Jak działa Aether365

Autor: Zespół Aether365 Odbiorcy: Wszyscy użytkownicy Zakres: Architektura i przepływ danych skanów Aether365

Aether365 to platforma ciągłej oceny bezpieczeństwa Microsoft 365. Łączy się z Twoim tenantem za pomocą uprawnień Microsoft Graph tylko do odczytu, uruchamia kontrole bezpieczeństwa zgodnie z uznanymi frameworkami i prezentuje znaleziska wraz ze wskazówkami naprawczymi.

Przegląd architektury

Your M365 Tenant
      │
      │  (read-only Microsoft Graph API calls)
      ▼
  Aether365 Scanner
      │
      │  (structured findings)
      ▼
  Aether365 Database
      │
      │  (API)
      ▼
  Your Dashboard / REST API

Żadne agenty, konektory ani skrypty PowerShell nie działają wewnątrz Twojego tenanta. Aether365 działa w całości z zewnątrz Twojego środowiska, korzystając z Microsoft Graph API.

Z założenia jest to architektura tylko do odczytu: skaner posiada wyłącznie uprawnienia aplikacyjne do odczytu i nie ma technicznej możliwości tworzenia, modyfikowania ani usuwania czegokolwiek w Twoim środowisku Microsoft 365.

Przebieg skanowania

1. Wyzwalacz - Skan uruchamia się automatycznie zgodnie z harmonogramem lub ręcznie z dashboardu bądź API.
2. Uwierzytelnianie - Aether365 korzysta z service principal, na który udzieliłeś zgody podczas podłączania tenanta. Uwierzytelnia się jako aplikacja, nie jako użytkownik.
3. Zbieranie danych - Skaner odczytuje dane konfiguracyjne z endpointów Microsoft Graph: ustawienia użytkowników, polityki, konfigurację tenanta, ustawienia poszczególnych usług (Exchange, Teams, SharePoint, Entra ID).
4. Ewaluacja - Każda odczytana wartość jest oceniana względem biblioteki kontroli bezpieczeństwa. Kontrole są mapowane do jednego lub więcej frameworków compliance.
5. Zapis wyników - Wyniki pass, fail i skip są zapisywane dla każdej kontroli. Dla niespełnionych kontroli rejestrowana jest wykryta wartość rzeczywista obok wartości oczekiwanej.
6. Dostarczenie - Wyniki pojawiają się na Twoim dashboardzie. Jeśli skonfigurowano powiadomienia e-mail lub Teams, otrzymujesz alert po zakończeniu skanu.

Jakie dane odczytuje Aether365

Aether365 odczytuje wyłącznie dane konfiguracyjne - nie treść e-maili, plików, wiadomości czatu ani danych tworzonych przez użytkowników.

Dane konfiguracyjne obejmują:

• Ustawienia tenanta i organizacji
• Polityki Entra ID (Azure AD) - dostęp warunkowy, metody uwierzytelniania, przypisania ról
• Exchange Online - reguły transportu, polityki anti-phishing, ustawienia skrzynek pocztowych, status DKIM/DMARC
• Microsoft Teams - polityki spotkań, federacja zewnętrzna, ustawienia dostępu gości
• SharePoint Online - polityki udostępniania, konfiguracja dostępu zewnętrznego
• Ustawienia bezpieczeństwa Microsoft 365 - polityki Defender, status dziennika audytu, polityki alertów

Tylko do odczytu

Aether365 nigdy nie tworzy, nie modyfikuje ani nie usuwa żadnych danych w Twoim środowisku Microsoft 365. Wszystkie uprawnienia mają charakter aplikacyjny i dotyczą wyłącznie odczytu.

Brak przetwarzania Twoich danych przez AI

Aether365 nie przesyła konfiguracji Twojego tenanta, wyników skanów ani żadnych danych klienta do usług AI ani dużych modeli językowych. Żadne dane klienta nie są wykorzystywane do trenowania modeli AI ani do automatycznego profilowania. Wsparcie AI służy wyłącznie do tworzenia publicznej dokumentacji naprawczej na tej stronie - nigdy do przetwarzania danych odczytanych z Twojego tenanta.

Typy skanów

Typ	Co sprawdza	Frameworki
Compliance	Konfigurację względem benchmarków bezpieczeństwa	CIS, EIDSCA, CISA SCuBA, NIS2
Exposure	Ryzykowne konfiguracje w usługach M365	Biblioteka exposure Aether365

Szczegóły znajdziesz w sekcjach Skany compliance i Skany exposure.

Rezydencja danych

Wszystkie dane - w tym wyniki skanów i migawki konfiguracji - są przechowywane w naszym centrum danych w UE (Sztokholm, Szwecja). Dane nie są replikowane do innych regionów. Dane skanów są przechowywane przez określony czas, po którym zostają trwale usunięte.

Szczegóły znajdziesz w sekcji Rezydencja danych i prywatność.

Izolacja tenantów

Dane każdego klienta są przechowywane z identyfikatorem tenanta przypisanym do każdego rekordu w bazie danych. Z architektonicznego punktu widzenia niemożliwe jest uzyskanie dostępu do danych jednego klienta za pośrednictwem sesji innego klienta. Zadania skanowania działają w izolowanych, efemerycznych środowiskach bez współdzielonego stanu między tenantami.