Ensure that an exclusionary Geographic Access Policy is considered

Prečo je to dôležité

Geografické prístupové politiky predstavujú kritickú obranu proti neoprávnenému prístupu z vysokorizikových regiónov. Bez obmedzení založených na polohe zostáva váš tenant vystavený pretrvávajúcim hrozbám, ako sú pokročilé perzistentné hrozby pochádzajúce z krajín mimo operačného rozsahu vašej organizácie. Nesprávne nakonfigurovaná politika môže zablokovať administrátorov, ale dobre naplánovaný exkluzívny prístup výrazne znižuje vašu útokovú plochu.

Čo kontroluje Aether365

Aether365 overuje, či vaše politiky Conditional Access obsahujú geografickú podmienku polohy na blokovanie prístupu z krajín považovaných za mimo rozsahu. Táto kontrola sa zobrazuje vo vašom dashboarde Aether365 v sekcii Entra ID checks a označuje tenanty, ktorým chýba politika blokovania na základe polohy.

Ako to opraviť

1. Použite Microsoft Entra admin center alebo PowerShell na definovanie podmienok geografickej polohy. Začnite získaním ID pomenovaných lokalít pomocou cmdletu Get-MgIdentityConditionalAccessNamedLocation.
2. Zostavte množinu podmienok pre Conditional Access pomocou PowerShell. Nakonfigurujte objekty aplikácií, používateľov a lokalít. Napríklad nastavte $conditions.Locations.IncludeLocations na ID lokality krajiny, ktorú chcete blokovať, a nastavte $controls.BuiltInControls = "block".
3. Ak chcete aktualizovať existujúcu politiku Conditional Access, spustite Update-MgIdentityConditionalAccessPolicy -PolicyId <ID politiky> -Conditions $conditions -GrantControls $controls.
4. Ak chcete vytvoriť novú politiku, spustite New-MgIdentityConditionalAccessPolicy -Name "Block high-risk countries" -State enabled -Conditions $conditions -GrantControls $controls.
5. Pred povolením politiky ju otestujte v režime report-only pomocou portálu Azure, aby ste overili vplyv na vašich používateľov. Vždy vylúčte núdzové break-glass kontá a dôveryhodné lokality (napríklad IP adresy VPN), aby ste predišli zablokovaniu.

Súlad

• CIS Microsoft Azure Foundations 3.0.0 2.2.2 (Level 2)
• Microsoft Cloud Security Benchmark IM-7
• EIDSCA (Entra ID Security Config Assessment)

Súvisiace zdroje

• Conditional Access: Block access by location
• What is Conditional Access report-only mode?
• IM-7: Restrict resource access based on conditions

Microsoft references

• Howto conditional access policy location
• Concept conditional access report only
• Mcsb identity management