No hybrid user with permanent role assignment on Control Plane

Neden Önemli

Eğer bir hibrit kullanıcı (şirket içi Active Directory'den eşitlenen bir kullanıcı) Microsoft 365 kontrol düzleminde kalıcı bir yüksek ayrıcalıklı role sahipse, şirket içi ortamınızı ele geçiren bir saldırgan, ek kimlik doğrulama gerektirmeden bulut kaynaklarına geçiş yapabilir. Bu, bulut güvenlik kontrollerinizi atlar ve doğrudan bir yanal hareket yolu oluşturur. Yöneticiler, şirket içi ve bulut kimlikleri arasında sıkı bir ayrım sağlamak için bu hibrit rol atamalarını ortadan kaldırmaya öncelik vermelidir.

Aether365 Neyi Kontrol Eder

Bu kontrol, kontrol düzlemindeki tüm Azure Active Directory rol atamalarını tarayarak, Global Administrator veya Privileged Role Administrator gibi kalıcı yüksek ayrıcalıklı bir role sahip herhangi bir hibrit kullanıcıyı (şirket içinden eşitlenen) tespit eder. Aether365, bunları microsoft-365 kontrol grubu altındaki Microsoft 365 güvenlik panelinizde ihlal olarak işaretler.

Nasıl Düzeltilir

1. Etkilenen hibrit kullanıcı(lar)ı belirleyin. Azure AD yönetici merkezinde veya PowerShell aracılığıyla OnPremisesSyncEnabled özniteliği True olan kullanıcıları arayın.
2. Rol atamasının gerçekten gerekli olup olmadığını belirleyin. Kullanıcının geçici erişime ihtiyacı varsa, kalıcı atamalar yerine zamana bağlı, uygun atamalar sağlamak için Azure AD Privileged Identity Management (PIM) kullanın.
3. Rol gerekli değilse, kalıcı atamayı kaldırın. Azure portalında Azure Active Directory > Roles and administrators bölümüne gidin, rolü seçin ve ardından kullanıcıyı kaldırın.
4. Hibrit kullanıcılardaki kalan kalıcı rol atamaları için, şirket içinden eşitlenmeyen yalnızca bulut hesabı oluşturun ve rolü bu bulut kimliğine atayın.
5. Değişiklikleri yaptıktan sonra, ihlal kalmadığını doğrulamak için Aether365 kontrolünü tekrar çalıştırın.

Uyumluluk

• Çerçeve: Diğer
• Önem Derecesi: Orta (Aether365 derecelendirmesi)
• İlgili standartlar: Bu kontrol, CISA Sıfır Güven İlkesi'nin şirket içi ve bulut ortamları arasındaki örtük güveni ortadan kaldırma prensibiyle uyumludur. Ayrıca kimlik izolasyonu için EIDSCA temel yapılandırmalarını destekler.

İlgili Kaynaklar

• Microsoft Learn: Azure AD'de ayrıcalıklı erişimin güvenliğini sağlama
• Microsoft Learn: Yalnızca bulut kimliği planlama
• Microsoft Learn: Privileged Identity Management nedir?

Microsoft references

• Security planning
• Protect m365 from on premises attacks