אפליקציות הפכו לשחקניות מפתח בכל סביבת Microsoft 365: הן מריצות אוטומציות, משלבות שירותים וניגשות למידע רגיש. אבל רבות מהן מקבלות הרשאות יתר, משתמשות בשיטות אימות חלשות או ניגשות ליותר מידע ממה שהן צריכות.
המודלים המסורתיים של אמון באפליקציות כבר לא מספיקים. Microsoft מציעה בקרות שעוזרות לאכוף איך אפליקציות מבצעות אימות ולאילו משאבים הן יכולות להגיע, בהתאם לעקרונות Zero Trust. אלה שלוש הבקרות המעשיות ביותר:
- Entra application management policies: שליטה בשיטות האימות של אפליקציות.
- Selected permissions: הגבלת גישה ב-SharePoint וב-OneDrive לאתרים ספציפיים.
- RBAC for Applications ב-Exchange Online: הגבלת אפליקציות לתיבות דואר ספציפיות.
1מדיניות אימות לאפליקציות ב-Entra ID
למה זה חשוב: ארגונים רבים נשענים על client secrets ותעודות לאימות אפליקציות, ואלה עלולים להפוך בקלות לנקודות תורפה. ניהול לקוי של מחזור החיים או ברירות מחדל מתירניות מדי מובילים לפיזור של פרטי גישה, ל-shadow IT ולחשיפה.
מה חדש: אפשר להגדיר Application Authentication Method Policies דרך Microsoft Graph. המדיניות מאפשרת להתיר או לאסור סוגי פרטי גישה מסוימים, לאכוף כללי תפוגה ולחסום פרקטיקות לא מאובטחות, ברמת הטננט כולו או לכל אפליקציה בנפרד. Microsoft מספקת רשימה של סוגי הגבלות מוכנים, וכך האכיפה הופכת מעשית:
| הגבלה | מה היא עושה | דוגמה |
|---|---|---|
| asymmetricKeyLifetime | טווח חיים מרבי לתעודה (מפתח א-סימטרי) | תעודות של 30 ימים לכל היותר באפליקציות שנוצרו אחרי 01/01/2019 |
| audiences | הגבלת יצירה או קידום של אפליקציות לפי signInAudience | מניעת הגדרת אפליקציות חדשות כ-multi-tenant |
| customPasswordAddition | הגבלת secrets מותאמים אישית ביצירת אפליקציה או service principal | חסימת secrets שלא נוצרו על ידי Azure באפליקציות שנוצרו אחרי 01/01/2015 |
| nonDefaultUriAddition | חסימת identifier URIs שלא בפורמט ברירת המחדל | רק api://{appId} או api://{tenantId}/{appId} |
| passwordAddition | חסימה מלאה של password secrets | אין סיסמאות בכל האפליקציות החדשות שנוצרו אחרי 01/01/2019 |
| passwordLifetime | טווח חיים מרבי ל-password secrets | תוקף של 30 ימים לכל היותר ל-secrets שהונפקו אחרי 01/01/2015 |
| symmetricKeyAddition | חסימת מפתחות סימטריים | אין מפתחות סימטריים חדשים באפליקציות שנוצרו אחרי 01/01/2019 |
| symmetricKeyLifetime | טווח חיים מרבי למפתחות סימטריים | תוקף של 30 ימים לכל היותר למפתחות סימטריים חדשים |
| trustedCertificateAuthority | התרת תעודות רק מ-CAs מהימנים | דחיית כל תעודה מרשות שלא ברשימה |
- תעודות קצרות טווח לאפליקציות אוטומציה מגבילים את תוקף התעודה ל-30 ימים בכלי אוטומציה פנימיים, וכך מצמצמים את החשיפה במקרה של גניבה או דליפה.
- אין multi-tenant כברירת מחדל הטננט חוסם יצירת אפליקציות multi-tenant אלא אם אושרו במפורש, וכך מצטמצם הסיכון בשרשרת האספקה.
טיפ: הבקרות האלה חזקות במיוחד בארגונים עם כמה צוותי פיתוח, שבהם יצירת אפליקציות ורישומן מבוזרים.
2הרשאות Selected ב-SharePoint וב-OneDrive
למה זה חשוב: אפליקציות שצריכות גישה לקבצים קיבלו עד היום הרשאות ברמת הטננט כולו, כמו Sites.Read.All או Files.ReadWrite.All. זה סיכון מיותר, כי רוב האפליקציות צריכות גישה רק לכמה משאבים.
עם Selected permissions, אדמינים מגבילים במפורש את הגישה של אפליקציה לאתרי SharePoint או לכונני OneDrive שהיא באמת צריכה. איך זה עובד:
- מקצים לאפליקציה את ההרשאה Sites.Selected.
- מעניקים גישה לפי אתר או ברמת הכונן, דרך Graph API או PowerShell.
- האפליקציה לא יכולה לגשת לשום דבר אחר אלא אם אושר במפורש.
- כלי של שותף חיצוני מוגבל לאתר אחד אפליקציה של סוכנות שיווק מקבלת גישה רק לאתר הקמפיינים שלה, בלי גישה ליחידות עסקיות אחרות.
- דשבורד Power BI מוגבל ל-OneDrive של משתמש אחד כלי BI קורא רק מהתיקייה של מנהל המכירות, בלי נראות לתוכן של אחרים.
טיפ: אפשר להפוך את הקצאת ההרשאות לאוטומטית עם סקריפטי provisioning, כחלק מתהליך ה-CI/CD של פריסת האפליקציה.
3הגבלת גישת אפליקציות לתיבות דואר ב-Exchange
למה זה חשוב: כברירת מחדל, הרשאת Graph מסוג Mail.Read או Mail.Send נותנת לאפליקציה גישה לכל תיבות הדואר בארגון. זה מסוכן, במיוחד באפליקציות שצריכות רק תיבות משותפות או חשבונות מערכת.
RBAC for Applications ב-Exchange Online מאפשר לתת לאפליקציה הרשאה רק לתיבות דואר מסוימות. הוא מחליף את Application Access Policies, ש-Microsoft מגדירה היום כ-legacy וממליצה לא להשתמש בהן בהגדרות חדשות. איך זה עובד:
- יוצרים management scope שמגדיר אילו תיבות האפליקציה רשאית לראות, למשל לפי חברות בקבוצה.
- מקצים לאפליקציה ב-Exchange Online תפקיד (למשל Application Mail.Read) שמוגבל ל-scope הזה.
- מסירים את הרשאת ה-Graph הרחבה שניתנה ב-Entra ID. אחרת היא ממשיכה לחול על כל התיבות, כי ההרשאות משתי המערכות מצטרפות.
- אפליקציית Helpdesk מוגבלת לתיבות התמיכה האפליקציה ניגשת רק ל-support@company.com ול-techdesk@company.com, ולא יכולה לקרוא תיבות של הנהלה בכירה.
- כלי אוטומציה של HR מוגבל לתיבת ה-onboarding המערכת עובדת רק מול hr-onboarding@company.com בתהליכי המייל האוטומטיים.
טיפ: שלבו את זה עם Conditional Access ועם App Enforced Restrictions כדי לקבל מודל תחום מכל הכיוונים.
לסיכום: Zero Trust גם לאפליקציות
הבקרות האלה הן בסיס לממשל אפליקציות מודרני ב-Microsoft 365, וכל אחת מהן מתיישרת עם עקרונות Zero Trust:
- לא לסמוך כברירת מחדל, ובמיוחד לא על אפליקציות.
- תמיד לאמת: איזו שיטת אימות ואיזה היקף גישה.
- להגביל חשיפה בדיוק למה שנדרש.
צוותי אבטחה, זהויות ותאימות צריכים לסקור כבר היום את הרשאות האפליקציות הקיימות ולוודא שהן תואמות את השימוש בפועל. הכלים האלה הופכים את התהליך לניתן לאוטומציה, לביקורת ולאכיפה.
רוצים לדעת אילו מההגדרות האלה חסרות אצלכם? Griffin31 בודק את הטננט שלכם באופן רציף ומראה מה לתקן קודם.