At least one Conditional Access policy is configured to enforce non persistent browser session for non-corporate devices
Warum dies wichtig ist
Nicht unternehmenseigene Geräte wie gemeinsam genutzte oder öffentliche Computer stellen ein erhebliches Risiko für Datenlecks dar, wenn Browsersitzungen persistent bleiben. Ohne eine Richtlinie, die nicht persistente Browsersitzungen erzwingt, können Benutzer aktive Sitzungen hinterlassen, die vertrauliche Microsoft 365-Daten für die nächste Person auf dem Gerät zugänglich machen. Durch die Konfiguration dieser Steuerung wird sichergestellt, dass Zugriffstokens beim Schließen des Browsers verworfen werden, wodurch die Exposition auf nicht vertrauenswürdigen Endpunkten reduziert wird.
Was Aether365 prüft
Aether365 überprüft, ob mindestens eine Conditional Access-Richtlinie konfiguriert ist, die nicht persistente Browsersitzungen für nicht unternehmenseigene Geräte erzwingt. Diese Prüfung erscheint in Ihrem Aether365-Dashboard unter dem Bereich microsoft-365 checks.
Behebung
- Melden Sie sich als Conditional Access-Administrator beim Azure Portal an.
- Navigieren Sie zu Azure Active Directory und wählen Sie dann Security, gefolgt von Conditional Access.
- Klicken Sie auf New policy und vergeben Sie einen Namen.
- Wählen Sie unter Assignments die Option Users and groups und dann All users oder eine spezifische Gruppe mit Benutzern nicht unternehmenseigener Geräte.
- Wählen Sie unter Cloud apps or actions die Option Office 365 (oder spezifische zu schützende Apps).
- Konfigurieren Sie unter Conditions die Option Device platforms, um unternehmenseigene Plattformen wie Windows 10 compliant oder iOS/iPadOS compliant auszuschließen. Alternativ können Sie über Locations vertrauenswürdige Unternehmens-IP-Bereiche ausschließen.
- Wählen Sie unter Access controls die Option Grant und aktivieren Sie Require session controls, dann wählen Sie Non persistent browser session.
- Setzen Sie Enable policy auf On oder Report only für Tests.
- Klicken Sie auf Create, um die Richtlinie zu speichern.
Compliance
- Framework: Other