חברת השקעות גלובלית רואה כל יום מה באמת מוגדר ב-Microsoft 365 E5 שלה

האתגר

• סביבה גדולה. מאות הגדרות אבטחה ב-Microsoft 365 E5, וקשה לדעת בכל רגע מה מוגדר ומה השתנה.
• מדיניות גישה מורכבת. מדיניות Conditional Access שבנויה על קבוצות גדולות של משתמשים. משתמש או אפליקציה שלא נכנסו לקבוצה נשארים בלי הגנה, בלי שום התראה.
• זהויות של אפליקציות. אפליקציות עם סודות (client secrets) והרשאות חזקות, בלי תמונה אחת שמרכזת אותן.
• איומים חדשים כל הזמן. כשמתפרסמת מתקפה חדשה, צריך לדעת מהר אם היא רלוונטית לסביבה.

מה עשינו יחד

צוות OnCloud עבד עם צוות האבטחה של החברה בסדנאות עבודה, ו-Griffin31 בדק כל יום מה השתנה בסביבה.

1. 1בדיקה יומית של כל ההגדרות

   כל יום Griffin31 בודק 208 בקרות ב-6 מוצרי מיקרוסופט: Entra ID, Intune, Defender, Exchange, SharePoint ו-Teams.

   היתרון: צוות האבטחה רואה מה מוגדר באמת, וכל תיקון מאומת כבר בבדיקה של מחרת.

2. 2תכנון מחדש של Conditional Access

   בסדנאות עבודה תכננו מעבר ממדיניות שחלה על קבוצות, למדיניות שחלה על כולם עם החרגות מוגדרות. בנוסף: Protected Actions, Strict Location לחשבונות שירות, וגישה ל-Copilot לפי רמת הסיכון הפנימי של המשתמש.

   היתרון: משתמש או אפליקציה חדשים מקבלים הגנה מהיום הראשון, ולא נשכחים מחוץ למדיניות.

3. 3חשבונות חירום

   הוגדרו חשבונות חירום (break-glass) לפי ההמלצה, וזה אומת בבדיקה היומית.

   היתרון: גם אם מדיניות גישה נכשלת, הארגון לא ננעל מחוץ לסביבה שלו.

4. 4רק מכשיר תקין נכנס

   מדיניות Conditional Access שדורשת מכשיר תקין, ומחשב Windows שמצורף לארגון.

   היתרון: סיסמה או טוקן שנגנבו לא מספיקים כדי להיכנס ממכשיר שהארגון לא מנהל.

5. 5כל איום חדש נבדק מול הסביבה

   לכל איום חדש בדקנו אילו הגנות כבר קיימות בסביבה ומה חסר: Storm-2949, שרשרת האספקה של OAuth, ו-WinRAR עם כופרה. בסקירת Storm-2949 אושר ש-Device Code חסום ושהמנהלים מתחברים עם FIDO2.

   היתרון: במקום התראה כללית, הצוות מקבל רשימה קצרה של מה לסגור אצלו. בהמשך הופעלה גם חסימה של קריאות Win32 ממאקרו של Office.

6. 6זהויות של אפליקציות

   כלי שבנינו לסקירת רישומי אפליקציות ב-Entra, הנחיה לרישוי Workload Identities, וכלל התראה ב-Sentinel לאפליקציות בסיכון.

   היתרון: תמונה אחת של האפליקציות עם ההרשאות החזקות, והכנה להגן עליהן עם Conditional Access.

7. 7Copilot ו-Power Platform

   ממצאים מרכזיים לממשל: מדיניות DLP לסוכני Copilot, הגבלת מחברים, ובקרה על מיילים שיוצאים מ-Power Automate.

   היתרון: שליטה בדרכים שבהן מידע יכול לצאת דרך כלי AI ואוטומציה.

מה השתנה