Hoe Aether365 werkt

Onderhouden door: Aether365 Team Doelgroep: Alle gebruikers Scope: Architectuur en gegevensstroom van Aether365-scans

Aether365 is een continu beveiligingsbeoordelingsplatform voor Microsoft 365. Het maakt verbinding met je tenant via alleen-lezen Microsoft Graph-machtigingen, voert beveiligingscontroles uit tegen erkende frameworks en presenteert bevindingen met hersteladvies.

Architectuuroverzicht

Your M365 Tenant
      │
      │  (read-only Microsoft Graph API calls)
      ▼
  Aether365 Scanner
      │
      │  (structured findings)
      ▼
  Aether365 Database
      │
      │  (API)
      ▼
  Your Dashboard / REST API

Er draaien geen agents, connectors of PowerShell-scripts in je tenant. Aether365 opereert volledig van buiten je omgeving via de Microsoft Graph API.

Dit is, naar ontwerp, een alleen-lezen architectuur: de scanner beschikt uitsluitend over leesmachtigingen op applicatieniveau en heeft geen technische mogelijkheid om iets in je Microsoft 365-omgeving aan te maken, te wijzigen of te verwijderen.

Het scanproces

1. Trigger - Een scan start op het automatische schema, of wanneer je er handmatig een start vanuit het dashboard of de API.
2. Authenticatie - Aether365 gebruikt de service principal consent die je hebt verleend bij het koppelen van de tenant. Het authenticeert als een applicatie - niet als een gebruiker.
3. Gegevensverzameling - De scanner leest configuratiegegevens van Microsoft Graph endpoints: gebruikersinstellingen, beleidsregels, tenantconfiguratie, dienstspecifieke instellingen (Exchange, Teams, SharePoint, Entra ID).
4. Evaluatie - Elke verzamelde waarde wordt getoetst aan een bibliotheek van beveiligingscontroles. Controles zijn gekoppeld aan een of meer compliance frameworks.
5. Opslag van resultaten - Geslaagd, mislukt en overgeslagen resultaten worden per controle opgeslagen. Bij mislukte controles wordt de gedetecteerde waarde vastgelegd naast de verwachte waarde.
6. Levering - Resultaten verschijnen in je dashboard. Als e-mail- of Teams-meldingen zijn geconfigureerd, ontvang je een melding wanneer de scan is voltooid.

Welke gegevens Aether365 leest

Aether365 leest uitsluitend configuratiegegevens - geen e-mailinhoud, bestandsinhoud, chatberichten of door gebruikers gegenereerde gegevens.

Configuratiegegevens omvatten:

• Tenant- en organisatie-instellingen
• Entra ID (Azure AD)-beleid - conditional access, authenticatiemethoden, roltoewijzingen
• Exchange Online - transportregels, anti-phishingbeleid, postvakinstelling, DKIM/DMARC-status
• Microsoft Teams - vergaderbeleid, externe federatie, gasttoegang
• SharePoint Online - deelbeleid, configuratie voor externe toegang
• Microsoft 365-beveiligingsinstellingen - Defender-beleid, auditlogstatus, meldingsbeleid

Alleen-lezen

Aether365 maakt, wijzigt of verwijdert nooit gegevens in je Microsoft 365-omgeving. Alle machtigingen zijn alleen-lezen op applicatieniveau.

Geen AI-verwerking van je gegevens

Aether365 stuurt je tenantconfiguratie, scanresultaten of andere klantgegevens niet naar AI- of grote-taalmodeldiensten. Er worden geen klantgegevens gebruikt om AI-modellen te trainen of voor geautomatiseerde profilering. AI-ondersteuning wordt uitsluitend gebruikt om de openbare hersteldocumentatie op deze site op te stellen: nooit om gegevens te verwerken die uit je tenant zijn gelezen.

Scantypen

Type	Wat het controleert	Frameworks
Compliance	Configuratie tegen beveiligingsbenchmarks	CIS, EIDSCA, CISA SCuBA, NIS2
Exposure	Risicovolle configuraties in M365-diensten	Aether365 exposure-bibliotheek

Zie Compliance scans en Exposure scans voor meer informatie.

Gegevenslocatie

Alle gegevens - inclusief scanresultaten en configuratie-snapshots - worden opgeslagen in ons EU-datacentrum (Ireland, Zweden). Er worden geen gegevens naar andere regio's gerepliceerd. Scangegevens worden gedurende een vastgestelde periode bewaard voordat ze permanent worden verwijderd.

Zie Gegevenslocatie en privacy voor meer informatie.

Tenantisolatie

De gegevens van elke klant worden opgeslagen met een tenant-ID dat aan elk databaserecord is gekoppeld. Het is architectureel onmogelijk dat de gegevens van de ene klant worden benaderd via de sessie van een andere klant. Scanworkloads draaien in geisoleerde, tijdelijke omgevingen zonder gedeelde status tussen tenants.