Protect apps with Microsoft Defender for Cloud Apps Conditional Access App Control

  • Cikk

Megjegyzés:

Felhőhöz készült Microsoft Defender Alkalmazások mostantól a A Microsoft Defender XDR, amely a Microsoft Defender-csomag összes jelét korrelálja, és incidensszintű észlelést, vizsgálatot és hatékony válaszképességeket biztosít. További információ: Felhőhöz készült Microsoft Defender Alkalmazások a Microsoft Defender XDR-ben.

A mai munkahelyen gyakran nem elég tudni, hogy mi történik a felhőkörnyezetben a tény után. Valós időben szeretné leállítani a visszaéléseket és a kiszivárgásokat, mielőtt az alkalmazottak szándékosan vagy véletlenül veszélybe senyésztenék az adatait és a szervezetét. Fontos engedélyezni a szervezet felhasználói számára, hogy a felhőalkalmazásokban elérhető szolgáltatások és eszközök közül a lehető legtöbbet használják, és lehetővé tegyék számukra, hogy saját eszközeik működjenek. Ugyanakkor olyan eszközökre van szüksége, amelyekkel valós időben megvédheti szervezetét az adatszivárgásoktól és az adatlopásoktól. Felhőhöz készült Microsoft Defender Az alkalmazások integrálhatók bármely identitásszolgáltatóval (IDP), hogy hozzáférés- és munkamenet-vezérlőkkel biztosítják ezeket a képességeket. Ha a Microsoft Entra ID azonosítót használja identitásszolgáltatóként, ezek a vezérlők integrálva és leegyszerűsítve jelennek meg a Microsoft Entra feltételes hozzáférési eszközre épülő egyszerűbb és személyre szabottabb üzembe helyezés érdekében.

Megjegyzés:

Hogyan működik?

A feltételes hozzáférésű alkalmazásvezérlés fordított proxyarchitektúrát használ, és integrálható az identitásszolgáltatóval. A Microsoft Entra Feltételes hozzáféréssel való integráció során az alkalmazásokat úgy konfigurálhatja, hogy néhány kattintással működjenek a feltételes hozzáférésű alkalmazásvezérlővel, így egyszerűen és szelektíven kényszerítheti ki a hozzáférés- és munkamenet-vezérlőket a szervezet alkalmazásaiban a feltételes hozzáférés bármely feltétele alapján. A feltételek határozzák meg, hogy ki (felhasználó vagy felhasználócsoport) és mire (mely felhőalkalmazásokra) és hol (mely helyekre és hálózatokra) alkalmazza a feltételes hozzáférési szabályzatot. A feltételek meghatározása után átirányíthatja a felhasználókat Felhőhöz készült Defender alkalmazásokba, ahol hozzáférés- és munkamenet-vezérlők alkalmazásával megvédheti az adatokat a feltételes hozzáférésű alkalmazásvezérlővel.

A feltételes hozzáférésű alkalmazásvezérlés lehetővé teszi a felhasználói alkalmazások hozzáférésének és munkameneteinek valós idejű monitorozását és ellenőrzését a hozzáférési és munkamenet-szabályzatok alapján. A hozzáférési és munkamenet-szabályzatok az Felhőhöz készült Defender Apps portálon használhatók a szűrők további finomításához és a felhasználón végrehajtandó műveletek beállításához. A hozzáférési és munkamenet-szabályzatokkal a következőket teheti:

  • Adatszivárgás megakadályozása: Letilthatja a bizalmas dokumentumok letöltését, kivágását, másolását és nyomtatását, például nem felügyelt eszközökön.

  • Hitelesítési környezet megkövetelése: Újraértékelheti a Microsoft Entra feltételes hozzáférési szabályzatait, ha bizalmas művelet történik a munkamenetben. Egy szigorúan bizalmas fájl letöltéséhez például többtényezős hitelesítésre van szükség.

  • Védelem letöltéskor: A bizalmas dokumentumok letöltésének letiltása helyett megkövetelheti a dokumentumok címkézését és titkosítását a Microsoft Purview információvédelem való integráció során. Ez a művelet biztosítja, hogy a dokumentum védett legyen, és a felhasználók hozzáférése korlátozott legyen egy potenciálisan kockázatos munkamenetben.

  • Nem címkézett fájlok feltöltésének megakadályozása: Mielőtt mások feltöltenék, terjesztenék és használnák a bizalmas fájlokat, fontos, hogy a bizalmas fájl rendelkezzen a szervezet házirendje által meghatározott címkével. Biztosíthatja, hogy a bizalmas tartalmú címkézetlen fájlok feltöltése le legyen tiltva mindaddig, amíg a felhasználó be nem sorolja a tartalmat.

  • Potenciális kártevők letiltása: A potenciálisan rosszindulatú fájlok feltöltésének letiltásával megvédheti környezetét a kártevőktől. A feltöltött vagy letöltött fájlok megvizsgálhatók a Microsoft fenyegetésfelderítésével, és azonnal letilthatók.

  • Felhasználói munkamenetek figyelése a megfelelőség érdekében: A kockázatos felhasználókat a rendszer figyeli, amikor bejelentkeznek az alkalmazásokba, és a műveletek naplózása a munkameneten belül történik. Megvizsgálhatja és elemezheti a felhasználói viselkedést, hogy megértse, hol és milyen feltételek mellett kell alkalmazni a munkamenet-szabályzatokat a jövőben.

  • Hozzáférés letiltása: Több kockázati tényezőtől függően részletesen letilthatja az egyes alkalmazások és felhasználók hozzáférését. Letilthatja például őket, ha ügyféltanúsítványokat használnak eszközfelügyeleti formában.

  • Egyéni tevékenységek letiltása: Egyes alkalmazások olyan egyedi forgatókönyvekkel rendelkeznek, amelyek kockázatot hordoznak, például bizalmas tartalommal rendelkező üzeneteket küldenek olyan alkalmazásokban, mint a Microsoft Teams vagy a Slack. Az ilyen típusú forgatókönyvekben az üzeneteket bizalmas tartalmakat kereshet, és valós időben letilthatja őket.

A munkamenet-vezérlés működése

A munkamenet-szabályzat feltételes hozzáférésű alkalmazásvezérlővel való létrehozásával a felhasználói munkamenetek vezérléséhez a felhasználót fordított proxyn keresztül irányíthatja át, nem pedig közvetlenül az alkalmazáshoz. Ettől kezdve a felhasználói kérések és válaszok nem közvetlenül az alkalmazáson, hanem az Felhőhöz készült Defender-alkalmazásokon keresztül haladnak végig.

Ha egy munkamenetet proxy véd, az összes releváns URL-címet és cookie-t Felhőhöz készült Defender Apps váltja fel. Ha például az alkalmazás egy olyan lapot ad vissza, amelynek a tartományai végződnek myapp.com, a hivatkozás tartománya az alábbihoz hasonló *.mcas.msutótaggal lesz elvégzve:

Alkalmazás URL-címe Lecserélt URL-cím
myapp.com myapp.com.mcas.ms

Ez a módszer nem követeli meg, hogy bármit is telepítsen az eszközön, így ideális lehet a nem felügyelt eszközök vagy partnerfelhasználók munkameneteinek monitorozása vagy vezérlése során.

Megjegyzés:

  • Technológiánk az osztály legjobb szabadalmazott heurisztikusait használja a felhasználó által a célalkalmazásban végzett tevékenységek azonosítására és szabályozására. Heurisztikus megoldásaink célja a biztonság és a használhatóság optimalizálása és egyensúlyba hozása. Bizonyos ritka esetekben, amikor a kiszolgálóoldali tevékenységek blokkolása használhatatlanná teszi az alkalmazást, ezeket a tevékenységeket csak az ügyféloldalon biztosítjuk, ami potenciálisan érzékenysé teszi őket a rosszindulatú bennfentes felhasználók általi kizsákmányolásra.
  • Felhőhöz készült Defender Alkalmazások a világ minden tájáról használják az Azure Data Centerst, hogy földrajzi helymeghatározással optimalizált teljesítményt nyújtsanak. Ez azt jelenti, hogy egy felhasználó munkamenete egy adott régión kívül is üzemeltethető a forgalmi mintáktól és azok helyétől függően. Az adatvédelem érdekében azonban ezekben az adatközpontokban nem tárol munkamenet-adatokat.
  • Proxykiszolgálóink nem tárolnak inaktív adatokat. A tartalom gyorsítótárazásakor az RFC 7234-ben (HTTP-gyorsítótárazás) meghatározott követelményeket követjük, és csak a nyilvános tartalmak gyorsítótárazását hajtjuk végre.

Felügyelt eszközazonosítás

Conditional Access App Control enables you to create policies that take into account whether a device is managed or not. To identify the state of a device, you can configure access and session policies to check for:

  • Microsoft Intune kompatibilis eszközök [csak Microsoft Entra ID-vel elérhető]
  • Microsoft Entra hibrid csatlakoztatott eszközök [csak Microsoft Entra ID-vel elérhető]
  • Presence of client certificates in a trusted chain

Intune-kompatibilis és Microsoft Entra hibrid csatlakoztatott eszközök

A Microsoft Entra feltételes hozzáférés lehetővé teszi az Intune-nak megfelelő és a Microsoft Entra hibrid csatlakoztatott eszközinformációk közvetlen átadását Felhőhöz készült Defender Alkalmazásoknak. Innen létrehozhat egy hozzáférési szabályzatot vagy munkamenet-szabályzatot, amely szűrőként használja az eszközállapotot. További információ: Bevezetés az eszközkezelésbe a Microsoft Entra ID-ban.

Megjegyzés:

Egyes böngészők további konfigurációt igényelhetnek, például bővítmények telepítését. További információ: Feltételes hozzáférés böngésző támogatása.

Ügyféltanúsítvány által hitelesített eszközök

Az eszközazonosítási mechanizmus ügyféltanúsítványok használatával kérheti a hitelesítést a megfelelő eszközöktől. Használhatja a szervezetben már üzembe helyezett meglévő ügyféltanúsítványokat, vagy új ügyféltanúsítványokat hozhat létre a felügyelt eszközökön. Győződjön meg arról, hogy az ügyféltanúsítvány telepítve van a felhasználói tárolóban, és ne a számítógéptárolóban. Ezután ezeknek a tanúsítványoknak a jelenlétével állíthatja be a hozzáférési és munkamenet-szabályzatokat.

Az SSL-ügyféltanúsítványok megbízhatósági láncon keresztül vannak ellenőrizve. Feltölthet egy X.509 fő- vagy köztes hitelesítésszolgáltatót (CA) PEM-tanúsítványformátumban. Ezeknek a tanúsítványoknak tartalmazniuk kell a hitelesítésszolgáltató nyilvános kulcsát, amelyet aztán a munkamenet során bemutatott ügyféltanúsítványok aláírására használnak.

Miután feltöltötte a tanúsítványt, és konfigurálta a vonatkozó szabályzatot, amikor egy vonatkozó munkamenet áthalad a feltételes hozzáférésű alkalmazásvezérlőn, a Felhőhöz készült Defender Apps-végpont kéri a böngészőt az SSL-ügyféltanúsítványok bemutatására. A böngésző a titkos kulccsal telepített SSL-ügyféltanúsítványokat szolgálja ki. A tanúsítvány és a titkos kulcs kombinációja a PKCS #12 fájlformátummal történik, általában .p12 vagy .pfx formátumban.

Ügyféltanúsítvány-ellenőrzés végrehajtásakor az Felhőhöz készült Defender Alkalmazások a következő feltételeket ellenőrzik:

  1. A kiválasztott ügyféltanúsítvány érvényes, és a megfelelő legfelső szintű vagy köztes hitelesítésszolgáltató alatt található.
  2. A tanúsítvány nincs visszavonva (ha a CRL engedélyezve van).

Megjegyzés:

A legtöbb fő böngésző támogatja az ügyféltanúsítvány-ellenőrzés végrehajtását. A mobil- és asztali alkalmazások azonban gyakran olyan beépített böngészőket használnak, amelyek nem támogatják ezt az ellenőrzést, ezért hatással vannak az alkalmazások hitelesítésére.

Szabályzat konfigurálása az eszközkezelés ügyféltanúsítványokon keresztüli kihasználásához:

  1. A Microsoft Defender portálon válassza a Gépház. Ezután válassza a Cloud Apps lehetőséget.

  2. A Feltételes hozzáférés alkalmazásvezérlő területén válassza az Eszközazonosítás lehetőséget.

  3. Töltsön fel annyi főtanúsítványt vagy köztes tanúsítványt, amennyit csak szeretne.

    Tipp.

    Ennek működésének teszteléséhez használhatja a legfelső szintű hitelesítésszolgáltatót és az ügyféltanúsítványt az alábbiak szerint:

    1. Töltse le a minta legfelső szintű hitelesítésszolgáltatót és ügyféltanúsítványt.
    2. Töltse fel a legfelső szintű hitelesítésszolgáltatót az Felhőhöz készült Defender-alkalmazásokba.
    3. Telepítse az ügyféltanúsítványt (password=Microsoft) a megfelelő eszközökre.

A tanúsítványok feltöltése után létrehozhat hozzáférési és munkamenet-szabályzatokat az Eszközcímke és az Érvényes ügyféltanúsítvány alapján.

Támogatott alkalmazások és ügyfelek

A munkamenet- és hozzáférés-vezérlők bármilyen interaktív egyszeri bejelentkezésre alkalmazhatók az SAML 2.0 hitelesítési protokoll, illetve a Microsoft Entra ID használata esetén az OpenID Csatlakozás hitelesítési protokoll használatával is. Továbbá, ha az alkalmazásai Microsoft Entra-azonosítóval vannak konfigurálva, ezeket a vezérlőket a Microsoft Entra alkalmazásproxyval konfigurált helyszíni alkalmazásokra is alkalmazhatja. Emellett a hozzáférés-vezérlések natív mobil- és asztali ügyfélalkalmazásokra is alkalmazhatók.

Felhőhöz készült Defender Alkalmazások a cloud appkatalógusában elérhető információk alapján azonosítják az alkalmazásokat. Egyes szervezetek és felhasználók beépülő modulok hozzáadásával testre szabják az alkalmazásokat. Ahhoz azonban, hogy a munkamenet-vezérlők megfelelően működjenek ezekkel a beépülő modulokkal, a társított egyéni tartományokat hozzá kell adni a katalógus megfelelő alkalmazásához.

Megjegyzés:

The Authenticator app, among other native client app sign-in flows, uses a non-interactive sign-in flow and cannot be used with access controls.

Hozzáférés-vezérlés

Számos szervezet úgy dönt, hogy munkamenet-vezérlőket használ a felhőalkalmazásokhoz a munkameneten belüli tevékenységek vezérléséhez, valamint hozzáférési vezérlőket alkalmaz a natív mobil- és asztali ügyfélalkalmazások azonos készletének letiltására, ezáltal átfogó biztonságot biztosítva az alkalmazások számára.

A natív mobil- és asztali ügyfélalkalmazásokhoz való hozzáférést hozzáférési szabályzatokkal letilthatja, ha az ügyfélalkalmazás-szűrőt Mobile és Desktop értékre állítja. Egyes natív ügyfélalkalmazások egyedileg felismerhetők, míg mások, amelyek egy alkalmazáscsomag részét képezik, csak a legfelső szintű alkalmazásként azonosíthatók. Például a SharePoint Online-hoz hasonló alkalmazások csak a Microsoft 365-alkalmazásokra alkalmazott hozzáférési szabályzat létrehozásával ismerhetők fel.

Megjegyzés:

Hacsak az ügyfélalkalmazás szűrője nem kifejezetten a Mobile és az asztali verzióra van beállítva, az eredményként kapott hozzáférési szabályzat csak a böngésző munkamenetekre lesz érvényes. Ennek az az oka, hogy megakadályozza a felhasználói munkamenetek véletlen proxyzását, ami a szűrő használatának mellékterméke lehet. Bár a legtöbb fő böngésző támogatja az ügyféltanúsítvány-ellenőrzés végrehajtását, egyes mobil- és asztali alkalmazások beépített böngészőket használnak, amelyek esetleg nem támogatják ezt az ellenőrzést. Ezért a szűrő használata befolyásolhatja ezeknek az alkalmazásoknak a hitelesítését.

Session controls

Bár a munkamenet-vezérlők úgy vannak kialakítva, hogy bármilyen operációs rendszer bármely fő platformján bármilyen böngészővel működjenek, támogatjuk a Microsoft Edge (legújabb), a Google Chrome (legújabb), a Mozilla Firefox (legújabb) vagy az Apple Safari (legújabb) használatát. A mobil- és asztali alkalmazásokhoz való hozzáférés is letiltható vagy engedélyezhető.

Megjegyzés:

  • Felhőhöz készült Defender Alkalmazások a Transport Layer Security (TLS) 1.2+ protokollt használják az osztályon belüli legjobb titkosítás biztosításához. A TLS 1.2+-t nem támogató natív ügyfélalkalmazások és böngészők nem lesznek elérhetők, ha munkamenet-vezérléssel van konfigurálva. A TLS 1.1 vagy újabb verziót használó SaaS-alkalmazások azonban a TLS 1.2+ használatával jelennek meg a böngészőben, ha az Felhőhöz készült Defender-alkalmazásokkal van konfigurálva.
  • A munkamenet-vezérlők portal.office.com való alkalmazásához Microsoft 365 Felügyeleti központ kell előkészítenie. Az alkalmazások előkészítéséről további információt a Feltételes hozzáférésű alkalmazásvezérlő előkészítése és üzembe helyezése bármely alkalmazáshoz című témakörben talál.

Előre előkészített alkalmazások

A korábban említett hitelesítési protokollok használatával konfigurált webalkalmazások a hozzáférés- és munkamenet-vezérlők használatához is előkészíthetők. Emellett a következő alkalmazások már bevezetésre kerülnek az Azure Access Directory hozzáférési és munkamenet-vezérlőivel is.

Megjegyzés:

A kívánt alkalmazásokat a hozzáférés- és munkamenet-vezérlőkhöz, valamint az első bejelentkezéshez kell irányítani.

  • AWS
  • Box
  • Concur
  • Igény szerinti sarokkő
  • DocuSign
  • Dropbox
  • Egnyte
  • GitHub
  • Google Workspace
  • HighQ
  • JIRA/Confluence
  • LinkedIn Learning
  • Microsoft Azure DevOps (Visual Studio Team Services)
  • Microsoft Azure Portal
  • Microsoft Dynamics 365 CRM
  • Microsoft Exchange Online
  • Microsoft OneDrive Vállalati verzió
  • Microsoft Power BI
  • Microsoft Office SharePoint Online
  • Microsoft Teams
  • Microsoft Yammer
  • Salesforce
  • Slack
  • Tableau
  • Workday
  • Workiva
  • Munkahely a Meta-ból

Ha egy adott alkalmazás előzetes előkészítése érdekli, küldjön nekünk adatokat az alkalmazásról. Mindenképpen küldje el az előkészítéshez szükséges használati esetet.

Known limitations

A biztonsági korlátozásokkal kapcsolatos további információkért forduljon támogatási csapatunkhoz.

  • Böngésző beépülő modul korlátozása
    A feltételes hozzáférésű alkalmazásvezérlő munkamenet-korlátozásainak kényszerítési megoldása nem támogatja a natív alkalmazásokat, mivel a mögöttes alkalmazáskód módosítását igényli. A natív alkalmazásokhoz hasonló böngészőbővítmények előre telepítve vannak a böngészőben, ezért nem engedjük meg, hogy szükség szerint módosítsuk a kódjukat, és a jogkivonatok proxymegoldáson keresztüli átirányításakor megszakad. Rendszergazdaként megadhatja az alapértelmezett rendszer viselkedését, ha egy szabályzat nem kényszeríthető ki, és választhat a hozzáférés engedélyezése vagy teljes letiltása között.

  • Környezeti veszteség
    Az alábbi alkalmazásokban olyan eseteket észleltünk, amikor a hivatkozásra való navigálás a hivatkozás teljes elérési útjának elvesztését eredményezheti, és általában a felhasználó az alkalmazás kezdőlapjára kerül.

    • ArcGIS
    • GitHub
    • Microsoft Power Automate
    • Microsoft Power Apps
    • Munkahely a Meta-ból
    • ServiceNow

  • A munkamenet-szabályzatok legfeljebb 50 MB méretű fájlokra érvényesek
    A legfeljebb 50 MB méretű fájlokra munkamenet-szabályzatok vonatkoznak. Egy rendszergazda például a következő munkamenet-szabályzatok egyikét határozhatja meg:

    • Fájlletöltések figyelése a OneDrive-alkalmazáshoz
    • Fájlfeltöltés letiltása
    • Kártevőfájlok letöltésének letiltása\feltöltése

    Egy legfeljebb 50 MB méretű fájl kezelése az adott esetben a munkamenet-szabályzatok alapján történik. Nagyobb fájlok esetén a bérlői beállítások (Gépház > feltételes hozzáférésű alkalmazásvezérlő > alapértelmezett viselkedése) határozzák meg, hogy a fájl engedélyezett vagy letiltott-e, függetlenül az egyező szabályzatoktól.

  • Az adatvédelmi ellenőrzési szabályzatok legfeljebb 30 MB méretű és 1 millió karakter hosszúságú fájlokra érvényesek
    Amikor az adatvédelmi tartalomvizsgálaton alapuló fájlfeltöltéseket vagy letöltéseket letiltó munkamenet-szabályzatot alkalmaz, az ellenőrzést 30 MB-nál kisebb és 1 millió karakternél kisebb fájlokon hajtják végre. Egy rendszergazda például a következő munkamenet-szabályzatok egyikét határozhatja meg:

    • A társadalombiztosítási számot (SSN) tartalmazó fájlok fájlfeltöltésének letiltása
    • A PHI-t tartalmazó fájlok fájlletöltésének védelme (védett állapotinformációk)
    • "Nagyon bizalmas" bizalmassági címkével rendelkező fájlletöltés letiltása

    Ilyen esetekben a rendszer nem ellenőrzi a 30 MB-nál vagy 1 millió karakternél nagyobb fájlokat, és a rendszer az Always szabályzatbeállítása szerint kezeli a kiválasztott műveletet akkor is, ha az adatokat nem lehet beolvasni. Íme néhány példa:

    • EGY TXT fájl, 1 MB-os méret és 1 millió karakter: be lesz vizsgálva
    • TXT fájl, 2 MB-os méret és 2 millió karakter: nem lesz beolvasva
    • képekből és szövegből álló Word-fájl, amely 4 MB méretű és 400 K karakterből áll: a rendszer beolvasja
    • képekből és szövegekből álló Word-fájl, amely 4 MB méretű és 2 millió karakterből áll: nem lesz beolvasva
    • képekből és szövegekből álló Word-fájl, amely 40 MB méretű és 400 K karakterből áll: nem lesz beolvasva

  • Fájlfeltöltés korlátozása

    Ha a bizalmas fájlok feltöltésének letiltására vagy figyelésére vonatkozó munkamenet-házirend van alkalmazva, akkor ezekben az esetekben a felhasználó által a fájlok vagy mappák húzással & való feltöltésére tett kísérletek blokkolják a fájlok és mappák teljes listáját:

    • 100 vagy több fájlt tartalmazó mappa

    • legalább egy fájlt és legalább egy almappát tartalmazó mappa

    • több almappát tartalmazó mappa

    • legalább egy fájl és legalább egy mappa kijelölése

    • több mappa kijelölése

      Here are a few examples:

    A biztonsági rendszergazda a következő szabályzatot határozza meg: PII-t tartalmazó fájlok feltöltésének letiltása a OneDrive-ra.

    • A felhasználó a fájlfeltöltési párbeszédpanelen 200 nem bizalmas fájlt próbál feltölteni. Eredmény: a fájlok feltöltése
    • A felhasználó 200 nem bizalmas fájlt próbál feltölteni húzással & . Eredmény: a fájlok le vannak tiltva
    • A felhasználó 200 fájlt próbál feltölteni, némelyik bizalmas, mások pedig nem, a fájlfeltöltési párbeszédpanelen. Eredmény: a nem bizalmas fájlok feltöltése, a bizalmas fájlok le vannak tiltva
    • A felhasználó 200 fájlból álló kijelölést próbál feltölteni, némelyik bizalmas, mások pedig nem, húzással & . Eredmény: a teljes fájlkészlet le van tiltva

További lépések

Az alkalmazások előkészítésére vonatkozó utasításokért tekintse meg az alábbi megfelelő dokumentumot:

Ha bármilyen problémába ütközik, azért vagyunk itt, hogy segítsünk. A termékproblémával kapcsolatos segítségért vagy támogatásért nyisson meg egy támogatási jegyet.