ऑफिस 365 आणि मायक्रोसॉफ्ट टीम्स - सहकार्याची सुलभता आणि सुरक्षिततेवर प्रभाव

या लेखात, आम्ही वापरकर्ते, IT प्रशासक आणि माहिती सुरक्षा कर्मचार्‍यांच्या दृष्टिकोनातून Microsoft टीम्ससह कार्य करणे कसे दिसते हे दर्शवू इच्छितो.

प्रथम, टीम्स त्यांच्या Office 365 (थोडक्यात O365) ऑफरमध्ये इतर Microsoft उत्पादनांपेक्षा कसे वेगळे आहेत हे स्पष्ट करूया.

टीम्स हा केवळ क्लायंट आहे आणि त्याचे स्वतःचे क्लाउड अॅप्लिकेशन नाही. आणि ते विविध O365 अनुप्रयोगांमध्ये व्यवस्थापित केलेला डेटा होस्ट करते.

जेव्हा वापरकर्ते टीम्स, शेअरपॉईंट ऑनलाइन (यापुढे SPO म्हणून संदर्भित) आणि OneDrive मध्ये काम करतात तेव्हा "अंडर द हुड" काय घडत आहे ते आम्ही तुम्हाला दाखवू.

जर तुम्हाला Microsoft टूल्स (एकूण अभ्यासक्रमाच्या वेळेपैकी 1 तास) वापरून सुरक्षितता सुनिश्चित करण्याच्या व्यावहारिक भागाकडे जायचे असेल, तर आम्ही उपलब्ध असलेला ऑफिस 365 शेअरिंग ऑडिट कोर्स ऐकण्याची शिफारस करतो. दुव्यावर. या कोर्समध्ये O365 मधील शेअरिंग सेटिंग्ज देखील समाविष्ट आहेत, ज्या केवळ PowerShell द्वारे बदलल्या जाऊ शकतात.

Acme Co. अंतर्गत प्रकल्प टीमला भेटा.

हा संघ तयार झाल्यानंतर आणि या संघाच्या मालकाने, अमेलियाने त्याच्या सदस्यांना योग्य प्रवेश मंजूर केल्यानंतर, संघांमध्ये हा संघ कसा दिसतो:

संघ कामाला लागतो

लिंडा सूचित करते की तिने तयार केलेल्या चॅनेलमध्ये ठेवलेल्या बोनस पेमेंट योजनेची फाइल फक्त जेम्स आणि विल्यम यांनाच ऍक्सेस केली जाईल, ज्यांच्याशी त्यांनी चर्चा केली.

जेम्स, त्या बदल्यात, या फाईलमध्ये प्रवेश करण्यासाठी एक लिंक पाठवते एचआर कर्मचारी, एम्मा, जी टीमचा भाग नाही.

विल्यम एमएस टीम्स चॅटमधील दुसर्‍या टीम सदस्याला तृतीय पक्षाच्या वैयक्तिक डेटासह करार पाठवतो:

आम्ही हुड अंतर्गत चढणे

Zoey, अमेलियाच्या मदतीने, आता टीममधून कोणालाही जोडू किंवा काढू शकतो:

लिंडा, तिच्या दोन सहकाऱ्यांद्वारे वापरण्याच्या उद्देशाने गंभीर डेटासह एक दस्तऐवज पोस्ट करत आहे, ते तयार करताना चॅनल प्रकारात चूक झाली आणि फाइल सर्व टीम सदस्यांसाठी उपलब्ध झाली:

सुदैवाने, O365 साठी मायक्रोसॉफ्ट अॅप्लिकेशन आहे ज्यामध्ये तुम्ही (इतर उद्देशांसाठी पूर्णपणे वापरून) त्वरीत पाहू शकता सर्व वापरकर्त्यांना कोणत्या गंभीर डेटामध्ये प्रवेश आहे?, चाचणीसाठी वापरकर्ता वापरून जो फक्त सर्वात सामान्य सुरक्षा गटाचा सदस्य आहे.

जरी फाईल्स खाजगी चॅनेलमध्ये स्थित असल्या तरीही, ही हमी असू शकत नाही की केवळ काही लोकांच्या वर्तुळात प्रवेश असेल.

जेम्सच्या उदाहरणात, त्याने एम्माच्या फाईलची लिंक दिली, जी टीमचा सदस्य देखील नाही, खाजगी चॅनेलमध्ये प्रवेश करू द्या (जर ते असेल तर).

या परिस्थितीची सर्वात वाईट गोष्ट अशी आहे की आम्हाला Azure AD मधील सुरक्षा गटांमध्ये कोठेही याबद्दल माहिती दिसणार नाही, कारण प्रवेश अधिकार त्यास थेट दिलेले आहेत.

विल्यमने पाठवलेली पीडी फाईल मार्गारेटला कधीही उपलब्ध होईल, आणि केवळ ऑनलाइन चॅटिंग करतानाच नाही.

आम्ही कंबरेपर्यंत चढतो

चला ते पुढे काढूया. प्रथम, वापरकर्त्याने एमएस टीम्समध्ये नवीन टीम तयार केल्यावर नेमके काय होते ते पाहूया:

• Azure AD मध्ये एक नवीन Office 365 सुरक्षा गट तयार केला आहे, ज्यामध्ये संघ मालक आणि कार्यसंघ सदस्य समाविष्ट आहेत
• SharePoint Online मध्ये एक नवीन टीम साइट तयार केली जात आहे (यापुढे SPO म्हणून संदर्भित)
• SPO मध्ये तीन नवीन स्थानिक (केवळ या सेवेमध्ये वैध) गट तयार केले आहेत: मालक, सदस्य, अभ्यागत
• एक्सचेंज ऑनलाइनमध्येही बदल केले जात आहेत.

एमएस टीम डेटा आणि तो कुठे राहतो

टीम्स हे डेटा वेअरहाऊस किंवा प्लॅटफॉर्म नाही. हे सर्व Office 365 सोल्यूशन्ससह एकत्रित केले आहे.

• O365 अनेक अनुप्रयोग आणि उत्पादने ऑफर करते, परंतु डेटा नेहमी खालील ठिकाणी संग्रहित केला जातो: SharePoint Online (SPO), OneDrive (OD), Exchange Online, Azure AD
• तुम्ही MS Teams द्वारे शेअर करता किंवा प्राप्त करता असा डेटा त्या प्लॅटफॉर्मवर संग्रहित केला जातो, टीम्समध्येच नाही
• या प्रकरणात, जोखीम म्हणजे सहकार्याकडे वाढणारा कल. SPO आणि OD प्लॅटफॉर्ममधील डेटामध्ये प्रवेश असलेले कोणीही ते संस्थेच्या आत किंवा बाहेरील कोणालाही उपलब्ध करून देऊ शकतात
• सर्व टीम डेटा (खाजगी चॅनेलची सामग्री वगळून) SPO साइटवर संकलित केला जातो, टीम तयार करताना स्वयंचलितपणे तयार केला जातो.
• तयार केलेल्या प्रत्येक चॅनेलसाठी, या SPO साइटमधील दस्तऐवज फोल्डरमध्ये एक सबफोल्डर स्वयंचलितपणे तयार केला जातो:
  • चॅनेलमधील फाइल्स SPO टीम्स साइटच्या दस्तऐवज फोल्डरच्या संबंधित सबफोल्डरवर अपलोड केल्या जातात (चॅनेल प्रमाणेच नाव दिले जाते)
  • चॅनेलला पाठवलेले ईमेल चॅनल फोल्डरच्या "ईमेल संदेश" सबफोल्डरमध्ये संग्रहित केले जातात.

• जेव्हा नवीन खाजगी चॅनल तयार केले जाते, तेव्हा त्याची सामग्री संग्रहित करण्यासाठी एक वेगळी SPO साइट तयार केली जाते, ज्याची रचना नियमित चॅनेलसाठी वर वर्णन केल्याप्रमाणे असते (महत्त्वाचे - प्रत्येक खाजगी चॅनेलसाठी स्वतःची विशेष SPO साइट तयार केली जाते)
• चॅटद्वारे पाठवलेल्या फाइल्स पाठवणाऱ्या वापरकर्त्याच्या OneDrive खात्यात ("Microsoft Teams Chat Files" फोल्डरमध्ये) सेव्ह केल्या जातात आणि चॅट सहभागींसोबत शेअर केल्या जातात.
• चॅट आणि पत्रव्यवहार सामग्री अनुक्रमे वापरकर्ता आणि टीम मेलबॉक्सेसमध्ये, लपविलेल्या फोल्डर्समध्ये संग्रहित केली जाते. त्यांच्याकडे अतिरिक्त प्रवेश मिळविण्याचा सध्या कोणताही मार्ग नाही.

कार्बोरेटरमध्ये पाणी आहे, बिल्जमध्ये गळती आहे

संदर्भात लक्षात ठेवण्यासाठी महत्त्वाचे मुद्दे माहिती संरक्षण:

• प्रवेश नियंत्रण, आणि महत्त्वाच्या डेटाचे अधिकार कोणाला दिले जाऊ शकतात याची समज, अंतिम वापरकर्ता स्तरावर हस्तांतरित केली जाते. दिले नाही संपूर्ण केंद्रीकृत नियंत्रण किंवा देखरेख.
• जेव्हा एखादी व्यक्ती कंपनी डेटा सामायिक करते, तेव्हा तुमचे ब्लाइंड स्पॉट इतरांना दिसतात, परंतु तुम्हाला दिसत नाहीत.

टीमचा भाग असलेल्या लोकांच्या यादीमध्ये आम्हाला एम्मा दिसत नाही (Azure AD मधील सुरक्षा गटाद्वारे), परंतु तिला एका विशिष्ट फाईलमध्ये प्रवेश आहे, ज्याची लिंक जेम्सने तिला पाठवली आहे.

त्याचप्रमाणे, टीम इंटरफेसमधून फायलींमध्ये प्रवेश करण्याच्या तिच्या क्षमतेबद्दल आम्हाला माहिती नाही:

एम्मा कोणत्या वस्तूचा अ‍ॅक्सेस आहे याची माहिती मिळवण्याचा कोणताही मार्ग आहे का? होय, आम्ही करू शकतो, परंतु केवळ SPO मधील प्रत्येक गोष्टीच्या किंवा विशिष्ट वस्तूच्या प्रवेश अधिकारांचे परीक्षण करून ज्याबद्दल आम्हाला शंका आहे.

अशा अधिकारांचे परीक्षण केल्यावर, आम्ही पाहू की एम्मा आणि ख्रिस यांना एसपीओ स्तरावर ऑब्जेक्टचे अधिकार आहेत.

ख्रिस? आम्ही कोणत्याही ख्रिसला ओळखत नाही. तो कुठून आला?

आणि तो आमच्याकडे “स्थानिक” SPO सुरक्षा गटाकडून “आला”, ज्यामध्ये, आधीच “कम्पेन्सेशन” टीमच्या सदस्यांसह Azure AD सुरक्षा गटाचा समावेश आहे.

कदाचित, मायक्रोसॉफ्ट क्लाउड अॅप सुरक्षा (MCAS) आपल्याला स्वारस्य असलेल्या मुद्द्यांवर प्रकाश टाकण्यास सक्षम असेल, आवश्यक स्तराची समज प्रदान करेल?

अरेरे, नाही... जरी आम्ही ख्रिस आणि एम्मा यांना पाहण्यास सक्षम असू, परंतु प्रवेश मंजूर केलेल्या विशिष्ट वापरकर्त्यांना आम्ही पाहू शकणार नाही.

स्तर आणि O365 मध्ये प्रवेश प्रदान करण्याच्या पद्धती - IT आव्हाने

संस्थांच्या परिघात फाइल स्टोरेजवरील डेटामध्ये प्रवेश प्रदान करण्याची सर्वात सोपी प्रक्रिया विशेषतः क्लिष्ट नाही आणि व्यावहारिकरित्या मंजूर प्रवेश अधिकारांना बायपास करण्याची संधी प्रदान करत नाही.

O365 मध्ये सहयोग आणि डेटा शेअर करण्याच्या अनेक संधी देखील आहेत.

• वापरकर्त्यांना हे समजत नाही की जर ते प्रत्येकासाठी उपलब्ध असलेल्या फाईलची लिंक फक्त प्रदान करू शकत असतील तर डेटावर प्रवेश का प्रतिबंधित करतात, कारण त्यांच्याकडे माहिती सुरक्षिततेच्या क्षेत्रात मूलभूत कौशल्य नाही किंवा ते त्यांच्या कमी संभाव्यतेबद्दल गृहीत धरून जोखमीकडे दुर्लक्ष करतात. घटना
• परिणामी, गंभीर माहिती संस्था सोडू शकते आणि लोकांच्या विस्तृत श्रेणीसाठी उपलब्ध होऊ शकते.
• याव्यतिरिक्त, निरर्थक प्रवेश प्रदान करण्याच्या अनेक संधी आहेत.

O365 मधील मायक्रोसॉफ्टने प्रवेश नियंत्रण सूची बदलण्याचे बरेच मार्ग प्रदान केले आहेत. अशा सेटिंग्ज भाडेकरू, साइट्स, फोल्डर्स, फाइल्स, स्वतः वस्तू आणि त्यांच्या लिंक्सच्या पातळीवर उपलब्ध आहेत. सामायिकरण क्षमता सेटिंग्ज कॉन्फिगर करणे महत्वाचे आहे आणि त्याकडे दुर्लक्ष केले जाऊ नये.

आम्ही या पॅरामीटर्सच्या कॉन्फिगरेशनवर विनामूल्य, सुमारे दीड तासाचा व्हिडिओ कोर्स घेण्याची संधी प्रदान करतो, ज्याची लिंक या लेखाच्या सुरुवातीला प्रदान केली आहे.

दोनदा विचार न करता, आपण सर्व बाह्य फाइल सामायिकरण अवरोधित करू शकता, परंतु नंतर:

• O365 प्लॅटफॉर्मच्या काही क्षमता न वापरलेल्या राहतील, विशेषत: काही वापरकर्ते त्यांना घरी किंवा पूर्वीच्या नोकरीवर वापरण्याची सवय असल्यास
• "प्रगत वापरकर्ते" इतर कर्मचार्‍यांना तुम्ही इतर माध्यमातून सेट केलेले नियम तोडण्यास "मदत" करतील

सामायिकरण पर्याय सेट अप करण्यामध्ये हे समाविष्ट आहे:

• प्रत्येक ऍप्लिकेशनसाठी विविध कॉन्फिगरेशन: OD, SPO, AAD आणि MS टीम्स (काही कॉन्फिगरेशन फक्त प्रशासकाद्वारे केले जाऊ शकतात, काही फक्त वापरकर्त्यांद्वारे केले जाऊ शकतात)
• भाडेकरू स्तरावर आणि प्रत्येक विशिष्ट साइटच्या स्तरावर सेटिंग्ज कॉन्फिगरेशन

माहिती सुरक्षिततेसाठी याचा अर्थ काय आहे?

आम्ही वर पाहिल्याप्रमाणे, संपूर्ण अधिकृत डेटा प्रवेश अधिकार एकाच इंटरफेसमध्ये पाहिले जाऊ शकत नाहीत:

अशा प्रकारे, प्रत्येक विशिष्ट फाइल किंवा फोल्डरमध्ये कोणाला प्रवेश आहे हे समजून घेण्यासाठी, तुम्हाला खालील गोष्टी लक्षात घेऊन स्वतंत्रपणे प्रवेश मॅट्रिक्स तयार करणे आवश्यक आहे, त्यासाठी डेटा गोळा करणे आवश्यक आहे:

• संघाचे सदस्य Azure AD आणि Teams मध्ये दृश्यमान आहेत, परंतु SPO मध्ये नाहीत
• संघ मालक सह-मालकांची नियुक्ती करू शकतात, जे स्वतंत्रपणे संघ सूची विस्तृत करू शकतात
• संघांमध्ये बाह्य वापरकर्ते देखील समाविष्ट असू शकतात - "अतिथी"
• सामायिकरण किंवा डाउनलोड करण्यासाठी प्रदान केलेले दुवे टीम्स किंवा Azure AD मध्ये दृश्यमान नाहीत - फक्त SPO मध्ये, आणि केवळ एक टन लिंक्सवर क्लिक केल्यानंतर त्रासदायक
• टीम्समध्ये फक्त SPO साइटवर प्रवेश दिसत नाही

केंद्रीकृत नियंत्रणाचा अभाव म्हणजे तुम्ही हे करू शकत नाही:

• कोणाकडे कोणत्या संसाधनांमध्ये प्रवेश आहे ते पहा
• गंभीर डेटा कुठे आहे ते पहा
• सेवा नियोजनासाठी गोपनीयता-प्रथम दृष्टिकोन आवश्यक असलेल्या नियामक आवश्यकतांची पूर्तता करा
• गंभीर डेटाशी संबंधित असामान्य वर्तन शोधा
• आक्रमण क्षेत्र मर्यादित करा
• त्यांच्या मूल्यांकनावर आधारित जोखीम कमी करण्यासाठी एक प्रभावी मार्ग निवडा

सारांश

निष्कर्ष म्हणून, आपण असे म्हणू शकतो

• O365 सह काम करण्‍याची निवड करणार्‍या संस्थांच्या IT विभागांसाठी, सामायिकरण सेटिंग्जमध्‍ये तांत्रिकदृष्ट्या बदल अंमलात आणू शकतील आणि O365 सोबत काम करण्‍याची धोरणे लिहिण्‍यासाठी माहितीसह सहमती दर्शविण्‍यासाठी काही पॅरामीटर्स बदलण्‍याचे परिणाम औचित्य सिद्ध करण्‍यासाठी पात्र कर्मचारी असणे महत्त्वाचे आहे. सुरक्षा आणि व्यवसाय युनिट
• माहिती सुरक्षेसाठी स्वयंचलित दैनंदिन आधारावर किंवा रिअल टाइममध्ये डेटा ऍक्सेसचे ऑडिट, आयटी आणि व्यवसाय विभागांशी सहमत असलेल्या O365 धोरणांचे उल्लंघन आणि मंजूर प्रवेशाच्या अचूकतेचे विश्लेषण करणे महत्त्वाचे आहे. , तसेच त्यांच्या भाडेकरू O365 मधील प्रत्येक सेवांवर होणारे हल्ले पाहण्यासाठी

स्त्रोत: www.habr.com