Exchange Application Access Policies should be configured

Proč na tom záleží

Bez pravidel přístupu k aplikacím může každá aplikace, které byla udělena oprávnění Exchange Online, přistupovat ke všem poštovním schránkám ve vaší organizaci bez ohledu na role nebo potřeby uživatelů. To vytváří značné riziko úniku dat, protože jediný kompromitovaný přihlašovací údaj aplikace by mohl vést k hromadné exfiltraci citlivých e-mailových dat. Omezením přístupu aplikací pouze na autorizované členy prostřednictvím distribučních skupin prosazujete princip nejnižších oprávnění a snižujete svou útočnou plochu.

Co Aether365 kontroluje

Aether365 prohledává vaše prostředí Exchange Online a ověřuje, zda jsou pro registrované aplikace s oprávněními Exchange nakonfigurována pravidla přístupu k aplikacím. Tato kontrola se zobrazí na vašem dashboardu Aether365 v kategorii služeb microsoft-365 a hlásí všechny aplikace, kterým chybí definovaný rozsah pravidel.

Jak to opravit

1. Připojte se k Exchange Online pomocí PowerShellu:

   Connect-ExchangeOnline

2. Zjistěte podrobnosti o registraci své aplikace potřebné pro pravidlo:

   • ID aplikace (z registrace aplikace v Azure AD)
   • Zásadu pojmenování pro vaši bezpečnostní skupinu, například "AAP_" následované ID aplikace
   • Popis pro pravidlo

3. Vytvořte e-mailovou povolenou bezpečnostní skupinu pro definování rozsahu pravidel a poté ji skryjte z globálního adresáře:

   $DGroup = New-DistributionGroup -Name $GroupName -Type Security
   Start-Sleep -Seconds 5
   Set-DistributionGroup -Identity $DGroup.WindowsEmailAddress -HiddenFromAddressListsEnabled $true

4. Použijte rutinu New-ApplicationAccessPolicy k vytvoření pravidla, kde zadáte ID aplikace, bezpečnostní skupinu jako rozsah a RestrictAccess jako právo přístupu.

5. Přidejte autorizované uživatele do bezpečnostní skupiny pomocí Add-DistributionGroupMember.

6. Ověřte pravidlo pomocí Get-ApplicationAccessPolicy a poté otestujte přístup pro konkrétního uživatele pomocí Test-ApplicationAccessPolicy.

Soulad s předpisy

• Rámec: Jiné
• Závažnost: Střední
• Tato kontrola pomáhá sladit se s osvědčenými postupy identity bezpečnosti, ale není vázána na konkrétní rámec souladu s předpisy.

Související zdroje

• Vytváření a správa pravidel přístupu k aplikacím v Exchange Online

Microsoft references

• Auth limit mailbox access
• New applicationaccesspolicy
• Test applicationaccesspolicy