--- title: Domeny description: Każda zewnętrzna organizacja, która dotyka Twojego tenanta - kto wysyła Ci e-maile, ma dostęp gościnny, otrzymuje Twoje pliki - rozpoznana jako realna firma i zestawiona z ustawieniami zaufanych domen Microsoft. icon: Globe --- # Domeny Ekran Domeny odpowiada na pytanie, które stawia każdy inny ekran: **„Czy my w ogóle znamy tę organizację?"** Gość pojawia się w grupie, plik trafia na zewnętrzny adres, wyskakuje aplikacja dostawcy - każde z tych zdarzeń to relacja z zewnętrzną organizacją, a ten ekran sprawia, że te relacje stają się widoczne, dostają nazwę i decyzję. ## Co możesz osiągnąć ## Od ciągów znaków do znanych organizacji Każde źródło sygnału w Microsoft 365 mówi tym samym kluczem - domeną e-mail - więc to ona jest jednostką tego ekranu. Ale sam ciąg znaków niczego nie mówi. 1Security rozpoznaje każdą zaobserwowaną domenę w katalogu tenantów Microsoft Entra i klasyfikuje ją: - **Znana organizacja** - domena należy do realnego tenanta Entra; widzisz jego nazwę, tożsamość tenanta i domeny siostrzane. - **Poczta prywatna** - gmail.com i krewni. Ten dostęp należy do osoby, nie do organizacji - zupełnie inna rozmowa o ryzyku. - **Nierozpoznana** - nie stoi za nią żadna organizacja Microsoft: własny serwer poczty, inne chmury albo coś, czemu warto się przyjrzeć. - **Wewnętrzna** - domeny Twojej własnej organizacji, ukryte w widoku domyślnym. W panelu wielotenantowym obejmuje to każdego połączonego tenanta, więc tenant siostrzany nigdy nie pojawia się jako zewnętrzny kontrahent. Ponad tą klasyfikacją stoi **Twój werdykt**: *nieprzejrzana*, *zaufana*, *obserwowana* lub *zablokowana*. Klasyfikacja to to, co da się udowodnić; werdykt to decyzja Twojej organizacji. Każda zmiana werdyktu jest rejestrowana - kto, kiedy i dlaczego - więc rejestr zaufania obroni się w audycie. ## Zestawienie ustawień zaufanych domen Microsoft Microsoft dostarcza kilka mechanizmów zaufanych domen - listy domen udostępniania SharePoint i OneDrive, ograniczenia zaproszeń gości, ustawienia partnerów dostępu między tenantami. Żyją w różnych centrach administracyjnych, używają różnych kluczy i nigdy się nie sprawdzają nawzajem. Domena „zablokowana" w jednym mechanizmie może mieć żywych gości, działające linki i codzienny ruch pocztowy przez pozostałe - i nie ma ekranu Microsoft, na którym ta sprzeczność kiedykolwiek by się pojawiła. 1Security odczytuje mechanizmy, do których ma dostęp - listy udostępniania SharePoint w całym tenancie, konfigurację partnerów dostępu między tenantami oraz (dla tenantów z połączeniem audytowym) listę Tenant Allow/Block usługi Defender, czyli własny mechanizm kanału pocztowego - i zestawia status każdej domeny z zaobserwowaną rzeczywistością. Sprzeczności stają się **flagami rozjazdu**: - **Zablokowana, ale aktywna** - na liście zablokowanych (udostępniania lub poczty), a mimo to goście lub niedawna aktywność trwają. Blokada nie odbiera dostępu, który już istnieje - to tu ta niespodzianka wychodzi na jaw. - **Zaufana, ale nieużywana** - skonfigurowana jako zaufana (werdykt, lista dozwolonych lub partner między tenantami) bez aktywności od 90 dni. Nieużywane zaufanie to powierzchnia ataku, z której nikt nie korzysta. - **Aktywna bez decyzji** - do tej domeny płyną dane wrażliwe, a nie obejmuje jej żadna kontrola ani werdykt. To kolejka przeglądu, uszeregowana według tego, co faktycznie wypływa. - **Sprzeczne listy** - listy na poziomie tenanta i witryn nie zgadzają się co do tej samej domeny. Każda klasa rozjazdu jest dostępna jako gotowy szablon detekcji, więc „zablokowana, ale aktywna" podnosi alert, zamiast czekać, aż ktoś przejrzy listę. ## Szybkie filtry Rząd chipów nad listą to miniatura procesu przeglądu, każdy chip z żywym licznikiem: **Zablokowana, ale aktywna** i **Aktywna bez decyzji** (dwie klasy rozjazdu warte natychmiastowej uwagi), **Nieprzejrzana** (zaległości werdyktów), **Ekspozycja danych wrażliwych**, **Nierozpoznana**, **Poczta prywatna**, **Ma gości**, **Udostępnione pliki**, **Nowa w ostatnich 30 dniach**, **Zablokowana** i **Bez aktywności od roku**. Obok stoją chipy rejestru: **Ponownie zarejestrowana po pierwszym kontakcie**, **Zmiana właściciela (90 dni)**, **Zarejestrowana mniej niż 30 dni temu** i **Wiek nieznany**. ## Lista domen Każdy wiersz to jedna zewnętrzna organizacja: domena z rozpoznaną nazwą z Entra pod spodem, plakietki klasyfikacji i werdyktu, wskaźnik rozjazdu oraz relacja w liczbach - konta gości, korespondenci e-mail, wymienione wiadomości, pliki dostępne dla jej ludzi, ekspozycja danych wrażliwych, a także początek i ostatnia aktywność relacji. **Pierwszy kontakt** to najwcześniejszy datowany ślad kontrahenta, jaki mamy - pierwsza wiadomość, konto gościa lub udostępniony plik - i należy go czytać jako „znana co najmniej od”: nie może być starszy niż zeskanowane dane. To co innego niż **Wykryta**, czyli moment, w którym 1Security po raz pierwszy zobaczyło domenę. Chip **Nowa w ostatnich 30 dniach** i pole polityki *New relationship* korzystają z pierwszego kontaktu. Kliknij dowolną domenę, aby zobaczyć pełny obraz. ### Panel szczegółów - **Wgląd** - tożsamość organizacji w Entra, podsumowania relacji i oś czasu. - **Rejestr** - co publiczny rejestr domen mówi o tej nazwie: kiedy ją zarejestrowano, kto ją posiada, kto prowadzi jej DNS, kiedy wygasa, oraz oś czasu zdarzeń rejestrowych i zmian właściciela zaobserwowanych przez 1Security, obok Twoich własnych kamieni milowych (pierwszy kontakt, zmiany werdyktu). Przycisk **Odśwież teraz** kolejkuje ponowne sprawdzenie. - **Ustawienia** - status tej domeny w każdym mechanizmie Microsoft, który 1Security odczytuje, rozjazd wyjaśniony prostymi słowami, Twój werdykt z notatką i historią oraz przycisk blokowania/odblokowania. - **Osoby** - konta gości z tej domeny (zarówno Entra B2B, jak i goście wyłącznie SharePoint) oraz korespondenci e-mail, których nie ma w żadnym katalogu. - **Pliki** - wszystko, do czego goście tej domeny mają dostęp, uszeregowane według wrażliwości. - **E-maile** - ruch pocztowy z tą domeną w obu kierunkach. - **Aktywność** - zdarzenia z logów audytu wykonane przez ludzi tej domeny. ## Rejestr: wiek, własność i wygaśnięcie Na każdej domenie zewnętrznej są trzy zegary, każdy z innego źródła: - **Zarejestrowana** - początek bieżącej rejestracji odczytany z publicznego rejestru (RDAP, a dla rejestrów bez usługi RDAP - WHOIS). Ponowna rejestracja zeruje ten zegar; wcześniejsza data zostaje na osi czasu. - **Własność od** - najpóźniejsza z: rejestracji, transferu opublikowanego przez rejestr oraz zmiany właściciela zaobserwowanej przez 1Security między dwoma własnymi migawkami (zmiana rejestratora, organizacji abonenta lub operatora serwerów nazw). - **Pierwszy kontakt** - najwcześniejszy datowany ślad, jaki masz (patrz Lista domen powyżej). Wyprowadzone z nich flagi używają tego samego etykietowania wieku domen co Cloudflare, więc możesz je zestawić z własnym filtrem poczty: **Zarejestrowana mniej niż 30 dni temu**, **Ponownie zarejestrowana po pierwszym kontakcie** (rejestracja jest młodsza niż Twoja relacja - nazwa została porzucona i przejęta przez kogoś innego, gdy wciąż miałeś z nią do czynienia), **Zmiana właściciela (90 dni)**, **Wygasa w ciągu 30 dni**, **Wygasła** (minął termin albo rejestr pokazuje status wykupu lub oczekiwania na usunięcie) oraz **Wiek nieznany**. Wiek nieznany to uczciwy stan, a nie brak problemu: niektóre rejestry nigdy nie publikują daty rejestracji (m.in. DENIC dla .de i SWITCH dla .ch, a kilka rejestrów bez RDAP ukrywa ją też w WHOIS). Takie domeny mają własną flagę i szybki filtr, żeby dało się je przejrzeć ręcznie. Niebezpieczne kombinacje otwierają incydenty na ekranie Anomalie pod nazwą **Ryzyko rejestru domeny**: ponownie zarejestrowana domena, która nadal ma gości, pliki lub niedawną pocztę; zmiana właściciela domeny, której ufasz; domena młodsza niż 30 dni, która ma już gości, pliki lub wrażliwą pocztę; oraz zaufana domena, której rejestracja wygasła. Ustawienie werdyktu **Zablokowana** zamyka incydent; zniknięcie warunku również. Dane rejestrowe są publiczne i takie same dla każdego tenanta, więc 1Security trzyma jeden wspólny rekord na nazwę domeny i odświeża go według harmonogramu (co tydzień dla młodych lub wkrótce wygasających nazw, co miesiąc lub kwartał dla pozostałych). Nazwiska i dane kontaktowe osób nie są nigdy zapisywane - tylko organizacja, kraj, rejestrator, serwery nazw, daty i kody statusu. Instalacje samodzielnie hostowane potrzebują wychodzącego HTTPS do hostów RDAP rejestrów oraz portu TCP 43 dla WHOIS; bez portu 43 dotknięte TLD pokazują się po prostu jako nieobsługiwane. Gdy serwer w ogóle nie może połączyć się z rejestrami, nic się nie psuje: mechanizm pobierania sprawdza własny ruch wychodzący przed każdym uruchomieniem i zatrzymuje się zamiast zapisywać błędy, a ekran Domeny pokazuje krok wdrożenia z dokładną listą hostów i portów do odblokowania oraz przyciskiem **Sprawdź ponownie**, który powtarza test na żądanie. Gdy droga jest otwarta, oczekujące nazwy są sprawdzane przy następnym uruchomieniu. Instalacje samodzielnie hostowane znajdą tę samą tabelę w przewodniku wdrożeniowym (sekcja 5.5a, ruch wychodzący dla zapytań do rejestru domen). ## Blokowanie domeny Z karty Ustawienia możesz zablokować (lub odblokować) udostępnianie SharePoint i OneDrive do domeny w całym tenancie. 1Security edytuje listy domen udostępniania Twojego tenanta przez API Microsoft, działając w trybie ograniczeń, który już masz - dopisuje do listy zablokowanych albo usuwa z listy dozwolonych i nigdy sam nie przełącza trybu za Twoimi plecami. Blokada zatrzymuje **nowe** udostępnianie. Goście, którzy już przyjęli zaproszenia, i istniejące linki działają dalej - mechanizmy Microsoft z założenia patrzą tylko w przód. Karty Osoby i Pliki pokazują dokładnie, co przetrwa blokadę, a flaga *zablokowana, ale aktywna* dalej to obserwuje. ## Uprawnienia Odkrywanie, podsumowania i werdykty działają na danych, które 1Security już zbiera - bez dodatkowych uprawnień. Trzy opcjonalne uprawnienia odczytu włączają resztę: `CrossTenantInformation.ReadBasic.All` (rozpoznawanie domen jako organizacji Entra), `SharePointTenantSettings.Read.All` (listy udostępniania w całym tenancie) oraz `Policy.Read.All` (partnerzy dostępu między tenantami). Blokowanie domeny wymaga dodatkowo uprawnienia zapisu SharePointTenantSettings. Lista Tenant Allow/Block usługi Defender korzysta z połączenia Exchange Online aplikacji audytowej - jeśli logi audytu są połączone, listy pocztowe przychodzą bez żadnego dodatkowego uprawnienia. Wszystko degraduje się łagodnie: brakujące uprawnienie jest pokazywane jako właśnie to, nigdy jako pusty ekran.