M365 Assessment: ku janë tenant-ët vërtet të cenueshëm

Në shumicën e kompanive Microsoft 365 është vektori më i madh i vetëm i sulmit: identitetet, email-i, skedarët dhe bashkëpunimi bashkohen në një tenant. Prandaj një vlerësim i strukturuar ia vlen, dhe prandaj gjetjet i ngjajnë shumë njëra-tjetrës.

Shkurt: Një vlerësim sigurie i Microsoft 365 e kontrollon sistematikisht konfigurimin e një tenant-i ndaj rrugëve të njohura të sulmit: identitetet, rregullat e qasjes, mbrojtjen e email-it, ndarjet dhe logimin. Nuk është penetration test dhe as shitje produkti, por një listë e prioritizuar e boshllëqeve që një sulmues do t’i shfrytëzonte vërtet pas klikimit të parë të phishing-ut.

Çfarë kontrollohet

Një vlerësim punon nëpër shtresat e tenant-it:

• Identitetet (Entra ID): mbulimi me MFA, vërtet për të gjithë, edhe adminët dhe llogaritë e shërbimit? Rregullat e Conditional Access, rolet e privilegjuara, llogaritë e mysafirëve.
• Legacy authentication: protokolle të vjetra si IMAP ose SMTP auth, që thjesht e anashkalojnë MFA-në, klasiku i dyerve të hapura. Telemetria e vetë Microsoft-it tregon prej vitesh se pjesa më e madhe e sulmeve password spray kalon përmes protokolleve legacy.
• Siguria e email-it: politikat anti-phishing, rregullat e përcjelljes (një vegël e preferuar persistence pas marrjes së llogarive), SPF/DKIM/DMARC të domeneve të veta.
• Ndarjet: cilësimet e SharePoint-it dhe OneDrive-it: çfarë mund të ndahet anonimisht, çfarë në gjithë organizatën?
• Konfigurimi i Defender-it dhe logimi: a janë sinjalet që të duhen në rast incidenti fare të ndezura dhe a ruhen mjaft gjatë?

Identiteti, komunikimi, të dhënat: çdo shtresë ka kontrollet e veta, dhe pika e anashkaluar është pothuajse gjithmonë në shtresën e identitetit.

Si zhvillohet një vlerësim

Një vlerësim i pastër nuk kërkon ndërhyrje në operim. Rrjedha që unë e konsideroj të arsyeshme:

1. Sqaro scope-in. Cilët tenant-ë, cilat domene, cilat licenca? Një tenant me Business Premium ka mundësi të tjera se një me E5, dhe justifikime të tjera.
2. Vendos qasje vetëm-lexim. Një rol si Global Reader ose Security Reader mjafton për pothuajse të gjitha kontrollet. Askujt nuk i duhet Global Admin për të lexuar.
3. Mblidh të automatizuar. Vegla si Maester ose ScubaGear (më poshtë më shumë) japin për minuta qindra pika kontrolli me dëshmi. Kjo është baza e fakteve, jo rezultati.
4. Klasifiko me dorë. Çdo devijim lexohet ndaj kontekstit konkret: a është vërtet i nevojshëm përjashtimi i legacy auth për skanerin? A ekziston një kontroll kompensues?
5. Prioritizo dhe ritesto. Rezultati është një listë sipas rëndësisë për sulmin, jo sipas alfabetit, dhe pas zbatimit i njëjti kontroll ekzekutohet edhe një herë, që «e rregulluar» të jetë e dëshmuar.

Për një tenant të madhësisë mesatare kjo është punë dy deri në katër ditë, pa llogaritur zbatimin e gjetjeve. Raporti duhet të jetë i lexueshëm për drejtorinë në një faqe dhe për IT-në në njëzet, të dyja nga të njëjtat të dhëna. Një raport që e kupton vetëm IT-ja nuk ndryshon asnjë buxhet.

Të dyshuarit e zakonshëm

Pas disa vlerësimeve modelet përsëriten. Gjetjet që shfaqen pothuajse gjithmonë:

• MFA vlen «për të gjithë», përveç tri llogarive më të vjetra të adminëve ose disa llogarive të shërbimit, që «përndryshe nuk funksionojnë».
• Legacy auth është «i çaktivizuar», përveç atij përjashtimi të vetëm për printerin multifunksional, që e lë hapur gjithë tenant-in.
• Conditional Access ekziston, por si një koleksion i rritur rregullash të veçanta me boshllëqe mes tyre, dhe askush s’e di më pse rregulli shtatë ka një përjashtim për drejtorinë.
• Llogaritë break-glass kanë prej vitesh të njëjtin fjalëkalim dhe askush nuk i monitoron hyrjet e tyre.
• Më shumë Global Admins se sa duhet, shpesh me llogarinë e tyre të përditshme. Secili prej tyre është një rrugë direkte drejt marrjes së plotë.
• Përdoruesit mund t’u japin qasje në të dhënat e tyre aplikacioneve të çfarëdoshme (app consent), kështu që phishing-u përmes aplikacioneve OAuth nuk ka nevojë as për fjalëkalim.
• Llogari mysafirësh nga projekte tre vjet më parë janë ende aktive.
• Audit log-u është i ndezur, por askush nuk ka parë kurrë brenda.

Çështja nuk është që këto gjëra të jenë ekzotike. Çështja është që ato ndodhin njëkohësisht në pothuajse çdo tenant, dhe sulmuesit i duhet vetëm njëra prej tyre.

Cila licencë lejon cilin kontroll

Shumë gjetje kanë të njëjtin shkak: cilësimi do të ekzistonte, por mungon licenca, ose ekziston dhe askush s’e di. Forma e shkurtër:

• Business Basic / Standard: vetëm Security Defaults (MFA për të gjithë, legacy auth i bllokuar), pa rregulla Conditional Access.
• Business Premium / E3: Entra ID P1 me Conditional Access, authentication strengths, kushte për pajisjet; Defender for Office P1 me Safe Links dhe Safe Attachments; Intune.
• E5 / Entra ID P2: përveç kësaj politika të bazuara në rrezik (Identity Protection), Privileged Identity Management për të drejta admini të kufizuara në kohë, Access Reviews për mysafirët.

Prandaj një vlerësim nuk kontrollon vetëm «a është vendosur cilësimi?», por edhe «a është shfrytëzuar më e mira që jep kjo licencë?». Çuditërisht shpesh Business Premium ekziston dhe operohet si Business Standard.

Me çfarë testohet

Nuk duhet ta bësh me dorë. Krahas Secure Score-it të integruar ka tash vegla shumë të mira falas: Maester i bashkon disa katalogë testesh (EIDSCA, CISA ScuBA, CIS) në një framework testimi PowerShell mbi bazën e Pester-it. Çdo test ka një shpjegim, një shkallë ashpërsie dhe një lidhje te cilësimi, dhe ngaqë janë teste, mund të ekzekutohen periodikisht si pipeline. Forcimi bëhet kështu i testueshëm si kodi: ndryshon dikush një rregull Conditional Access, testi bie në alarm të nesërmen në mëngjes. ScubaGear i CISA-s e kontrollon tenant-in ndaj kërkesave bazë amerikane dhe krijon një raport për çdo shërbim (Entra, Exchange, SharePoint, Teams, Defender). Të dyja japin gjetje konkrete, të gjurmueshme, në vend të një score-i abstrakt.

Pse Secure Score nuk mjafton

Secure Score i Microsoft-it është një fillim i përdorshëm, por ai vlerëson konfigurime, jo rrugë sulmi. Një tenant me score të respektueshëm mund të lërë të hapur një eskalim trivial nga një llogari e komprometuar përdoruesi drejt të drejtave globale të adminit. Përveç kësaj: score-i shpërblen pjesërisht cilësime që kërkojnë licenca të cilat kompania as nuk i ka, dhe i peshon pikët sipas masës së Microsoft-it, jo sipas rrezikut tënd. Një vlerësim mendon nga sulmi: çfarë ndodh pas klikimit të parë të phishing-ut? Si vjen deri te një klikim i tillë, e tregon simulimi i phishing-ut me tetë shembuj realistë.

Score-i vlerëson pika, sulmuesi kërkon rrugë: nga llogaria e parë e komprometuar shpesh ka një zinxhir të shkurtër deri te privilegjet më të larta.

Dhjetë masat me efektin më të madh

Po të më duhej të prioritizoja (dhe në vlerësime duhet), lista do të dukej kështu:

1. MFA rezistente ndaj phishing-ut për të gjitha rolet e adminëve
2. Blloko legacy authentication me Conditional Access
3. Dy llogari break-glass: passphrase të gjata, të përjashtuara nga CA, hyrjet me alarm
4. Bazë Conditional Access: MFA për të gjithë përdoruesit, bllokim në rrezik të lartë hyrjeje
5. Çaktivizo përcjelljet automatike të jashtme
6. SPF, DKIM dhe DMARC për të gjitha domenet e veta
7. Kufizo me vetëdije ndarjet anonime dhe qasjen e mysafirëve
8. Pastro rolet e privilegjuara dhe mbaj sa më pak global admins
9. Aktivizo audit logging dhe kontrollo ruajtjen
10. Testo periodikisht në vend të forcimit një herë, p.sh. i automatizuar me Maester

Asgjë nga këto nuk është ekzotike, shumica nuk kushton licencë, vetëm kujdes. Pikërisht prandaj janë këto pikat ku pothuajse çdo tenant ka diçka për të fituar së pari. Si duken konkretisht cilësimet e veçanta, me rrugën në portal, nevojën për licencë dhe kurthet, gjendet në Forcimi i Microsoft 365: 12 cilësime.

Çfarë nuk bën një vlerësim

Sinqeriteti është pjesë e punës: një vlerësim konfigurimi nuk gjen llogari të komprometuara, sepse për këtë duhet analizë e log-eve dhe threat hunting. Nuk vlerëson pajisjet fundore në të cilat përdoret tenant-i; një laptop pa patch me token të vlefshëm është një problem që në Entra ID nuk shihet. Dhe nuk zëvendëson asnjë proces: raporti më i bukur nuk vlen asgjë, nëse gjetjet një vit më vonë qëndrojnë të pandryshuara në dosje.

Kush do t’i ndjekë më pas gjetjet si masa, në vend që t’i humbasë në një tabelë, gjen te CISO Assistant një vegël të përshtatshme open-source. Dhe sa buxhet i duhet sigurisë në tërësi, e tregon Security budget check si vlerë orientuese për kompanitë zvicerane.