Microsoft által kezelt feltételes hozzáférési szabályok: mi változik a cég bérlőjében?
A legtöbb sikeres Microsoft 365-támadás ma is identitáson keresztül történik: ellopott jelszóval, adathalászattal, régi hitelesítési protokollokon keresztül. A Microsoft ezért úgynevezett Microsoft által kezelt feltételes hozzáférési szabályokat (Microsoft-managed Conditional Access policies) telepít a jogosult bérlőkbe – a Microsoft szerint ezek az MFA-t megkövetelő szabályok több mint 99%-kal csökkentik a fiókfeltörés kockázatát.
Vezetői összefoglaló
- A szabályok „csak jelentés” (report-only) módban jelennek meg, és ha ott maradnak, a Microsoft legalább 30 nap után bekapcsolja őket.
- A bekapcsolás előtt 2 héttel e-mailben és az üzenetközpontban érkezik értesítés.
- A szabályok nem törölhetők és nem nevezhetők át, de kikapcsolhatók, illetve kivételek adhatók hozzájuk.
- A vészhelyzeti fiókokat ki kell zárni – különben kizáródás fenyeget.
Mely szabályokról van szó?
A Microsoft Learn aktuális listája szerint többek között:
- régi (legacy) hitelesítés blokkolása – a Microsoft elemzése szerint a jelszószóró támadások több mint 99%-a ilyen protokollokat használ;
- az eszközkód-folyamat (device code flow) blokkolása, amelyet ritkán használnak legitim célra, de a támadók gyakran;
- MFA a Microsoft felügyeleti portálokat használó 14 kiemelt adminisztrátori szerepkörnek;
- MFA minden felhasználónak;
- MFA és újrahitelesítés kockázatos bejelentkezéseknél;
- magas kockázatú felhasználók blokkolása, illetve kötelező kockázatkezelés;
- előzetes verzióban: a magas kockázatú AI-ágensek hozzáférésének blokkolása.
A feltételes hozzáférés használatához a Learn szerint Microsoft Entra ID P2 vagy Microsoft 365 Business Premium licenc szükséges az itt leírt kezelt szabályokhoz; egyes szabályok P1/P2 bérlőkre vonatkoznak.
Miért ne várja meg az automatikus bekapcsolást?
Egy automatikusan bekapcsolt szabály nem ismeri a cég sajátosságait: a régi szkennert, amely SMTP-n küld e-mailt, a tárgyalótermi eszközöket, a külső partnerek fiókjait. Ha ezek a bekapcsolás pillanatában akadnak el, az üzemzavar. Ha viszont előre átnézik a „Policy impact” fület és a bejelentkezési naplókat, a kivételek és a szükséges átállások tervezetten elvégezhetők.
Javasolt lépések
- Az Entra felügyeleti központban a „Created by: Microsoft” szabályok áttekintése.
- A report-only időszakban a hatáselemzés és a bejelentkezési naplók vizsgálata.
- Vészhelyzeti fiókok kizárása, dokumentálása.
- Ha további módosítás kell, a szabály duplikálása és saját szabályként való kezelése.
- Tervezett bekapcsolás – lehetőleg a Microsoft határideje előtt, a felhasználók tájékoztatásával.
Gyakori kérdések
Mi történik, ha nem csinálunk semmit?
A report-only állapotban hagyott szabályokat a Microsoft legalább 30 nappal a megjelenésük után bekapcsolja; egyes esetekben ennél gyorsabban, amiről külön értesítést küld.
Ütközhetnek a meglévő szabályainkkal?
A kezelt szabályok a többi feltételes hozzáférési szabállyal együtt értékelődnek. Éppen ezért érdemes az összképet egyben átnézni.
Hogyan követhető, ha a Microsoft módosít egy szabályt?
Az auditnaplóban a „Microsoft Managed Policy Manager” által kezdeményezett, „Policy” kategóriájú bejegyzések mutatják a változásokat.
A Microsoft által kezelt szabályok jó kiindulópontot adnak – de a cég működését csak a cég ismeri. Egy identitásbiztonsági felmérés során áttekintjük a szabályokat, a kivételeket és a kockázatos fiókokat.
Kapcsolódó cikkek
Ingyenes Microsoft 365 biztonsági gyorsfelmérés
Egy rövid, kötöttségmentes felmérés során megmutatjuk a legnagyobb kockázatokat és a gyorsan javítható pontokat – vezetői összefoglalóval.
