No hybrid user with permanent role assignment on Control Plane

Prečo je to dôležité

Ak hybridný používateľ (používateľ synchronizovaný z lokálnej služby Active Directory) má trvalú vysoko privilegovanú rolu v rovine správy Microsoft 365, útočník, ktorý naruší vaše lokálne prostredie, sa môže presunúť na cloudové zdroje bez dodatočného overenia. Toto obchádza vaše cloudové bezpečnostné kontroly a vytvára priamu cestu pre bočný pohyb. Správcovia by mali uprednostniť odstránenie týchto hybridných priradení rolí, aby zaviedli prísne oddelenie medzi lokálnymi a cloudovými identitami.

Čo kontroluje Aether365

Táto kontrola preverí všetky priradenia rolí v službe Azure Active Directory v rovine správy a identifikuje všetkých hybridných používateľov (synchronizovaných z lokálneho prostredia) s trvalou vysoko privilegovanou rolou, ako je Global Administrator alebo Privileged Role Administrator. Aether365 tieto prípady označí ako porušenia v bezpečnostnom paneli Microsoft 365 v skupine kontroly microsoft-365.

Ako to opraviť

1. Identifikujte dotknutých hybridných používateľov. Hľadajte používateľov, kde je atribút OnPremisesSyncEnabled nastavený na True v centre spravovania Azure AD alebo cez PowerShell.
2. Zistite, či je priradenie roly skutočne potrebné. Ak používateľ potrebuje dočasný prístup, použite Azure AD Privileged Identity Management (PIM) na udelenie časovo obmedzených oprávnených priradení namiesto trvalých.
3. Ak rola nie je nevyhnutná, odstráňte trvalé priradenie. V portáli Azure prejdite na Azure Active Directory > Roles and administrators, vyberte rolu a potom odstráňte používateľa.
4. Pre všetky zostávajúce trvalé priradenia rolí hybridným používateľom vytvorte cloudový účet (nesynchronizovaný z lokálneho prostredia) a priraďte rolu tejto cloudovej identite.
5. Po vykonaní zmien spustite kontrolu Aether365 znova, aby ste potvrdili, že nezostali žiadne porušenia.

Súlad

• Rámec: Iné
• Závažnosť: Stredná (hodnotenie Aether365)
• Súvisiace normy: Táto kontrola je v súlade s princípom Zero Trust agentúry CISA o odstránení implicitnej dôvery medzi lokálnym a cloudovým prostredím. Podporuje tiež základné konfigurácie EIDSCA pre izoláciu identít.

Súvisiace zdroje

• Microsoft Learn: Secure privileged access in Azure AD
• Microsoft Learn: Plan a cloud-only identity
• Microsoft Learn: What is Privileged Identity Management?

Microsoft references

• Security planning
• Protect m365 from on premises attacks