DomenyCopy Anchor Link

Ekran Domeny odpowiada na pytanie, które stawia każdy inny ekran: „Czy my w ogóle znamy tę organizację?" Gość pojawia się w grupie, plik trafia na zewnętrzny adres, wyskakuje aplikacja dostawcy - każde z tych zdarzeń to relacja z zewnętrzną organizacją, a ten ekran sprawia, że te relacje stają się widoczne, dostają nazwę i decyzję.

Co możesz osiągnąćCopy Anchor Link

Od ciągów znaków do znanych organizacjiCopy Anchor Link

Każde źródło sygnału w Microsoft 365 mówi tym samym kluczem - domeną e-mail - więc to ona jest jednostką tego ekranu. Ale sam ciąg znaków niczego nie mówi. 1Security rozpoznaje każdą zaobserwowaną domenę w katalogu tenantów Microsoft Entra i klasyfikuje ją:

• Znana organizacja - domena należy do realnego tenanta Entra; widzisz jego nazwę, tożsamość tenanta i domeny siostrzane.
• Poczta prywatna - gmail.com i krewni. Ten dostęp należy do osoby, nie do organizacji - zupełnie inna rozmowa o ryzyku.
• Nierozpoznana - nie stoi za nią żadna organizacja Microsoft: własny serwer poczty, inne chmury albo coś, czemu warto się przyjrzeć.
• Wewnętrzna - domeny Twojej własnej organizacji, ukryte w widoku domyślnym. W panelu wielotenantowym obejmuje to każdego połączonego tenanta, więc tenant siostrzany nigdy nie pojawia się jako zewnętrzny kontrahent.

Ponad tą klasyfikacją stoi Twój werdykt: nieprzejrzana, zaufana, obserwowana lub zablokowana. Klasyfikacja to to, co da się udowodnić; werdykt to decyzja Twojej organizacji. Każda zmiana werdyktu jest rejestrowana - kto, kiedy i dlaczego - więc rejestr zaufania obroni się w audycie.

Zestawienie ustawień zaufanych domen MicrosoftCopy Anchor Link

Microsoft dostarcza kilka mechanizmów zaufanych domen - listy domen udostępniania SharePoint i OneDrive, ograniczenia zaproszeń gości, ustawienia partnerów dostępu między tenantami. Żyją w różnych centrach administracyjnych, używają różnych kluczy i nigdy się nie sprawdzają nawzajem. Domena „zablokowana" w jednym mechanizmie może mieć żywych gości, działające linki i codzienny ruch pocztowy przez pozostałe - i nie ma ekranu Microsoft, na którym ta sprzeczność kiedykolwiek by się pojawiła.

1Security odczytuje mechanizmy, do których ma dostęp - listy udostępniania SharePoint w całym tenancie, konfigurację partnerów dostępu między tenantami oraz (dla tenantów z połączeniem audytowym) listę Tenant Allow/Block usługi Defender, czyli własny mechanizm kanału pocztowego - i zestawia status każdej domeny z zaobserwowaną rzeczywistością. Sprzeczności stają się flagami rozjazdu:

• Zablokowana, ale aktywna - na liście zablokowanych (udostępniania lub poczty), a mimo to goście lub niedawna aktywność trwają. Blokada nie odbiera dostępu, który już istnieje - to tu ta niespodzianka wychodzi na jaw.
• Zaufana, ale nieużywana - skonfigurowana jako zaufana (werdykt, lista dozwolonych lub partner między tenantami) bez aktywności od 90 dni. Nieużywane zaufanie to powierzchnia ataku, z której nikt nie korzysta.
• Aktywna bez decyzji - do tej domeny płyną dane wrażliwe, a nie obejmuje jej żadna kontrola ani werdykt. To kolejka przeglądu, uszeregowana według tego, co faktycznie wypływa.
• Sprzeczne listy - listy na poziomie tenanta i witryn nie zgadzają się co do tej samej domeny.

Każda klasa rozjazdu jest dostępna jako gotowy szablon detekcji, więc „zablokowana, ale aktywna" podnosi alert, zamiast czekać, aż ktoś przejrzy listę.

Szybkie filtryCopy Anchor Link

Rząd chipów nad listą to miniatura procesu przeglądu, każdy chip z żywym licznikiem: Zablokowana, ale aktywna i Aktywna bez decyzji (dwie klasy rozjazdu warte natychmiastowej uwagi), Nieprzejrzana (zaległości werdyktów), Ekspozycja danych wrażliwych, Nierozpoznana, Poczta prywatna, Ma gości, Udostępnione pliki, Nowa w ostatnich 30 dniach, Zablokowana i Bez aktywności od roku. Obok stoją chipy rejestru: Ponownie zarejestrowana po pierwszym kontakcie, Zmiana właściciela (90 dni), Zarejestrowana mniej niż 30 dni temu i Wiek nieznany.

Lista domenCopy Anchor Link

Każdy wiersz to jedna zewnętrzna organizacja: domena z rozpoznaną nazwą z Entra pod spodem, plakietki klasyfikacji i werdyktu, wskaźnik rozjazdu oraz relacja w liczbach - konta gości, korespondenci e-mail, wymienione wiadomości, pliki dostępne dla jej ludzi, ekspozycja danych wrażliwych, a także początek i ostatnia aktywność relacji.

Pierwszy kontakt to najwcześniejszy datowany ślad kontrahenta, jaki mamy - pierwsza wiadomość, konto gościa lub udostępniony plik - i należy go czytać jako „znana co najmniej od”: nie może być starszy niż zeskanowane dane. To co innego niż Wykryta, czyli moment, w którym 1Security po raz pierwszy zobaczyło domenę. Chip Nowa w ostatnich 30 dniach i pole polityki New relationship korzystają z pierwszego kontaktu.

Kliknij dowolną domenę, aby zobaczyć pełny obraz.

Panel szczegółówCopy Anchor Link

• Wgląd - tożsamość organizacji w Entra, podsumowania relacji i oś czasu.
• Rejestr - co publiczny rejestr domen mówi o tej nazwie: kiedy ją zarejestrowano, kto ją posiada, kto prowadzi jej DNS, kiedy wygasa, oraz oś czasu zdarzeń rejestrowych i zmian właściciela zaobserwowanych przez 1Security, obok Twoich własnych kamieni milowych (pierwszy kontakt, zmiany werdyktu). Przycisk Odśwież teraz kolejkuje ponowne sprawdzenie.
• Ustawienia - status tej domeny w każdym mechanizmie Microsoft, który 1Security odczytuje, rozjazd wyjaśniony prostymi słowami, Twój werdykt z notatką i historią oraz przycisk blokowania/odblokowania.
• Osoby - konta gości z tej domeny (zarówno Entra B2B, jak i goście wyłącznie SharePoint) oraz korespondenci e-mail, których nie ma w żadnym katalogu.
• Pliki - wszystko, do czego goście tej domeny mają dostęp, uszeregowane według wrażliwości.
• E-maile - ruch pocztowy z tą domeną w obu kierunkach.
• Aktywność - zdarzenia z logów audytu wykonane przez ludzi tej domeny.

Rejestr: wiek, własność i wygaśnięcieCopy Anchor Link

Na każdej domenie zewnętrznej są trzy zegary, każdy z innego źródła:

• Zarejestrowana - początek bieżącej rejestracji odczytany z publicznego rejestru (RDAP, a dla rejestrów bez usługi RDAP - WHOIS). Ponowna rejestracja zeruje ten zegar; wcześniejsza data zostaje na osi czasu.
• Własność od - najpóźniejsza z: rejestracji, transferu opublikowanego przez rejestr oraz zmiany właściciela zaobserwowanej przez 1Security między dwoma własnymi migawkami (zmiana rejestratora, organizacji abonenta lub operatora serwerów nazw).
• Pierwszy kontakt - najwcześniejszy datowany ślad, jaki masz (patrz Lista domen powyżej).

Wyprowadzone z nich flagi używają tego samego etykietowania wieku domen co Cloudflare, więc możesz je zestawić z własnym filtrem poczty: Zarejestrowana mniej niż 30 dni temu, Ponownie zarejestrowana po pierwszym kontakcie (rejestracja jest młodsza niż Twoja relacja - nazwa została porzucona i przejęta przez kogoś innego, gdy wciąż miałeś z nią do czynienia), Zmiana właściciela (90 dni), Wygasa w ciągu 30 dni, Wygasła (minął termin albo rejestr pokazuje status wykupu lub oczekiwania na usunięcie) oraz Wiek nieznany.

Wiek nieznany to uczciwy stan, a nie brak problemu: niektóre rejestry nigdy nie publikują daty rejestracji (m.in. DENIC dla .de i SWITCH dla .ch, a kilka rejestrów bez RDAP ukrywa ją też w WHOIS). Takie domeny mają własną flagę i szybki filtr, żeby dało się je przejrzeć ręcznie.

Niebezpieczne kombinacje otwierają incydenty na ekranie Anomalie pod nazwą Ryzyko rejestru domeny: ponownie zarejestrowana domena, która nadal ma gości, pliki lub niedawną pocztę; zmiana właściciela domeny, której ufasz; domena młodsza niż 30 dni, która ma już gości, pliki lub wrażliwą pocztę; oraz zaufana domena, której rejestracja wygasła. Ustawienie werdyktu Zablokowana zamyka incydent; zniknięcie warunku również.

Dane rejestrowe są publiczne i takie same dla każdego tenanta, więc 1Security trzyma jeden wspólny rekord na nazwę domeny i odświeża go według harmonogramu (co tydzień dla młodych lub wkrótce wygasających nazw, co miesiąc lub kwartał dla pozostałych). Nazwiska i dane kontaktowe osób nie są nigdy zapisywane - tylko organizacja, kraj, rejestrator, serwery nazw, daty i kody statusu. Instalacje samodzielnie hostowane potrzebują wychodzącego HTTPS do hostów RDAP rejestrów oraz portu TCP 43 dla WHOIS; bez portu 43 dotknięte TLD pokazują się po prostu jako nieobsługiwane.

Gdy serwer w ogóle nie może połączyć się z rejestrami, nic się nie psuje: mechanizm pobierania sprawdza własny ruch wychodzący przed każdym uruchomieniem i zatrzymuje się zamiast zapisywać błędy, a ekran Domeny pokazuje krok wdrożenia z dokładną listą hostów i portów do odblokowania oraz przyciskiem Sprawdź ponownie, który powtarza test na żądanie. Gdy droga jest otwarta, oczekujące nazwy są sprawdzane przy następnym uruchomieniu. Instalacje samodzielnie hostowane znajdą tę samą tabelę w przewodniku wdrożeniowym (sekcja 5.5a, ruch wychodzący dla zapytań do rejestru domen).

Blokowanie domenyCopy Anchor Link

Z karty Ustawienia możesz zablokować (lub odblokować) udostępnianie SharePoint i OneDrive do domeny w całym tenancie. 1Security edytuje listy domen udostępniania Twojego tenanta przez API Microsoft, działając w trybie ograniczeń, który już masz - dopisuje do listy zablokowanych albo usuwa z listy dozwolonych i nigdy sam nie przełącza trybu za Twoimi plecami.

UprawnieniaCopy Anchor Link

Odkrywanie, podsumowania i werdykty działają na danych, które 1Security już zbiera - bez dodatkowych uprawnień. Trzy opcjonalne uprawnienia odczytu włączają resztę: CrossTenantInformation.ReadBasic.All (rozpoznawanie domen jako organizacji Entra), SharePointTenantSettings.Read.All (listy udostępniania w całym tenancie) oraz Policy.Read.All (partnerzy dostępu między tenantami). Blokowanie domeny wymaga dodatkowo uprawnienia zapisu SharePointTenantSettings. Lista Tenant Allow/Block usługi Defender korzysta z połączenia Exchange Online aplikacji audytowej - jeśli logi audytu są połączone, listy pocztowe przychodzą bez żadnego dodatkowego uprawnienia. Wszystko degraduje się łagodnie: brakujące uprawnienie jest pokazywane jako właśnie to, nigdy jako pusty ekran.