 사람은 누구나 조직 내부 또는 외부의 모든 사람이 해당 데이터를 사용할 수 있도록 할 수 있습니다.
• 모든 팀 데이터(비공개 채널의 콘텐츠 제외)는 SPO 사이트에 수집되며 팀 생성 시 자동으로 생성됩니다.
• 생성된 각 채널에 대해 이 SPO 사이트의 문서 폴더에 하위 폴더가 자동으로 생성됩니다.
  • 채널의 파일은 SPO Teams 사이트 문서 폴더의 해당 하위 폴더(채널과 동일한 이름)에 업로드됩니다.
  • 채널로 전송된 이메일은 채널 폴더의 "이메일 메시지" 하위 폴더에 저장됩니다.

• 새 비공개 채널이 생성되면 해당 콘텐츠를 저장하기 위해 별도의 SPO 사이트가 생성되며, 이는 일반 채널에 대해 위에서 설명한 것과 동일한 구조입니다(중요 - 각 비공개 채널에 대해 고유한 특수 SPO 사이트가 생성됨).
• 채팅을 통해 전송된 파일은 보내는 사용자의 OneDrive 계정("Microsoft Teams 채팅 파일" 폴더)에 저장되며 채팅 참가자와 공유됩니다.
• 채팅 및 서신 내용은 각각 사용자 사서함과 팀 사서함의 숨겨진 폴더에 저장됩니다. 현재로서는 추가로 액세스할 수 있는 방법이 없습니다.

기화기에 물이 있고, 빌지에 물이 새고 있습니다.

맥락에서 기억해야 할 중요한 핵심 사항 정보 보안:

• 중요한 데이터에 대한 권한을 부여할 수 있는 사람에 대한 액세스 제어 및 이해가 최종 사용자 수준으로 이전됩니다. 제공되지 않음 완전 중앙 집중식 제어 또는 모니터링.
• 누군가가 회사 데이터를 공유하면 귀하의 사각지대가 다른 사람에게는 보이지만 귀하에게는 보이지 않습니다.

Azure AD의 보안 그룹을 통해 팀에 속한 사람 목록에는 Emma가 표시되지 않지만 Emma는 James가 보낸 링크인 특정 파일에 액세스할 수 있습니다.

마찬가지로 우리는 Teams 인터페이스에서 파일에 액세스하는 그녀의 능력에 대해서도 알 수 없습니다.

Emma가 어떤 객체에 접근할 수 있는지에 대한 정보를 얻을 수 있는 방법이 있나요? 예, 가능합니다. 하지만 SPO에서 의심되는 모든 항목 또는 특정 개체에 대한 액세스 권한을 검사해야만 합니다.

이러한 권한을 조사한 결과 Emma와 Chris가 SPO 수준에서 개체에 대한 권한을 갖고 있음을 알 수 있습니다.

크리스? 우리는 크리스를 전혀 모릅니다. 그는 어디서 왔나요?

그리고 그는 "보상" 팀의 구성원과 함께 이미 Azure AD 보안 그룹을 포함하고 있는 "로컬" SPO 보안 그룹에서 우리에게 "왔습니다".

어쩌면 MCAS(Microsoft 클라우드 앱 보안) 우리가 관심을 갖는 문제를 조명하고 필요한 수준의 이해를 제공할 수 있습니까?

안타깝습니다... Chris와 Emma는 볼 수 있지만 액세스 권한이 부여된 특정 사용자는 볼 수 없습니다.

O365에서 액세스를 제공하는 수준 및 방법 - IT 과제

조직 경계 내의 파일 저장소에 있는 데이터에 대한 액세스를 제공하는 가장 간단한 프로세스는 특별히 복잡하지 않으며 실제로 부여된 액세스 권한을 우회할 기회를 제공하지 않습니다.

O365에는 협업과 데이터 공유를 위한 많은 기회도 있습니다.

• 사용자는 정보 보안 분야에 대한 기본 전문 지식이 없거나 위험을 무시하고 모든 사람이 사용할 수 있는 파일에 대한 링크를 단순히 제공할 수 있는 경우 데이터에 대한 액세스를 제한하는 이유를 이해하지 못합니다. 발생
• 결과적으로 중요한 정보가 조직을 떠나 광범위한 사람들이 사용할 수 있게 될 수 있습니다.
• 또한 중복 액세스를 제공할 수 있는 기회도 많습니다.

O365의 Microsoft는 액세스 제어 목록을 변경하는 방법을 너무 많이 제공했습니다. 이러한 설정은 테넌트, 사이트, 폴더, 파일, 개체 자체 및 해당 링크 수준에서 사용할 수 있습니다. 공유 기능 설정을 구성하는 것은 중요하므로 무시해서는 안 됩니다.

우리는 이 매개변수 구성에 대한 약 XNUMX시간 XNUMX분 분량의 무료 비디오 코스를 수강할 수 있는 기회를 제공합니다. 링크는 이 기사의 시작 부분에 제공됩니다.

두 번 생각하지 않고 모든 외부 파일 공유를 차단할 수 있지만 다음과 같은 조치를 취해야 합니다.

• O365 플랫폼의 일부 기능은 사용되지 않은 상태로 유지됩니다. 특히 일부 사용자가 집이나 이전 직장에서 사용하는 데 익숙한 경우 더욱 그렇습니다.
• "고급 사용자"는 다른 방법을 통해 설정한 규칙을 다른 직원이 어길 수 있도록 "돕습니다".

공유 옵션 설정에는 다음이 포함됩니다.

• 각 애플리케이션에 대한 다양한 구성: OD, SPO, AAD 및 MS Teams(일부 구성은 관리자만 수행할 수 있고 일부는 사용자 본인만 수행할 수 있음)
• 테넌트 수준 및 각 특정 사이트 수준의 설정 구성

이는 정보 보안에 무엇을 의미합니까?

위에서 본 것처럼, 전체 권한 있는 데이터 액세스 권한은 단일 인터페이스에서 볼 수 없습니다.

따라서 각 특정 파일이나 폴더에 액세스할 수 있는 사람이 누구인지 이해하려면 다음 사항을 고려하여 액세스 매트릭스를 독립적으로 생성하고 이에 대한 데이터를 수집해야 합니다.

• Teams 구성원은 Azure AD 및 Teams에 표시되지만 SPO에는 표시되지 않습니다.
• 팀 소유자는 팀 목록을 독립적으로 확장할 수 있는 공동 소유자를 지정할 수 있습니다.
• 팀에는 외부 사용자(“게스트”)도 포함될 수 있습니다.
• 공유 또는 다운로드를 위해 제공된 링크는 Teams 또는 Azure AD에 표시되지 않습니다. SPO에서만 표시되며 수많은 링크를 지루하게 클릭한 후에만 표시됩니다.
• SPO 사이트 전용 액세스가 Teams에 표시되지 않습니다.

중앙 집중식 제어 부족 다음을 수행할 수 없음을 의미합니다.

• 누가 어떤 리소스에 액세스할 수 있는지 확인하세요.
• 중요한 데이터가 어디에 있는지 확인하세요
• 서비스 계획에 대한 개인 정보 보호 우선 접근 방식이 필요한 규제 요구 사항 충족
• 중요한 데이터에 대한 비정상적인 동작 감지
• 공격 범위 제한
• 평가를 바탕으로 위험을 줄이는 효과적인 방법을 선택하세요.

개요

결론적으로 말하자면,

• O365를 사용하기로 선택한 조직의 IT 부서의 경우 정보에 동의하는 O365 작업 정책을 작성하기 위해 공유 설정의 변경 사항을 기술적으로 구현하고 특정 매개 변수 변경의 결과를 정당화할 수 있는 자격을 갖춘 직원을 보유하는 것이 중요합니다. 보안 및 사업부
• 정보 보안을 위해서는 데이터 액세스에 대한 감사, IT 및 비즈니스 부서와 합의한 O365 정책 위반, 부여된 액세스의 정확성에 대한 분석을 자동으로 매일 또는 심지어 실시간으로 수행할 수 있는 것이 중요합니다. , 테넌트 O365의 각 서비스에 대한 공격을 확인합니다.

출처 : habr.com