Exchange Application Access Policies should be configured

Γιατί Έχει Σημασία

Χωρίς πολιτικές πρόσβασης εφαρμογών, οποιαδήποτε εφαρμογή έχει λάβει άδεια πρόσβασης στο Exchange Online μπορεί να αποκτήσει πρόσβαση σε όλα τα γραμματοκιβώτια του οργανισμού σας, ανεξάρτητα από τους ρόλους χρήστη ή την αναγκαιότητα. Αυτό δημιουργεί σημαντικό κίνδυνο έκθεσης δεδομένων, καθώς ένα μοναδικό παραβιασμένο διαπιστευτήριο εφαρμογής θα μπορούσε να οδηγήσει σε μαζική εξαγωγή ευαίσθητων δεδομένων email. Περιορίζοντας την πρόσβαση εφαρμογών μόνο σε εξουσιοδοτημένα μέλη μέσω ομάδων διανομής, εφαρμόζετε την αρχή των ελάχιστων προνομίων και μειώνετε την επιφάνεια επίθεσης.

Τι Ελέγχει το Aether365

Το Aether365 σαρώνει το περιβάλλον σας στο Exchange Online για να επαληθεύσει ότι οι πολιτικές πρόσβασης εφαρμογών έχουν ρυθμιστεί για καταχωρημένες εφαρμογές με δικαιώματα Exchange. Αυτός ο έλεγχος εμφανίζεται στον πίνακα ελέγχου του Aether365 στην κατηγορία υπηρεσίας microsoft-365 και αναφέρει τυχόν εφαρμογές που δεν διαθέτουν καθορισμένο πεδίο πολιτικής.

Τρόπος Επιδιόρθωσης

1. Συνδεθείτε στο Exchange Online χρησιμοποιώντας PowerShell:

   Connect-ExchangeOnline

2. Προσδιορίστε τις λεπτομέρειες εγγραφής εφαρμογής που απαιτούνται για την πολιτική:

   • Αναγνωριστικό εφαρμογής (από την εγγραφή εφαρμογής Azure AD)
   • Μια σύμβαση ονομασίας για την ομάδα ασφαλείας σας, όπως "AAP_" ακολουθούμενο από το αναγνωριστικό εφαρμογής
   • Μια περιγραφή για την πολιτική

3. Δημιουργήστε μια ομάδα ασφαλείας με δυνατότητα αποστολής email για να ορίσετε το πεδίο πολιτικής και, στη συνέχεια, αποκρύψτε την από την καθολική λίστα διευθύνσεων:

   $DGroup = New-DistributionGroup -Name $GroupName -Type Security
   Start-Sleep -Seconds 5
   Set-DistributionGroup -Identity $DGroup.WindowsEmailAddress -HiddenFromAddressListsEnabled $true

4. Χρησιμοποιήστε το cmdlet New-ApplicationAccessPolicy για να δημιουργήσετε την πολιτική, καθορίζοντας το αναγνωριστικό εφαρμογής, την ομάδα ασφαλείας ως πεδίο εφαρμογής και το RestrictAccess ως δικαίωμα πρόσβασης.

5. Προσθέστε εξουσιοδοτημένους χρήστες στην ομάδα ασφαλείας χρησιμοποιώντας το Add-DistributionGroupMember.

6. Επαληθεύστε την πολιτική με το Get-ApplicationAccessPolicy και, στη συνέχεια, δοκιμάστε την πρόσβαση για έναν συγκεκριμένο χρήστη με το Test-ApplicationAccessPolicy.

Συμμόρφωση

• Πλαίσιο: Άλλο
• Σοβαρότητα: Μεσαία
• Αυτός ο έλεγχος συμβάλλει στην ευθυγράμμιση με βέλτιστες πρακτικές ασφάλειας ταυτότητας, αλλά δεν συνδέεται με συγκεκριμένο πλαίσιο συμμόρφωσης.

Σχετικοί Πόροι

• Create and manage application access policies in Exchange Online

Microsoft references

• Auth limit mailbox access
• New applicationaccesspolicy
• Test applicationaccesspolicy