Ensure that an exclusionary Geographic Access Policy is considered

Miért fontos ez

A földrajzi hely alapú hozzáférési szabályzatok kritikus védelmet nyújtanak a kockázatos régiókból érkező jogosulatlan hozzáférések ellen. Helyalapú korlátozások nélkül a bérlője ki van téve olyan tartós fenyegetéseknek, mint a szervezet működési körén kívül eső országokból származó fejlett perzisztens fenyegetések. Egy rosszul konfigurált szabályzat kizárhatja a rendszergazdákat, de egy jól megtervezett kizárásos megközelítés jelentősen csökkenti a támadási felületet.

Mit ellenőriz az Aether365

Az Aether365 ellenőrzi, hogy a feltételes hozzáférési szabályzatai tartalmaznak-e földrajzi helyfeltételt a hatókörön kívülinek minősített országokból érkező hozzáférés blokkolására. Ez az ellenőrzés az Aether365 irányítópultján az Entra ID ellenőrzések alatt jelenik meg, és megjelöli azokat a bérlőket, amelyek nem rendelkeznek helyalapú blokkoló szabályzattal.

Javítás menete

1. A Microsoft Entra admin center vagy a PowerShell segítségével határozza meg a földrajzi helyfeltételeket. Először a Get-MgIdentityConditionalAccessNamedLocation parancsmaggal kérdezze le a nevesített helyazonosítókat.
2. Hozzon létre egy feltételes hozzáférési feltételkészletet a PowerShell segítségével. Konfigurálja az alkalmazásokat, felhasználókat és helyek objektumait. Például állítsa be a $conditions.Locations.IncludeLocations értékét a letiltani kívánt ország helyazonosítójára, a $controls.BuiltInControls értékét pedig "block" értékre.
3. Egy meglévő feltételes hozzáférési szabályzat frissítéséhez futtassa a Update-MgIdentityConditionalAccessPolicy -PolicyId <szabályzatazonosító> -Conditions $conditions -GrantControls $controls parancsot.
4. Új szabályzat létrehozásához futtassa a New-MgIdentityConditionalAccessPolicy -Name "Magas kockázatú országok blokkolása" -State enabled -Conditions $conditions -GrantControls $controls parancsot.
5. A szabályzat engedélyezése előtt tesztelje csak jelentés módban az Azure Portal használatával, hogy ellenőrizze a felhasználókra gyakorolt hatást. Mindig zárja ki a vészhelyzeti break-glass fiókokat és a megbízható helyeket (például VPN IP-címeket) a kizárások elkerülése érdekében.

Megfelelőség

• CIS Microsoft Azure Foundations 3.0.0 2.2.2 (2. szint)
• Microsoft Cloud Security Benchmark IM-7
• EIDSCA (Entra ID Security Config Assessment)

Kapcsolódó források

• Conditional Access: Hozzáférés blokkolása hely alapján
• Mi az a Conditional Access csak jelentés mód?
• IM-7: Erőforrás-hozzáférés korlátozása feltételek alapján

Microsoft references

• Howto conditional access policy location
• Concept conditional access report only
• Mcsb identity management