Exchange Application Access Policies should be configured

Miért fontos ez?

Alkalmazáshozzáférési szabályzatok nélkül minden olyan alkalmazás, amely Exchange Online engedélyekkel rendelkezik, hozzáférhet a szervezet összes postafiókjához, függetlenül a felhasználók szerepkörétől vagy szükségleteitől. Ez jelentős adatkitettségi kockázatot teremt, mivel egyetlen feltört alkalmazáshitelesítő adat is érzékeny e-mail adatok tömeges kiszivárgásához vezethet. Az alkalmazások hozzáférésének csak a terjesztési csoportokon keresztül engedélyezett tagokra korlátozásával érvényesítheti a legkisebb jogosultság elvét és csökkentheti a támadási felületet.

Mit ellenőriz az Aether365?

Az Aether365 átvizsgálja az Exchange Online környezetét, hogy ellenőrizze, konfigurálva vannak-e alkalmazáshozzáférési szabályzatok a Exchange engedélyekkel rendelkező regisztrált alkalmazásokhoz. Ez az ellenőrzés a microsoft-365 szolgáltatáskategória alatt jelenik meg az Aether365 irányítópultján, és jelenti azokat az alkalmazásokat, amelyekhez nem tartozik meghatározott szabályzathatáskör.

Hogyan lehet javítani?

1. Csatlakozzon az Exchange Onlinehoz a PowerShell segítségével:

   Connect-ExchangeOnline

2. Azonosítsa a szabályzathoz szükséges alkalmazásregisztrációs adatokat:

   • Alkalmazásazonosító (az Azure AD alkalmazásregisztrációból)
   • Elnevezési konvenció a biztonsági csoporthoz, például "AAP_" majd az alkalmazásazonosító
   • Leírás a szabályzathoz

3. Hozzon létre egy levelezésre engedélyezett biztonsági csoportot a szabályzathatáskör meghatározásához, majd rejtse el a globális címjegyzékből:

   $DGroup = New-DistributionGroup -Name $GroupName -Type Security
   Start-Sleep -Seconds 5
   Set-DistributionGroup -Identity $DGroup.WindowsEmailAddress -HiddenFromAddressListsEnabled $true

4. Használja a New-ApplicationAccessPolicy parancsmagot a szabályzat létrehozásához, megadva az alkalmazásazonosítót, a biztonsági csoportot hatáskörként, és a RestrictAccess értéket hozzáférési jogként.

5. Adja hozzá az engedélyezett felhasználókat a biztonsági csoporthoz az Add-DistributionGroupMember segítségével.

6. Ellenőrizze a szabályzatot a Get-ApplicationAccessPolicy segítségével, majd tesztelje a hozzáférést egy adott felhasználó számára a Test-ApplicationAccessPolicy parancsmaggal.

Megfelelőség

• Keretrendszer: Egyéb
• Súlyosság: Közepes
• Ez az ellenőrzés az identitásbiztonsági bevált gyakorlatokhoz való igazodást segíti, de nem kapcsolódik egy adott megfelelőségi keretrendszerhez.

Kapcsolódó források

• Alkalmazáshozzáférési szabályzatok létrehozása és kezelése az Exchange Online-ban

Microsoft references

• Auth limit mailbox access
• New applicationaccesspolicy
• Test applicationaccesspolicy