👲🏽 👩🏾‍🤝‍👨🏽 🈷️ Office 365 و Microsoft Teams - راحة التعاون والتأثير على الأمن 👊🏾 🚮 🌶️

في هذه المقالة ، نود أن نوضح كيف يبدو العمل مع Microsoft Teams من وجهة نظر المستخدمين ومسؤولي تكنولوجيا المعلومات وموظفي IS.

بادئ ذي بدء ، دعنا نوضح الفرق بين Teams ومعظم منتجات Microsoft الأخرى في عرض Office 365 الخاص بهم (فيما يلي للإيجاز - O365).

Teams هو عميل ليس لديه تطبيق سحابي خاص به. ويضع البيانات التي يديرها في تطبيقات O365 المختلفة.

سنعرض ما يحدث "تحت الغطاء" عندما يعمل المستخدمون في Teams و SharePoint Online (المشار إليها فيما يلي باسم SPO) و OneDrive.

إذا كنت تريد الآن الانتقال إلى الجزء العملي المتعلق بتوفير الأمان باستخدام أدوات Microsoft (ساعة واحدة من إجمالي وقت الدورة التدريبية) ، فإننا نوصي بشدة بالاستماع إلى دورة تدقيق مشاركة Office 365 ، المتوفرة هنا. تغطي هذه الدورة ، من بين أمور أخرى ، إعدادات المشاركة في O365 ، والتي يمكن تحريرها فقط من خلال PowerShell.

قابل فريق المشروع الداخلي لشركة Acme

هذه هي الطريقة التي ينظر بها هذا الفريق في Teams ، بعد إنشائه وتوفير الوصول المناسب لأعضائه من قبل مالك هذا الفريق - Amelia:

يبدأ الفريق العمل

تشير ليندا إلى أن جيمس وويليام فقط الذين ناقشا معهم هذا الأمر سيتصلان بالملف من خلال خطة دفع المكافآت الموضوعة في قناتها.

جيمس ، بدوره ، يوجه رابطًا للوصول إلى هذا الملف إلى موظف في قسم الموارد البشرية ، إيما ، الذي ليس جزءًا من الفريق.

يرسل وليام عقدًا مع البيانات الشخصية لطرف ثالث إلى عضو آخر في الفريق عبر دردشة MS Teams:

نتسلق تحت غطاء المحرك

زوي ، بيد أميليا الخفيفة ، يمكنها الآن إضافة أي شخص إلى الفريق في أي وقت ، أو إزالته:

ليندا ، التي تضع مستندًا يحتوي على بيانات مهمة مخصصة للاستخدام من قبل اثنين فقط من زملائها ، أخطأت في نوع القناة عند إنشائها ، وأصبح الملف متاح لجميع أعضاء الفريق:

لحسن الحظ ، يوجد تطبيق Microsoft لـ O365 ، حيث يمكنك (استخدامه بالكامل لأغراض أخرى) معرفة البيانات المهمة التي يمكن لجميع المستخدمين الوصول إليها بسرعة ، وذلك لاختبار مستخدم تم تضمينه فقط في مجموعة الأمان الأكثر شيوعًا .

حتى إذا كانت الملفات موجودة داخل القنوات الخاصة (القنوات الخاصة) - فقد لا يكون هذا ضمانًا لدخول دائرة معينة من الأشخاص إليها فقط.

في المثال مع جيمس ، قدم رابطًا إلى ملف إيما ، والذي لم يتم تضمينه حتى في الأمر ، ناهيك عن الوصول إلى القناة الخاصة (إذا كانت واحدة).

في هذه الحالة ، أسوأ شيء هو أننا لن نرى معلومات حول هذا في أي مكان في مجموعات الأمان في Azure AD ، حيث يتم منح حقوق الوصول إليها مباشرة.

سيكون ملف PDN الذي أرسله William متاحًا لمارغريت في أي وقت ، ليس فقط أثناء العمل على الدردشة عبر الإنترنت.

نتسلق حتى الخصر

نحن نفهم أكثر. أولاً ، دعنا نرى ما يحدث بالضبط عندما ينشئ المستخدم فريقًا جديدًا في MS Teams:

يتم إنشاء مجموعة أمان Office 365 جديدة في Azure AD ، بما في ذلك مالكي وأعضاء الفريق
موقع الفريق الجديد في SharePoint Online (يشار إليه فيما بعد بـ SPO)
يتم إنشاء ثلاث مجموعات محلية جديدة (نشطة فقط في هذه الخدمة) في SPO: المالكون والأعضاء والزوار
يتم إجراء التغييرات في Exchange Online

بيانات فرق MS وأين يعيشون

الفرق ليست مستودع بيانات أو منصة. تم دمجها مع جميع حلول Office 365.

يوفر O365 العديد من التطبيقات والمنتجات ، ولكن يتم تخزين البيانات دائمًا في الأماكن التالية: SharePoint Online (SPO) و OneDrive (فيما يلي - OD) و Exchange Online و Azure AD
يتم تخزين البيانات التي تشاركها أو تتلقاها من خلال MS Teams على هذه الأنظمة الأساسية ، وليس داخل Teams نفسها
في هذه الحالة ، الخطر هو اتجاه متزايد للتعاون. يمكن لأي شخص لديه حق الوصول إلى البيانات الموجودة على منصات SPO و OD أن يجعلها متاحة لأي شخص داخل المنظمة وخارجها.
( ) SPO,
Documents SPO:
- Documents SPO ( , )
- Email-, , “Email Messages”
, SPO, , ( — SPO)
, , OneDrive ( “Microsoft Teams Chat Files”),
يتم تخزين محتوى الدردشة والدردشة في صندوق بريد المستخدم وفريق البريد ، على التوالي ، في المجلدات المخفية. الآن لا توجد طريقة للحصول على وصول إضافي لهم.

الماء في المكربن ، يتدفق في الانتظار

النقاط الرئيسية التي يجب تذكرها فيما يتعلق بأمن المعلومات :

يتم نقل التحكم في الوصول وفهم من يمكن منحه حقوق البيانات المهمة إلى مستوى المستخدم النهائي. لا يوجد تحكم أو مراقبة مركزية كاملة .
عندما يشارك شخص ما بيانات الشركة ، تكون "النقاط العمياء" مرئية للآخرين ، ولكن ليس لك.

في قائمة الأشخاص الذين هم جزء من الفريق (من خلال مجموعة الأمان في Azure AD) ، لا نرى إيما ، ولكن لديها حق الوصول إلى ملف معين ، وهو رابط أرسله إليها جيمس.

بنفس الطريقة ، لن نكتشف قدرتها على الوصول إلى الملفات من واجهة Teams:

هل يمكننا بطريقة ما الحصول على معلومات حول الكائن الذي يمكن لـ Emma الوصول إليه؟ نعم ، يمكننا ذلك ، ولكن فقط من خلال دراسة حقوق الوصول إلى كل شيء أو إلى كائن معين في SPO ، والتي لدينا شكوك بشأنها.

بعد دراسة هذه الحقوق ، سنرى أن Emma و Chris لهما حقوق في الكائن على مستوى SPO.

كريس؟ لا نعرف أي كريس. من اين أتى؟

وقد "جاء" إلينا من مجموعة SPO الأمنية "المحلية" ، والتي تضم بالفعل بدورها مجموعة Azure AD الأمنية ، مع أعضاء فريق التعويضات.

ربما يمكن لـ Microsoft Cloud App Security (MCAS) إلقاء الضوء على القضايا التي تهمنا من خلال توفير المستوى الصحيح من الفهم؟

للأسف ، لا ... على الرغم من حقيقة أننا يمكن أن نرى كريس وإيما ، لا يمكننا رؤية المستخدمين المحددين الذين تم منحهم حق الوصول.

O365 مستويات وتقنيات الوصول - تحديات تكنولوجيا المعلومات

إن أبسط عملية لتوفير الوصول إلى البيانات المتعلقة بتخزين الملفات داخل محيط المؤسسات ليست معقدة بشكل خاص ولا توفر عمليا فرصًا لتجاوز حقوق الوصول الممنوحة.

لدى O365 العديد من الفرص للتعاون والوصول إلى البيانات.

, , , , , ,
,

ربما وفرت Microsoft في O365 العديد من الطرق لتعديل قوائم التحكم بالوصول. هذه الإعدادات على مستوى المستأجر والمواقع والمجلدات والملفات والأشياء نفسها والارتباطات بها. تكوين إعدادات إمكانية الوصول مهم ولا يجب إهماله.

نحن نقدم الفرصة لأخذ دورة فيديو مجانية لمدة ساعة ونصف تقريبًا حول تكوين هذه المعلمات ، وهو رابط يتم توفيره في بداية هذه المقالة.

بدون التفكير مرتين ، يمكنك حظر كل مشاركة الملفات الخارجية ، ولكن بعد ذلك:

ستظل بعض ميزات النظام الأساسي O365 غير مستخدمة ، خاصة إذا اعتاد بعض المستخدمين على استخدامها في المنزل أو في وظيفة سابقة
"المستخدمون المتقدمون" سوف "يساعدون" الموظفين الآخرين على انتهاك قواعدك بوسائل أخرى

يتضمن تكوين إمكانات المشاركة:

تكوينات مختلفة لكل تطبيق: OD و SPO و AAD و MS Teams (يمكن تنفيذ جزء من التكوين فقط من قبل المسؤول والجزء - فقط من قبل المستخدمين أنفسهم)
تكوينات التكوين على مستوى المستأجر وعلى مستوى كل موقع محدد

ماذا يعني هذا ل IB

كما رأينا أعلاه ، لا يمكن رؤية حقوق الوصول الكاملة الموثوقة إلى البيانات في واجهة واحدة:

وبالتالي ، من أجل فهم من لديه حق الوصول إلى كل ملف أو مجلد معين ، ستحتاج إلى إنشاء مصفوفة وصول بشكل مستقل ، وجمع البيانات من أجلها ، مع مراعاة ما يلي:

أعضاء الفريق مرئيون في Azure AD والفرق ، ولكن ليس في SPO
يمكن لمالكي الفريق تعيين المالكين المشاركين الذين يمكنهم توسيع قائمة الفريق بأنفسهم
قد تشمل الفرق أيضًا المستخدمين الخارجيين - "الضيوف"
لا تظهر الروابط المقدمة للمشاركة أو التنزيل في Teams أو في Azure AD - فقط في SPO ، وفقط بعد النقرات المملة
الوصول فقط إلى موقع SPO غير مرئي في Teams

يعني عدم وجود سيطرة مركزية أنه لا يمكنك:

انظر من لديه حق الوصول إلى الموارد
انظر أين توجد البيانات الهامة
تلبية متطلبات اللوائح التي تتطلب نهجًا لخدمات التخطيط مع التركيز على سرية الوصول في جوهرها
كشف السلوك غير الطبيعي فيما يتعلق بالبيانات الهامة
حد منطقة الهجوم
اختر طريقة فعالة لتقليل مستوى المخاطر ، بناءً على تقييمهم

ملخص

في الختام ، يمكننا أن نقول ذلك

, O365, , , , - O365
, , , - O365 , O365

Office 365 و Microsoft Teams - راحة التعاون والتأثير على الأمن