Microsoft Cloud App Security: ostateczny przewodnik (2022)

Chcesz poprawić ochronę swoich aplikacji w chmurze?

Jesteś we właściwym miejscu.

Ponieważ dzisiaj pokażę Wam dokładne techniki, których używam do utrzymania widoczności moich aplikacji w chmurze.

1 Co to jest Microsoft Cloud App Security?

2 Jak działa usługa Microsoft Cloud App Security?

2.1 Odkrycie

2.2 Sankcjonowanie i brak sankcji

2.3 Złącza aplikacji

2.4 Ustawienia polityki

3 Co zapewnia usługa Microsoft Cloud App Security?

4 Odkrycie

4.1 Jak stworzyć nowy raport odkrycia?

5 Kontrola danych

5.1 Tworzenie polityki wykrywania aplikacji

6 Utwórz zasady dotyczące plików

6.1 Jak stworzyć politykę plików?

7 Ochrona przed zagrożeniami

7.1 Tworzenie polityk aktywności

8 Wykrywanie złośliwego oprogramowania

9 Badanie i naprawa alertów

9.1 Redukcja fałszywych trafień

9.2 Aplikacje OAuth

9.3 Zarządzaj aplikacjami OAuth

9.3.1 Zablokuj lub zatwierdź i zaaplikuj:

9.3.2 Odwołaj aplikację

9.3.3 Zasady OAuth

10 CASB dla platform chmurowych

11 Monitorowanie i kontrola w czasie rzeczywistym

12 Azure Portal – Azure Active Directory

13 Tworzenie polityki sesji

14 Licencja bezpieczeństwa aplikacji w chmurze firmy Microsoft

Co to jest Microsoft Cloud App Security?

• Microsoft Cloud App Security to Microsoft CASB (Cloud Access Security Broker) i jest krytycznym składnikiem stosu Microsoft Cloud Security. Jest to kompleksowe rozwiązanie, które może pomóc Twojej organizacji w pełni wykorzystać obietnicę aplikacji w chmurze, ale zapewnia kontrolę dzięki lepszemu wglądowi w aktywność.
• Pomaga również zwiększyć ochronę krytycznych danych w aplikacjach w chmurze (Microsoft i inne firmy).
• Dzięki narzędziom, które pomagają wykrywać ukryte IT, oceniać ryzyko, egzekwować zasady, badać działania i powstrzymywać zagrożenia, Twoja organizacja może bezpieczniej przenieść się do chmury, zachowując jednocześnie kontrolę nad krytycznymi danymi.

Jak działa usługa Microsoft Cloud App Security?

Odkrycie

Cloud Discovery wykorzystuje dzienniki ruchu do wykrywania i analizowania używanych aplikacji w chmurze. Możesz ręcznie przesłać pliki dziennika do analizy ze swoich zapór sieciowych i serwerów proxy lub możesz wybrać automatyczne przesyłanie.

Sankcjonowanie i niesankcjonowanie

• MS Cloud App Security umożliwia sankcjonowanie/blokowanie aplikacji w Twojej organizacji za pomocą katalogu aplikacji Cloud.
• Katalog aplikacji w chmurze określa ryzyko dla aplikacji w chmurze na podstawie certyfikatów regulacyjnych, standardów branżowych i najlepszych praktyk.
• Następnie możesz dostosować wyniki i wagi różnych parametrów do potrzeb swojej organizacji.
• Na podstawie tych wyników usługa Microsoft Cloud App Security informuje o tym, jak ryzykowna jest aplikacja, zgodnie z ponad 50 czynnikami ryzyka, które mogą mieć wpływ na Twoje środowisko.

Złącza aplikacji

• Łączniki aplikacji wykorzystują interfejsy API dostarczane przez różnych dostawców aplikacji w chmurze, aby umożliwić chmurze Microsoft Cloud App Security integrację z innymi aplikacjami w chmurze oraz rozszerzenie kontroli i ochrony. Dzięki temu usługa Microsoft 365 Cloud App Security może pobierać informacje bezpośrednio z aplikacji w chmurze do analizy.
• Aby połączyć aplikację i rozszerzyć ochronę, administrator aplikacji autoryzuje dostęp MS Cloud App Security do aplikacji, a następnie Cloud App Security wysyła zapytanie do aplikacji o dzienniki aktywności i skanuje dane, konta i zawartość chmury.
• Usługa Microsoft 365 Cloud App Security może następnie wymuszać zasady, wykrywać zagrożenia i udostępniać akcje nadzoru w celu rozwiązywania problemów.

Ustawienie zasad

• Zasady pozwalają zdefiniować sposób, w jaki użytkownicy mają zachowywać się w chmurze. Umożliwiają wykrywanie ryzykownych zachowań, naruszeń lub podejrzanych punktów danych i działań w środowisku chmury oraz, w razie potrzeby, integrację procesów naprawczych w celu całkowitego ograniczenia ryzyka.
• Istnieje wiele rodzajów zasad, które są powiązane z różnymi typami informacji, które chcesz zebrać na temat środowiska chmury, oraz rodzajami działań naprawczych, które możesz chcieć podjąć.

Co zapewnia usługa Microsoft Cloud App Security?

Odkrycie

Odkrywanie, które aplikacje są używane w całej organizacji, to dopiero pierwszy krok do zapewnienia ochrony wrażliwych danych firmowych. Zrozumienie przypadków użycia, identyfikacja głównych użytkowników i określenie ryzyka związanego z każdą aplikacją to ważne elementy zrozumienia ogólnej sytuacji ryzyka w organizacji. Usługa Microsoft Cloud App Security zapewnia ciągłe wykrywanie i analizę ryzyka oraz zaawansowane raporty dotyczące użytkowników, wzorców użytkowania, ruchu związanego z przesyłaniem/pobieraniem i transakcji, dzięki czemu można od razu identyfikować anomalie.

Jak stworzyć nowy raport odkrycia?

• Uzyskaj dostęp do portalu „ Microsoft Defender dla aplikacji w chmurze”
• Po lewej stronie wybierz Pulpit nawigacyjny Discover and Cloud Discovery.

• Następnie wybierz „ Utwórz nowy raport ”

Następnie wprowadź żądane dane i wybierz „ Utwórz ”

Uwaga : Przetworzenie analizy tworzenia raportu zajmuje do 24 godzin

Kontrola danych

Twórz zasady wykrywania aplikacji w chmurze, aby otrzymywać powiadomienia o wykryciu nowych aplikacji, które są ryzykowne, niezgodne lub zyskują na popularności. Zacznij od korzystania z wbudowanych szablonów do tworzenia zasad wykrywania aplikacji dla aplikacji ryzykownych i o dużej objętości. W razie potrzeby konfigurację można dostosować.

• Nowa aplikacja o dużej objętości — alerty, gdy zostaną odkryte nowe aplikacje, których łączny dzienny ruch przekracza 500 MB
• Ryzykowna aplikacja — alerty, gdy zostaną odkryte nowe aplikacje z wynikiem ryzyka niższym niż 6, z których korzysta ponad 50 użytkowników, których łączne dzienne wykorzystanie przekracza 50 MB

Po utworzeniu polityki otrzymasz powiadomienie, gdy zostanie wykryta aplikacja o dużym wolumenie i wysokim ryzyku. Umożliwi to sprawne i ciągłe monitorowanie aplikacji w Twojej sieci.

Tworzenie zasad wykrywania aplikacji

• Przejdź do „ Portalu zabezpieczeń aplikacji w chmurze ”
• Kliknij „ Kontrola” , a następnie „Zasady ” .
• Utwórz „Zasady” i wybierz „Zasady wykrywania aplikacji ”

• Wybierz szablon dla nowej aplikacji o dużej objętości

• Przewiń w dół i kliknij „Utwórz ”

Utwórz zasady dotyczące plików

• Zasady plików są doskonałym narzędziem do wyszukiwania zagrożeń dla zasad ochrony informacji, na przykład znajdowania lokalizacji, w których użytkownicy przechowują poufne informacje, numery kart kredytowych i pliki ICAP innych firm w Twojej chmurze.
• Dzięki Cloud App Security możesz nie tylko wykryć niechciane pliki przechowywane w Twojej chmurze, które narażają Cię na niebezpieczeństwo, ale możesz podjąć natychmiastowe działania, aby zatrzymać ich ślady i zablokować pliki, które stanowią zagrożenie.
• Korzystając z kwarantanny administracyjnej, możesz chronić swoje pliki w chmurze i rozwiązywać problemy, a także zapobiegać przyszłym wyciekom.
• Używaj zasad plików, aby wykrywać udostępnianie informacji i skanować w poszukiwaniu poufnych informacji w aplikacjach chmurowych.

Utwórz następujące zasady dotyczące plików, aby uzyskać wgląd w sposób wykorzystania informacji w organizacji.

• Plik zawierający informacje umożliwiające identyfikację osoby wykryte w chmurze (wbudowany silnik DLP) — alert, gdy plik zawierający informacje umożliwiające identyfikację osoby (PII) zostanie wykryty przez nasz wbudowany silnik zapobiegania utracie danych (DLP) w objętej sankcjami aplikacji w chmurze.
• Pliki udostępnione nieautoryzowanym domenom – alert, gdy plik zostanie udostępniony nieautoryzowanej domenie (np. Twojej konkurencji).
• Plik udostępniony na osobiste adresy e-mail — alert, gdy plik zostanie udostępniony na osobisty adres e-mail użytkownika.

Użyj gotowych szablonów, aby rozpocząć, przeglądaj pliki w zakładce dopasowanych polityk. Zakres zasad do jednej witryny SharePoint/OneDrive, aby zrozumieć, jak działają zasady przed dodaniem dodatkowych aplikacji lub witryn.

Jak stworzyć politykę plików?

• Przejdź do „ Microsoft Cloud App Security Portal ”
• Kliknij „ Kontrola ” , a następnie „Zasady ” .
• Utwórz „ Zasady i wybierz „ Zasady dotyczące plików ”

• Wybierz szablon dla pliku zawierającego PII wykryte w chmurze (wbudowany silnik DLP)
• Ogranicz to do SharePoint oraz OneDrive i Folder

• Kliknij utwórz

Wykonaj te same kroki i użyj szablonów wymienionych powyżej.

Aby uzyskać dodatkowe informacje na temat zasad dotyczących plików, kliknij ten link .

Ochrona przed zagrożeniami

Uprawnienia : administrator globalny, administrator bezpieczeństwa lub administrator grupy użytkowników

Utworzenie polityki aktywności może pomóc w wykryciu złośliwego użycia konta użytkownika końcowego lub uprzywilejowanego konta lub wskazaniu możliwej sesji złamanej.

Tworzenie polityk aktywności

Kliknij ten link , aby dowiedzieć się więcej o zasadach aktywności.

• Masowe pobieranie przez jednego użytkownika – ta zasada zapewni Ci wgląd w możliwe wydobycie danych. Domyślnie ta zasada będzie również wyświetlać alerty podczas synchronizacji klientów OneDrive
• Wiele nieudanych prób logowania użytkownika do aplikacji — możliwy atak typu brute force lub przejęte konto.
• Logowanie z ryzykownego adresu IP – możliwe włamanie na konto.
• Potencjalna aktywność oprogramowania ransomware — alert, gdy użytkownik przesyła do chmury pliki, które mogą być zainfekowane oprogramowaniem ransomware.

Wykrywanie złośliwego oprogramowania

• To wykrywanie identyfikuje złośliwe pliki w magazynie w chmurze, niezależnie od tego, czy pochodzą z aplikacji firmy Microsoft, czy z aplikacji innych firm.
• Usługa Microsoft Cloud App Security wykorzystuje analizę zagrożeń firmy Microsoft, aby rozpoznać, czy określone pliki są powiązane ze znanymi atakami złośliwego oprogramowania i czy są potencjalnie złośliwe.
• Ta wbudowana zasada jest domyślnie wyłączona.
• Nie każdy plik jest skanowany, ale heurystyka jest używana do wyszukiwania plików, które są potencjalnie ryzykowne. Po wykryciu plików możesz wyświetlić listę zainfekowanych plików.
• Kliknij nazwę pliku złośliwego oprogramowania w szufladzie plików, aby otworzyć raport o złośliwym oprogramowaniu, który zawiera informacje o typie złośliwego oprogramowania, którym plik jest zainfekowany.

Uwaga : wykrywanie złośliwego oprogramowania jest domyślnie wyłączone. Upewnij się, że jest włączony, aby otrzymywać alerty o możliwych zainfekowanych plikach.

Badanie i naprawa alertów

Zbadaj i określ charakter naruszenia związanego z ostrzeżeniem. Spróbuj zrozumieć, czy jest to poważne, wątpliwe naruszenie lub nietypowe zachowanie użytkownika. Zbadaj dalej, przeglądając opis alertu i jego przyczyny, a także przyglądając się podobnym działaniom.

Jeśli odrzucisz alerty, ważne jest, aby zrozumieć, dlaczego nie mają one żadnego znaczenia lub czy jest to fałszywy alarm. Jeśli dobiega zbyt dużo hałasu, sprawdź i dostosuj zasady wyzwalające alert.

• W „ Microsoft Cloud App Security Portal ” – przejdź do „Alerty ”

• Kliknij alert, który chcesz zbadać. W tym przykładzie badamy jednego użytkownika, który miał wiele nieudanych prób logowania, co może być oznaką brutalnej siły i naruszonej tożsamości.
• Przeczytaj opis alertu i przejrzyj podane szczegóły, aby sprawdzić, czy coś wygląda podejrzanie.
• Widzimy, że ten użytkownik jest administratorem i miał ponad 12 nieudanych logowań. Istnieje prawdopodobieństwo, że osoba atakująca próbuje włamać się na to konto.

• Kliknij opcję „ Wyświetl całą aktywność użytkownika ”, aby wyświetlić działania tego użytkownika w celu uzyskania dodatkowych informacji dotyczących procesu dochodzenia.

• Jeśli spojrzymy na przechwycone obrazy, zobaczymy, że jest to administrator, którego konto zostało naruszone. Jesteśmy w stanie wyciągnąć taki wniosek, widząc, że miał wiele nieudanych prób logowania z adresu IP TOR i próbował wykraść dane za pomocą alertu o masowym pobieraniu.
• Teraz, gdy mamy wystarczająco dużo informacji, aby wywnioskować, że alert jest prawdziwy. Alert możemy rozwiązać za pomocą dostępnych nam opcji. W takim przypadku najlepszym rozwiązaniem byłoby zawieszenie użytkownika, ponieważ jego konto zostało naruszone.

• Kliknij Rozwiąż i napisz, jak rozwiązałeś alert

Ograniczanie fałszywych pozytywów

Zasady wykrywania anomalii są wyzwalane, gdy są nietypowymi zachowaniami wykonywanymi przez użytkowników w Twoim środowisku. Usługa Microsoft Cloud App Security ma okres uczenia się, w którym wykorzystuje analizę behawioralną jednostek, a także uczenie maszynowe, aby zrozumieć „ normalne ” zachowanie użytkowników. Użyj suwaka czułości, aby określić czułość tej zasady oprócz określania zakresu określonych zasad tylko dla danej grupy.

Na przykład, aby zmniejszyć liczbę fałszywych alarmów w alarmie o niemożliwych podróżach, możesz ustawić suwak czułości na niską. Jeśli masz w swojej organizacji użytkowników, którzy często podróżują służbowo, możesz dodać ich do grupy użytkowników i wybrać tę grupę w zakresie zasad.

Dodaj swój firmowy adres IP i zakresy VPN , zobaczysz mniej alertów dotyczących niemożliwych podróży i rzadkiego kraju.

Kliknij Ustawienia, a następnie Zakresy adresów IP
Nazwij zakres
Wprowadź zakres adresów IP
Wybierz kategorię
Dodaj tag, aby oznaczyć określone działania z tego zakresu

Aplikacje OAuth

Są to aplikacje instalowane przez użytkowników biznesowych w Twojej organizacji, które proszą o pozwolenie na dostęp do informacji i danych użytkownika oraz logują się w imieniu użytkownika w innych aplikacjach chmurowych, takich jak Microsoft 365, G Suite i Salesforce. Gdy użytkownicy instalują te aplikacje, często klikają akceptuj bez dokładnego przeglądania szczegółów w monicie, w tym udzielania uprawnień aplikacji.

Będziesz mieć możliwość zablokowania i cofnięcia dostępu do tych aplikacji.

Wielu użytkowników przyznaje dostęp do swoich kont firmowych Microsoft 365, G-Suite i Salesforce podczas próby uzyskania dostępu do aplikacji OAuth. Pojawia się problem, że dział IT zwykle nie ma wglądu w te aplikacje ani związanego z nimi poziomu ryzyka. Cloud App Security umożliwia wykrywanie aplikacji OAuth zainstalowanych przez użytkowników i konta firmowego, którego używają do logowania. Po ustaleniu, które aplikacje OAuth są używane przez dane konto, możesz zezwolić lub zablokować dostęp bezpośrednio w portalu.

Zarządzaj aplikacjami OAuth

Strona OAuth zawiera informacje dotyczące aplikacji, do których Twoi użytkownicy przyznają dostęp przy użyciu swoich korporacyjnych poświadczeń Microsoft 365, Salesforce i G-Suite.

Zablokuj lub zatwierdź i zaaplikuj:

• Przejdź do „ Microsoft Cloud App Security Portal ” -> Kliknij „ Zbadaj” -> Kliknij „Aplikacje OAuth ”
• Kliknij „ Szuflada aplikacji” , aby wyświetlić dodatkowe informacje o każdej aplikacji i przyznanych uprawnieniach
• Możesz zablokować lub zatwierdzić aplikację, klikając ikonę zatwierdzania lub blokowania

Uwaga : jeśli zdecydujesz się zablokować aplikację, możesz powiadomić użytkownika, że ​​aplikacja, którą zainstalował i przyznał uprawnienia, jest zablokowana i możesz dodać niestandardową wiadomość z powiadomieniem.

Unieważnij aplikację

Ta funkcja jest dostępna tylko w aplikacjach połączonych z G-Suite i Salesforce.

• Na stronie aplikacji OAuth -> kliknij trzy kropki po prawej stronie wiersza aplikacji
• Kliknij Odwołaj aplikację

Zasady OAuth

Zasady OAuth powiadamiają o wykryciu aplikacji OAuth spełniającej określone kryteria.

Kliknij ten link , aby uzyskać wskazówki dotyczące tworzenia zasad aplikacji OAuth.

CASB dla platform chmurowych

Uprawnienia : Administrator globalny

Uwaga : Globalna rola usługi Azure AD nie zapewnia automatycznie uprzywilejowanym użytkownikom dostępu do subskrypcji platformy Azure.

Podnieś uprawnienia uprzywilejowanych użytkowników, aby dodać subskrypcje platformy Azure — po dodaniu subskrypcji upewnij się, że podniesienie uprawnień zostało wyłączone.

Aby poprawić stan zabezpieczeń w chmurze, dodaj subskrypcje platformy Azure do usługi Cloud App Security; integracja z Azure Security Center powiadomi Cię o braku konfiguracji i kontroli bezpieczeństwa. Będziesz mógł identyfikować anomalie w swoim środowisku i przechodzić do portalu Azure Security, aby zastosować te zalecenia i rozwiązać problem z lukami.

Aby dowiedzieć się więcej o integracji z Azure Security Center, kliknij tutaj .

Monitorowanie i kontrola w czasie rzeczywistym

Uprawnienia : administrator bezpieczeństwa lub administrator globalny

• Kontrola aplikacji z dostępem warunkowym wykorzystuje architekturę odwrotnego serwera proxy i jest jednoznacznie zintegrowana z dostępem warunkowym (CA) usługi Azure AD.
• Dostęp warunkowy usługi Azure AD umożliwia wymuszanie kontroli dostępu w aplikacjach organizacji na podstawie określonych warunków.
• Warunki definiują „kto” (na przykład użytkownik lub grupa użytkowników), „co” (które aplikacje w chmurze) i „gdzie” (które lokalizacje i sieci) dotyczą zasad dostępu warunkowego.
• Po określeniu warunków możesz kierować użytkowników do usługi MS Cloud App Security, gdzie możesz chronić dane za pomocą kontroli aplikacji z dostępem warunkowym, stosując kontrolę dostępu i sesji.
• Kontrola aplikacji dostępu warunkowego umożliwia monitorowanie i kontrolowanie dostępu do aplikacji użytkownika i sesji w czasie rzeczywistym na podstawie zasad dostępu i sesji.
• Zasady dostępu są używane do komputerów PC i urządzeń przenośnych, a zasady sesji są używane do sesji przeglądarki.

Zasady dostępu i sesji zapewniają następujące możliwości:

• Blokuj przy pobieraniu
• Chroń przy pobieraniu
• Zapobiegaj kopiowaniu/drukowaniu dokumentów
• Monitoruj sesje niskiego zaufania
• Blokuj dostęp
• Utwórz tryb tylko do odczytu
• Ogranicz sesje użytkowników z sieci innej niż korporacyjna
• Zablokuj przesyłanie

Azure Portal – Azure Active Directory

• Przejdź do „ Azure Active Directory ” (AAD) w sekcji „ Chroń” , kliknij „ Dostęp warunkowy ”

• Utwórz politykę w AAD, aby włączyć aplikacje warunkowe
• Przypisz testową grupę użytkowników i przypisz jedną aplikację Cloud (SharePoint lub aplikacja innej firmy, która jest skonfigurowana z logowaniem jednokrotnym), aby rozpocząć testowanie
• Kliknij Sesję i kliknij „ Użyj kontroli aplikacji dostępu warunkowego ”
• Wybierz „ Użyj niestandardowej zasady ”, która przekieruje sesję przez portal Microsoft Cloud App Security Portal

• Po utworzeniu zasad wyloguj się z każdej skonfigurowanej aplikacji i zaloguj się ponownie.
• Zaloguj się ponownie do portalu CAS, przejdź do Ustawień i kliknij Kontrola aplikacji dostępu warunkowego

• Skonfigurowane aplikacje powinny pojawić się w portalu jako aplikacje kontroli dostępu warunkowego aplikacji.

Tworzenie polityki sesji

Będziemy tworzyć politykę sesji przy użyciu szablonu do monitorowania wszystkich działań, aby rozpocząć.

Utwórz dodatkowe zasady, korzystając z gotowych szablonów, aby przetestować różne dostępne kontrolki.

• Przejdź do „ Portalu zabezpieczeń aplikacji w chmurze ”
• Kliknij „ Kontrola” , a następnie „Zasady ” .
• Utwórz „Zasady ” i wybierz „ Zasady sesji ”

• Wybierz szablon, aby monitorować wszystkie działania

• Kliknij Utwórz

Licencja Microsoft Cloud App Security

Cena licencji komercyjnych na Microsoft Cloud App Security różni się w zależności od programu, regionu i typu umowy. W kanale Direct dostępne są samodzielne ceny katalogowe ERP. Zobacz szczegółowe informacje na temat konfiguracji cen tutaj . Ponadto, jeśli klienci chcą korzystać z funkcji kontroli dostępu warunkowego aplikacji usługi Microsoft Cloud App Security, muszą również mieć co najmniej licencję Azure Active Directory Premium P1 (AAD P1) dla wszystkich użytkowników, których zamierzają włączyć dla tej funkcji.

Plany licencyjne dostępne dla klientów rządowych Stanów Zjednoczonych, które obejmują Microsoft Cloud App Security, są opisane w poniższych tabelach licencjonowania. Dodatkowe szczegóły można znaleźć w naszych opisach licencji i cen:

• Microsoft 365 US Government
• Microsoft 365 dla instytucji rządowych
• Mobilność w przedsiębiorstwie + zabezpieczenia dla rządu USA

Na koniec powinieneś mieć wiedzę na temat ochrony informacji, monitorowania w czasie rzeczywistym i możliwości ochrony przed zagrożeniami w usłudze Microsoft 365 Cloud App Security.

Teraz chciałbym usłyszeć od Ciebie:

Którą strategię z dzisiejszego postu zamierzasz wypróbować jako pierwszą? A może nie wspomniałem o jednej z twoich ulubionych wskazówek dotyczących bezpieczeństwa aplikacji w chmurze.

Tak czy inaczej, daj mi znać, zostawiając teraz komentarz poniżej.

Chcesz ulepszyć środowisko Exchange Online, aby uzyskać lepszą produktywność? Sprawdź porady i wskazówki wymienione tutaj .