A megbízható üzleti működéshez manapság elengedhetetlen feltétel az információvédelem megléte. Külső partnerekkel történő együttműködés igénye, és a jogszabályi megfelelőség mind-mind arra ösztönzi a szervezeteket, hogy legyen megoldásuk a kihívásra.

A M365-ben lévő információvédelmi megoldással a szervezet digitális információvagyona kezelhető és megvédhető a felhőben, on-premise környezetben, felhasználói eszközökön egyaránt.

Sok esetben kevesen tudják, de az M365 E3 (és O365 E3 + EMS E3, ez utóbbi népszerű licenszkonstrukció a hazai vállalaltoknál) beépítetten tartalmaz sok képességet, amivel lefektethető egy információvédelmi rendszer alapja. A megoldás neve a Microsoft Information Protection, röviden MIP.

A védelem életciklusa a következőképpen épül fel:

• discover: az érzékeny adatok felderítése
• classify: adat megfelelő kategóriába helyezése (pl. céges adat, szenzitív információ)
• protect: az adat védelemmel történő ellátása manuálisan vagy automatikusan (label)
• monitor: a védett adat felhasználásának követése.

Nézzünk egy fikítv példát, hogyan működik a fenti folyamat, GDPR-megfelelősséggel:

Andrea foglalkozik a HR-folyamatokkal, dolgozói belépésekkel. Emiatt sok személyes adattal dolgozik Word- és Excel fileokban.

Discover: a rendszergazda beállította a MIP-et, hogy felismerje a szenzitív információkat (pl. személyi igazolvány számokat), és policyket rendeljen hozzá.

Classify: a MIP alkalmazza a megfelelő címkét, a policy előírásoknak megfelelően.

Protect: MIP automatikusan ellátja a megfelelő védelemmel a filet, amivel megakadályozható, hogy illetéktelenek férjenek hozzá a tartalomhoz. A védelem maga a file részévé válik. Ebben az esetben, ha a file ki is kerül a szervezetből (véletlen vagy szándékos adatszivárgás során), az információ védett marad.

Monitor: a felhasználó vagy a rendszergazda nyomon tudja követni, ki nyitotta meg a file-t (sikeresen vagy sikertelenül, jogosultság hiányában). Amennyiben úgy tűnik, hogy sok a sikertelen hozzáférés – ez lehet biztonsági probléma is- , a hozzáférés könnyen visszavonható.

A következő leírásban bemutatom, hogyan lehet egy nagyon alap megoldást létrehozni, amivel a céges dokumentumokat lehet védeni, hogy közben a felhasználók zavartalanul dolgozhassanak.

Elvárás a megoldással szemben:

• minden, céges accounttal rendelkező dolgozó teljeskörűen hozzáférhessen a dokumentumokhoz, szerkeszthesse-nyomtathassa stb, fennakadás nélkül.
• ha a dokumentum kikerül a szervezetből (emailen elküldve, usb-re kimásolva, stb), a védelem maradjon rajta és illetéktelenek ne tudjanak hozzáférni a tartalmához.

Lépések:

Sensitvity Label létrehozása az O365 Security&Compliance Centerben (https://protection.office.com/sensitivity?viewid=sensitivitylabels)

A labelt nevezzük el, pl Internal Use Onlynak:

Az Encryption részen lehet beállítani, hogy védelmi címke alkalmazódjon. Az “Assign permission now” részben tudjuk a jogosultságokat megszabni, kiknek legyen jogosultsága.

A “Choose permission” résznél pedig definiálható, hogy milyen jogosultság legyen hozzárendelve (save, print, copy stb)

A content marking (itt lehetne vízjelet, headert-footert tenni a dokumentumokba), site and group settings, auto-labeling opciókat ebben a példában nem használjuk, csak el kell menteni a labelt.

Az elkészült label megjelenik a felületen:

A label létrehozása után meghatározhatjuk, hogy kinek legyen elérhető. Ezt a label policy beállításban lehet megtenni. Válasszuk a “Publish labels” opciót:

Válasszuk a “Choose sensitivity labels to publish” részt:

A Publish users and groups résznél kiválaszthatjuk, milyen felhasználóknak vagy csoportoknak szeretnénk elérhetőve tenni:

A Policy settings résznél hagyjuk meg az alapbeállításokat:

Nevezzük el a policyt, majd mentsük el:

Az így létrejött policyt láthatjuk a label publishing policynél:

Következő lépésként a felhasználók gépére telepíteni az Azure Information Protection klienst, ami letölthető a Microsoft oldaláról: https://www.microsoft.com/en-us/download/details.aspx?id=53018

A telepítést követően az Office-alkalmazásokban megjelenik egy új menüsor, benne a publikált labellel:

Felhasználói élmény:

A felhasználó innentől kezdve tudja használni az információvédelmi megoldást, a dokumentumra rátéve a labelt, mentés után a következő információt látja:

Megjegyzendő, hogy a “tartalomfogyasztás” maga az ingyenes, tehát a védett dokumentumok megnyitáshoz nincs szükség az Azure Information Protection kliens telepítésére és AIP P1 licensz hozzárendelésére.

Az alapszintű információvédelemi megoldásunk tehát elkészült, a felhasználók tudnak dolgozni vele. Nézzük meg, hogy mi történik, ha egy ilyen “Internal Use Only” védett dokumentum kikerül a szervezeten kívülre.

A példában egy ilyen védett dokumentumot egy melléütés miatt rossz emailcímre küldtek ki. A fogadó megpróbálja megnyitni a file-t a Wordjében, de az bejelentkezési ablakot dob fel.

Mivel nincsen céges accountja, ezért a dokumentum tartalmához sem tud hozzáférni:

Levelezés esetében is hasonlóképp működik a védelem, ha emailt küldünk és rátesszük az Internal Use Only labelt, csak a cégen belüli felhasználók tudják megnyitni:

A fenti leírás alapján látható, hogy nagyon könnyű egy alapszintű védelmi rendszert beállítani, amit természetesen lehet tovább finomítani (további labelek, külsősökkel történő adatcsere esetére pl), illetve adott esetben automatizmusokkal ellátni.

Mi a Cloud App Security?

Ezt a terméket viszonylag kevesen ismerik, pedig nagyon jó szolgáltatot tud tenni egy IT-szervezetben, a felelős szakemberek (CISO, security osztály stb) válláról hatalmas terhet levesz. Az alábbi cikkben szeretném röviden, technikai mélységek nélkül ezt bemutatni.

A Microsoftos világon kívül is rengeteg olyan felhős szolgáltatás van, ami a szervezet működéséhez szükséges, pl Salesforce. A mai IT-trendeket tekintve, nem realis a teljes “bezárkózás”, hanem gondolni kell az MS-ökoszisztémán kívül eső szolgáltatásokra, ezek felügyeletére is.

Mire használató a CloudApp Security?

Egyfelől megoldást ad a Shadow IT problémára, másfelől integrációt tud biztosítani más felhős szolgáltatásokkal, így az IT-által kontrollált módon történhet a céges adatok mozgása/felhasználása.

 Pár szó a Shadow IT jelenségről:

Shadow IT-nak hívjuk azt, mikor a felhasználók valamilyen szolgáltatást nem kapnak meg a céges IT-tól (szándékosan vagy még nincs megoldás az igényre), és ilyenkor maguk kezdenek megoldást keresni/kiépíteni. A klasszikus példa: “szeretném a fileokat máshonnan is elérni, de erre nem volt mód. Ezért beállítottam egy Google Drive-ot és most működik a fileok szinkronizálása“

Ez egy nagyon veszélyes jelenség, mivel könnyen látható, hogy céges adatok kontroll nélkül kerülnek más felhős szolgáltatásokba, menedzseletlen gépekre (pl. otthoni közös gép). A nemzetközi statiszkák alapján pedig a dolgozók 80%-a használ olyan alkalmazásokat/felhős szolgáltatásokat, amiket az IT nem hagyott jóvá!

Az üzleti igényre, hogy miként lehet monitorozni/kontrollálni a céges adatok mozgását más szolgáltatások felé, a CloudApp Security tud választ adni, a következő elven:

A fenti ábra egyszerűsített magyarázata:

–       azonosítsuk a felhős alkalmazásokat

–       vizsgáljuk meg azokat céges szabályzat szerinti megfelelőségnek

–       beszéljünk a felhasználóinkkal, hogy miért hasznáják ezeket, mi az igény és erre az igényre milyen választ/alternatívát tudna adni az IT

–       engedélyezzük vagy tiltsuk ezeket az alkalmazásokat

–       monitorozzuk a további felhasználást

Hogyan monitorozható a felhős alkalmazások használata?

Az egyik lehetőség, mikor csak egy pillanatképet szeretnék kapni, hogy általában milyen alkalmazásokat használnak a felhasználók. Ilyenkor a céges proxy szerver logjait(pl. elmúlt 2-3 hét) be lehet tölteni a CloudApp Securityba (Snapshot report néven található a beállítás) és az kiad egy átlátható dashboardot:

Itt könnyen áttekinthető a felhős alkalmazások használata, felhasználókra, adatforgalomra stb részletezve. 

Van mód folyamatos logolásra is (Continuous report), mikor a céges proxy szerver folyamatosan adja át a logokat a CloudApp Securitynek, így majdnem valós időben is monitorozható a forgalom.

 Mi a helyzet azokkal a gépekkel, amik nincsenek a céges tűfal/proxy mögött? Elég gyakori jelenség már, hiszen a mobilitás ugrásszerűen megnőtt, egyre több felhasználó dolgozik otthonról vagy különféle hálózatokból. Nos, a Windows 10 1809 verzióval bejött az a képesség, hogy a beépített Windows Defender kliensen keresztül közvetlenül tud reportálni a CloudApp Securitybe.

 A riportok elemzése után következő lépésként megvizsgálható, hogy ezek a használt termékek milyen nemzetközi szabványoknak felelnek meg. Például, ha céges előírás, hogy csak olyan Saas alkalmazás használható, ami teljesíti a SOC2 követelményt, ez könnyen ellenőrzihető.

A CloudApp Security több mint 16 ezer alkalmazást kategorizált (ez folyamatosan bővül), és villámgyorsan lekérdezhető a Cloud App Catalogon keresztül, egy-egy alkalmazás megfelelősége:

 A lenti példán a Google Drive compliance reportja:

Ez a Catalog szolgáltatás mérhetetlen mennyiségű munkát levesz a felelős szakember válláról, hiszen nem kell egyenként keresgélnie egy adott felhős alkalmazással kapcsolatban, hanem ezeket a reveláns információkat készen kapja.

 (megjegyzés: a Microsoft 10-es skálán sorolja az alkalmazásokat, a megfelelőségeket tekintve. Mivel itt több mint 70 nemzetközi standardot vesz alapul, így nem “hajlik a keze maga felé” 😊 A Skype sem kapta meg a 10-es pontszámot, mivel security és compliance szempontok alapján nem teljesíti mindet. Így ez a besorolás teljesen objektív)

 Ezek után érdemes párbeszédet kezdeni a felhasználókkal, ha kiugróan nagy használatot látunk. A példához visszatérve, ha azt látjuk a logokból, hogy napi 2-3 gigabájt adatot töltenek fel a Google Drive-ba, akkor érdemes megkérdeni, hogy mi az igény és az IT mit tud erre nyújtani (lehet a megoldás az OneDrive beállítása, ahol már megoldható az adatok feletti kontroll)

Természetesen a szigorúan szabályozott szervezeteknél ez nem feltétlenül járható, de a párbeszéddel és konstruktív megoldási tervvel mindenki jól jár.

 Amennyiben a felhős alkalmazás elfogadható a céges normák szerint, akkor beemelhető a szoftverkatalógusba.

 A CloudApp Security további képességei, csak címszavakban:

–       magas szintű logolás: felhasználók, fileok, aktivitások részletes logolása-elemzése

–       integráció a Windows Defender ATP és Azure Information Protection termékekkel

–       alkalmazások publikálása: Conditional Access segítségével meghatározható, hogy pl. csak domain tag gépről lehet mellékleteket letölteni a gépre, más esetben letiltja

–       előre definiált alert policyk: pl. nagyszámú fileletöltés adott időn belül, emailek kifelé forwardolása, nagymennyiségű adatforgalom nem jóváhagyott felhős alkalmazás felé

–       anomáliák, riasztások észlelése és kezelése

Ez a termék nagyon ajánlott minden szervezet számára, hiszen a céges adatok kontrollálása megkerülhetetlen felelősség manapság.

Kipróbálható a 30 napos verzió: https://www.microsoft.com/en-us/cloud-platform/cloud-app-security-trial illetve része az Enterprise + Mobility E5 csomagnak

A jó védekezés egyik alapvetése, hogy a támadási felületet csökkentjük. Ugyanez igaz az IT-ra is, érdemes minél kisebb teret hagyni a sebezhető pontoknak (másik megközelítés, hogy addig növelni a támadó ROI-ját, hogy inkább más célpontot keressen)

A klasszikus védelmi megoldásokat ismerjük, antivírus szoftver, tűzfal, nem látogatunk kétes oldalakat, stb. Sajnos ezek kevesek lehetnek, ha alkalmazásokon keresztül érkezik a fenyegetés.

Az alkalmazások tartalmazhatnak régi, elavult megoldásokat, amiket kártevők kihasználhatnak. Jellemző példa a makrók, amik nagyszerű eszközök, de rosszindulatú módon is bevethetők. Vagy mint lentebb láthatjuk, egy rosszindulatú-preparált Adobe PDF károkozása “megúszható”

A Microsoft Attack Surface Reduction (ASR) megoldásával az alkalmazásokat kihasználó támadások sikeresen megakadályozhatók.

Gyorsan elő a feketelevessel: csak Windows 10 Enterprise kiadással működik. Cserébe Intune-ból és SCCM-mel is kezelhető… 🙂

Az ASR segítségével letiltható, hogy Office és Adobe programok futtatható állományokat hozzanak létre vagy pl. WMI-n keresztül processeket indítsanak. Könnyen látható, hogy pár legitim eset kivételével ezek bizony kártékony viselkedésre utalhatnak, tehát blokkolandó. Emellett a scriptek (JavaScript, VBScript) működése is felügyelhető.

További szabályozható beállítások, csak felsorolás jelleggel:

• Block executable content from email client and webmail: régi, de hasznos, levelezőklienssel ne lehessen futtatható állományokat megnyitni.
• Block Office Communication Applications from Creating Child Processes: megakadályozza, hogy az Office-alkalmazások újabb processeket hozzanak létre. Ha szükség van rá, kivételként engedélyezhető, az alap a blokkolás.
• Block Adobe Reader from Creating Child Processes: ó, a PDF-fileok, támadók kedvence. Sok sebezhetőséget tartalmaz, sok esetben lassan foltozzák a szoftvert a cégek, ráadásul a “PDF az PDF”, miért ne nyitnám meg? Itt jó szolgáltatot tehet a szabály, hogy egy PDF csak ne akarjon processeket indítgatni….
• Use advanced protection against ransomware: egy plusz védelmi vonal, ha egy futtatható állomány kártevőre hajaz, letiltja futását, még akkor is, ha alapból engedélyezve van.
• Block process creations originating from PSExec and WMI commands: psexec és wmi nem hozhat létre processeket. Ha SCCM-et használunk, ez NE állítsuk be, mert csúnyán belekavarhat az SCCM kliens működésébe.
• Block untrusted and unsigned processes that run from USB: bár az usb használata csökkenőben, azért nem baj, ha egy pendriveon lévő, digitális aláíráson lévő állomány nem indulhat el közvetlenül.
• Block credential stealing from the Windows local security authority subsystem: nem engedi, hogy külső alkalmazások jelszavakat vagy hash-eket szedjenek ki a memóriából.

A teljes szabálylista itt érhető el: https://docs.microsoft.com/hu-hu/windows/security/threat-protection/microsoft-defender-atp/attack-surface-reduction

Az ASR bevezetésekor érdemes monitorozással kezdeni, hogy a későbbi blokkolás mit érintene (pl. pénzügy esetén makrók generálása stb). Az Audit mode-dal ezt alaposan meg tudjuk vizsgálni, kivételeket képezni. Ezután jöhet a Block mode, ami a fenti szabályok alapján már tiltást végez.

Windows 10 E5 vagy M365 E5 licensz birtokában megkapjuk a Microsoft Defender ATP szoftver is, amivel az ASR teljesen kompatibilis, az evvel kapcsolatos riasztások és policyk központilag kezelhetők. Az alábbi képen látható, hogy átlagos hétfői napon több mint 1800 ASR-block történt…

A fentiek fényében tehát nagyon ajánlott az ASR bevezetése, evvel is csökkentve a támadási felületet.

Pajzsok fel!