Saugumo modelis
Autorius: Aether365 komanda Auditorija: Saugumo komandos ir IT administratoriai Apimtis: Organizacijų izoliacija, duomenų apsauga ir teisių modelis
Šiame puslapyje aprašoma, kaip Aether365 saugo jūsų duomenis, kokią prieigą turi prie jūsų Microsoft 365 aplinkos ir kokie architektūriniai sprendimai priimti jūsų organizacijos duomenims apsaugoti.
Autentifikavimas ir prieiga
Kaip Aether365 pasiekia jūsų organizaciją
Aether365 pasiekia jūsų Microsoft 365 organizaciją kaip kelių organizacijų programa, registruota Microsoft Entra ID. Kai suteikiate administratoriaus sutikimą, jūsų organizacijoje sukuriamas paslaugų pagrindinis pavadinimas. Aether365 tada autentifikuojasi naudodama savo programos kredencialus (kliento ID ir kliento slaptažodį) - ne vartotojo paskyros kredencialus.
Tai reiškia:
- Nesaugomi jokie vartotojų slaptažodžiai
- Nesuteikiamos deleguotos teisės
- Prieiga yra tik programos lygio, nesusieta su jokiu konkrečiu vartotoju
- Prieigą galite atšaukti bet kada pašalindami paslaugų pagrindinį pavadinimą iš savo organizacijos
Tik skaitymo teisės
Visos Aether365 suteiktos Microsoft Graph teisės yra programos lygio tik skaitymo. Pilnas sąrašas prieinamas adresu aether365.io/security#permissions.
Aether365 niekada neprašo rašymo teisių. Microsoft sutikimo ekrane bus rodomos tik skaitymo tipo teisės.
Prieigos atšaukimas
Norėdami atšaukti Aether365 prieigą prie savo organizacijos:
- Atidarykite Nustatymai > Jungtys Aether365 prietaisų skydelyje
- Spustelėkite Atjungti šalia organizacijos
- Arba Microsoft Entra administravimo centre pereikite į Enterprise Applications ir ištrinkite Aether365 paslaugų pagrindinį pavadinimą
Atjungimas pašalina jungtį iš Aether365 ir sustabdo būsimus nuskaitymus. Anksčiau surinkti nuskaitymo duomenys saugomi pagal standartinę saugojimo politiką.
Duomenų apsauga
Šifravimas
| Sluoksnis | Metodas |
|---|---|
| Duomenys tranzitu | TLS 1.2+ (HTTPS visur) |
| Duomenys ramybės būsenoje | AES-256 šifravimas ramybės būsenoje |
| Nuskaitymo rezultatų failai | AES-256 server-side encryption |
| Slaptieji raktai (API kredencialai) | Šifruota slaptųjų raktų saugykla (voko šifravimas) |
Kokie duomenys saugomi
Aether365 saugo:
- Konfigūracijos momentines kopijas - reikšmes, nuskaitytas iš Microsoft Graph kiekvieno nuskaitymo metu. Tai neapdorotos konfigūracijos reikšmės, naudojamos kiekvienam patikrinimui įvertinti.
- Nuskaitymo rezultatus - įveikta, neįveikta, praleista būsenas kiekvienam patikrinimui, taip pat aptiktas ir tikėtinas reikšmes neįveiktiems patikrinimams.
- Organizacijos metaduomenis - jūsų organizacijos Microsoft organizacijos ID, paskyros el. paštą, plano lygį ir prijungimo laiko žymes.
- Pranešimų nustatymus - el. pašto adresus ir Teams webhook URL, kuriuos sukonfigūravote.
Aether365 nesaugo:
- El. laiškų turinio, kalendoriaus duomenų ar jokio vartotojų sukurto turinio
- Vartotojų slaptažodžių ar kredencialų
- Microsoft Graph prieigos raktų (prieigos raktai yra laikini ir naudojami tik nuskaitymo metu)
Duomenų buvimo vieta
Visi duomenys saugomi išimtinai mūsų ES duomenų centre (Stokholmas, Ireland). Duomenys nėra kopijuojami už šio regiono ribų. Tai taikoma:
- Duomenų bazei (nuskaitymo rezultatai, organizacijos metaduomenys)
- Failų saugyklai (nuskaitymo rezultatų failai)
- Slaptųjų raktų saugyklai (programos kredencialai)
Žr. Duomenų buvimo vieta ir privatumas išsamiau, įskaitant mūsų duomenų tvarkymo sutartį.
Infrastruktūros saugumas
Nulinio pasitikėjimo architektūra
Kiekviena API užklausa reikalauja galiojančio JWT, išduoto Aether365 autentifikavimo sistemos po Microsoft Entra autentifikavimo. JWT tikrinamas kiekvienoje užklausoje:
- RS256 parašo verifikavimas pagal Aether365 JWKS galutinį tašką
- Prieigos rakto galiojimo pabaigos tikrinimas
- Išdavėjo ir auditorijos verifikavimas
Nėra neautentifikuotų API galutinių taškų, išskyrus /public/config (kuris grąžina tik visos platformos nustatymus, pvz., priežiūros režimą).
Organizacijų izoliacija
Kiekviena duomenų bazės užklausa apima organizacijos ID filtrą, gaunamą iš autentifikuoto JWT, ne iš užklausos parametrų. Architektūriškai neįmanoma užklausti kitos organizacijos duomenų per API.
Nuskaitymo darbo krūviai vykdomi izoliuotose, laikinose skaičiavimo aplinkose. Kiekviena nuskaitymo užduotis turi:
- Jokios nuolatinės saugyklos
- Jokios tarporganizacinės tinklo prieigos
- Dedikuotą service role vaidmenį, apribotą iki minimalių reikiamų teisių
- Automatinį nutraukimą po užbaigimo
Slaptųjų raktų valdymas
Programos kredencialai (Microsoft Entra kliento ID ir slaptasis raktas) saugomi šifruotoje slaptųjų raktų saugykloje. Jie:
- Niekada nesaugomi aplinkos kintamuosiuose
- Niekada neįrašomi į žurnalus
- Gaunami vykdymo metu ir laikomi atmintyje tik nuskaitymo trukmę
- Reguliariai keičiami pagal grafiką
Paskyros saugumas
Autentifikavimas
Aether365 naudoja Microsoft kaip tapatybės teikėją. Jungiatės su savo Microsoft paskyra per OpenID Connect. Atskiro Aether365 slaptažodžio nėra.
Kelių veiksnių autentifikavimas
MFA užtikrina jūsų Microsoft paskyros sąlyginės prieigos politikos. Aether365 paveldi bet kokius MFA reikalavimus, kuriuos jūsų Microsoft organizacija taiko.
Sesijų valdymas
Prieigos raktai yra trumpalaikiai JWT. Atnaujinimo raktai saugomi jūsų naršyklės vietinėje saugykloje ir keičiami naudojant. Atsijungimas iš karto panaikina jūsų sesiją.
Audito pėdsakas
Kiekvienas veiksmas, atliktas Aether365 prietaisų skydelyje ar per API, registruojamas audito pėdsake: kas atliko veiksmą, kada ir iš kokio IP adreso. Žr. Audito pėdsakas.
Atsakingas atskleidimas
Jei aptikote saugumo problemą Aether365, praneškite adresu security@aether365.io. Patvirtinsime gavimą per 24 valandas ir sieksime išspręsti kritines problemas per 72 valandas. Šiuo metu neturime viešos klaidų premijų programos, bet su pranešėjų leidimu nurodysime juos leidimo pastabose.