Beveiligingsmodel
Onderhouden door: Aether365 Team Doelgroep: Beveiligingsteams en IT-beheerders Scope: Tenantisolatie, gegevensbescherming en machtigingsmodel
Deze pagina beschrijft hoe Aether365 je gegevens beschermt, welke toegang het heeft tot je Microsoft 365-omgeving en de architectuurbeslissingen die zijn genomen om je tenantgegevens veilig te houden.
Authenticatie en toegang
Hoe Aether365 toegang krijgt tot je tenant
Aether365 benadert je Microsoft 365 tenant als een multi-tenant applicatie geregistreerd in Microsoft Entra ID. Wanneer je admin consent verleent, wordt er een service principal aangemaakt in je tenant. Aether365 authenticeert zich vervolgens met zijn eigen applicatiereferenties (client ID en client secret) - niet met inloggegevens van een gebruikersaccount.
Dit betekent:
- Er worden geen gebruikerswachtwoorden opgeslagen
- Er worden geen gedelegeerde machtigingen verleend
- Toegang is uitsluitend op applicatieniveau, niet gekoppeld aan een individuele gebruiker
- Je kunt de toegang op elk moment intrekken door de service principal uit je tenant te verwijderen
Alleen-lezen machtigingen
Alle Microsoft Graph-machtigingen die aan Aether365 zijn verleend, zijn alleen-lezen op applicatieniveau. Een volledige lijst is beschikbaar op aether365.io/security#permissions.
Aether365 vraagt nooit schrijfmachtigingen aan. Het Microsoft consent-scherm toont uitsluitend leesmachtigingen.
Toegang intrekken
Om de toegang van Aether365 tot je tenant in te trekken:
- Open Instellingen > Koppelingen in het Aether365 dashboard
- Klik op Ontkoppelen naast de tenant
- Als alternatief kun je in het Microsoft Entra-beheercentrum naar Enterprise Applications navigeren en de Aether365 service principal verwijderen
Ontkoppelen verwijdert de verbinding uit Aether365 en stopt toekomstige scans. Eerder verzamelde scangegevens worden bewaard volgens het standaard retentiebeleid.
Gegevensbescherming
Versleuteling
| Laag | Methode |
|---|---|
| Gegevens onderweg | TLS 1.2+ (overal HTTPS) |
| Gegevens in rust | AES-256-versleuteling in rust |
| Scanresultaatbestanden | AES-256 server-side encryption |
| Secrets (API-referenties) | Versleutelde secrets vault (envelope-versleuteling) |
Welke gegevens worden opgeslagen
Aether365 slaat op:
- Configuratie-snapshots - De waarden die tijdens elke scan uit Microsoft Graph worden gelezen. Dit zijn de ruwe configuratiewaarden die worden gebruikt om elke controle te evalueren.
- Scanresultaten - Geslaagd, mislukt, overgeslagen status per controle, plus de werkelijke en verwachte waarden bij mislukte controles.
- Tenantmetadata - Het Microsoft tenant-ID van je tenant, je account-e-mailadres, abonnementsniveau en koppelingtijdstempels.
- Meldingsinstellingen - E-mailadressen en Teams webhook-URL's die je hebt geconfigureerd.
Aether365 slaat niet op:
- E-mailinhoud, agendagegevens of andere door gebruikers gegenereerde inhoud
- Gebruikerswachtwoorden of inloggegevens
- Microsoft Graph-tokens (access tokens zijn kortlevend en worden alleen tijdens de scan gebruikt)
Gegevenslocatie
Alle gegevens worden uitsluitend opgeslagen in ons EU-datacentrum (Ireland, Ireland). Er worden geen gegevens buiten deze regio gerepliceerd. Dit geldt voor:
- Database (scanresultaten, tenantmetadata)
- Bestandsopslag (scanresultaatbestanden)
- Secrets vault (applicatiereferenties)
Zie Gegevenslocatie en privacy voor meer informatie, inclusief onze verwerkersovereenkomst.
Infrastructuurbeveiliging
Zero-trust-architectuur
Elk API-verzoek vereist een geldig JWT dat is uitgegeven door het authenticatiesysteem van Aether365 na Microsoft Entra-authenticatie. Het JWT wordt bij elk verzoek gevalideerd:
- RS256-handtekeningverificatie tegen het Aether365 JWKS endpoint
- Controle op tokenverlopen
- Verificatie van issuer en audience
Er zijn geen ongeauthenticeerde API endpoints behalve /public/config (dat alleen platformbrede instellingen retourneert zoals onderhoudsmodus).
Tenantisolatie
Elke databasequery bevat een tenant-ID-filter dat is afgeleid van het geauthenticeerde JWT - niet van verzoekparameters. Het is architectureel onmogelijk om via de API gegevens van een andere tenant op te vragen.
Scanworkloads draaien in geisoleerde, tijdelijke rekenomgevingen. Elke scantaak heeft:
- Geen persistente opslag
- Geen cross-tenant netwerktoegang
- Een specifieke service-rol beperkt tot de minimaal vereiste machtigingen
- Automatische beeindiging na voltooiing
Secretsbeheer
Applicatiereferenties (Microsoft Entra client ID en secret) worden opgeslagen in een versleutelde secrets vault. Ze worden:
- Nooit opgeslagen in omgevingsvariabelen
- Nooit naar logs geschreven
- Tijdens runtime opgehaald en alleen gedurende de scan in het geheugen bewaard
- Op een schema geroteerd
Accountbeveiliging
Authenticatie
Aether365 gebruikt Microsoft als identiteitsprovider. Je logt in met je Microsoft-account via OpenID Connect. Er bestaat geen apart Aether365-wachtwoord.
Multi-factor authenticatie
MFA wordt afgedwongen door het conditional access-beleid van je Microsoft-account. Aether365 neemt de MFA-vereisten over die je Microsoft-tenant afdwingt.
Sessiebeheer
Access tokens zijn kortlevende JWT's. Refresh tokens worden opgeslagen in de lokale opslag van je browser en worden bij gebruik geroteerd. Uitloggen maakt je sessie onmiddellijk ongeldig.
Audittrail
Elke actie die wordt uitgevoerd in het Aether365 dashboard of via de API wordt vastgelegd in een audittrail: wie de actie heeft uitgevoerd, wanneer en vanaf welk IP-adres. Zie Audittrail.
Verantwoorde melding
Als je een beveiligingsprobleem ontdekt in Aether365, meld dit dan aan security@aether365.io. We bevestigen de ontvangst binnen 24 uur en streven ernaar kritieke problemen binnen 72 uur op te lossen. We hebben op dit moment geen publiek bug bounty-programma, maar vermelden melders met hun toestemming in release notes.