Exchange Application Access Policies should be configured

Kodėl tai svarbu

Be programų prieigos strategijų, bet kuri programa, gavusi "Exchange Online" leidimus, gali pasiekti visus jūsų organizacijos pašto dėžutes, nepriklausomai nuo vartotojų vaidmenų ar poreikių. Tai sukuria didelę duomenų atskleidimo riziką, nes vienas pažeistas programos kredencialas gali lemti masinį neskelbtinų el. pašto duomenų išgavimą. Apribodami programų prieigą tik autorizuotiems nariams per paskirstymo grupes, įgyvendinate minimalių teisių principą ir sumažinate savo atakos paviršių.

Ką tikrina Aether365

"Aether365" nuskaito jūsų "Exchange Online" aplinką, kad patvirtintų, ar programų prieigos strategijos yra sukonfigūruotos registruotoms programoms, turinčioms "Exchange" leidimus. Šis patikrinimas rodomas jūsų "Aether365" prietaisų skydelyje po "microsoft-365" paslaugų kategorija ir praneša apie bet kokias programas, neturinčias apibrėžtos strategijos apimties.

Kaip ištaisyti

1. Prisijunkite prie "Exchange Online" naudodami "PowerShell":

   Connect-ExchangeOnline

2. Nustatykite savo programos registracijos duomenis, reikalingus strategijai:

   • Programos ID (iš "Azure AD" programos registracijos)
   • Pavadinimo sutartinį jūsų saugos grupei, pvz., "AAP_" po kurio eina programos ID
   • Strategijos aprašymas

3. Sukurkite paštu įgalintą saugos grupę, kad apibrėžtumėte strategijos apimtį, tada paslėpkite ją nuo visuotinio adresų sąrašo:

   $DGroup = New-DistributionGroup -Name $GroupName -Type Security
   Start-Sleep -Seconds 5
   Set-DistributionGroup -Identity $DGroup.WindowsEmailAddress -HiddenFromAddressListsEnabled $true

4. Naudokite "New-ApplicationAccessPolicy" cmdlet, kad sukurtumėte strategiją, nurodydami programos ID, saugos grupę kaip apimtį ir "RestrictAccess" kaip prieigos teisę.

5. Pridėkite autorizuotus vartotojus prie saugos grupės naudodami "Add-DistributionGroupMember".

6. Patikrinkite strategiją naudodami "Get-ApplicationAccessPolicy", tada išbandykite prieigą konkrečiam vartotojui naudodami "Test-ApplicationAccessPolicy".

Atitiktis

• Sistema: Kita
• Sunkumas: Vidutinis
• Šis patikrinimas padeda suderinti su tapatybės saugumo geriausiomis praktikomis, tačiau nėra susietas su konkrečia atitikties sistema.

Susiję ištekliai

• Kurti ir valdyti programų prieigos strategijas "Exchange Online"

Microsoft references

• Auth limit mailbox access
• New applicationaccesspolicy
• Test applicationaccesspolicy