Exchange Application Access Policies should be configured

Zakaj je to pomembno

Brez pravilnikov za dostop do aplikacij lahko vsaka aplikacija z dovoljenji za Exchange Online dostopa do vseh nabiralnikov v vaši organizaciji, ne glede na vloge uporabnikov ali potrebe. To ustvarja veliko tveganje za razkritje podatkov, saj lahko eno samo ogroženo poverilnico aplikacije vodi do množične eksfiltracije občutljivih e-poštnih podatkov. Z omejitvijo dostopa aplikacij samo na pooblaščene člane prek distribucijskih skupin uveljavljate načelo najmanjših pravic in zmanjšujete površino napada.

Kaj preverja Aether365

Aether365 pregleda vaše okolje Exchange Online, da preveri, ali so pravilniki za dostop do aplikacij konfigurirani za registrirane aplikacije z dovoljenji Exchange. To preverjanje se prikaže na nadzorni plošči Aether365 v kategoriji storitev microsoft-365 in poroča o vseh aplikacijah, ki nimajo določenega obsega pravilnika.

Kako popraviti

1. Povežite se z Exchange Online z uporabo lupine PowerShell:

   Connect-ExchangeOnline

2. Določite podatke o registraciji aplikacije, potrebne za pravilnik:

   • ID aplikacije (iz registracije aplikacije Azure AD)
   • Poimenovalno konvencijo za varnostno skupino, na primer "AAP_", ki ji sledi ID aplikacije
   • Opis pravilnika

3. Ustvarite e-poštno omogočeno varnostno skupino za določitev obsega pravilnika, nato pa jo skrijte iz globalnega imenika:

   $DGroup = New-DistributionGroup -Name $GroupName -Type Security
   Start-Sleep -Seconds 5
   Set-DistributionGroup -Identity $DGroup.WindowsEmailAddress -HiddenFromAddressListsEnabled $true

4. Z ukazom New-ApplicationAccessPolicy cmdlet ustvarite pravilnik, pri čemer navedite ID aplikacije, varnostno skupino kot obseg in RestrictAccess kot pravico dostopa.

5. Z ukazom Add-DistributionGroupMember dodajte pooblaščene uporabnike v varnostno skupino.

6. Preverite pravilnik z ukazom Get-ApplicationAccessPolicy, nato pa preizkusite dostop za določenega uporabnika z ukazom Test-ApplicationAccessPolicy.

Skladnost

• Okvir: Drugo
• Resnost: Srednja
• To preverjanje pomaga pri usklajevanju z najboljšimi praksami za upravljanje identitete, vendar ni vezano na določen okvir skladnosti.

Povezani viri

• Ustvarjanje in upravljanje pravilnikov za dostop do aplikacij v Exchange Online

Microsoft references

• Auth limit mailbox access
• New applicationaccesspolicy
• Test applicationaccesspolicy