zarządzanie aplikacjami Microsoft 365
Setki aplikacji mogą czytać Twoją dzierżawę. 30-50 z nich nie ma już użytkowników.
Każda zgoda OAuth kliknięta przez pracownika, każdy dodatek i integracja dostawcy to stałe poświadczenie z dostępem do Twoich danych - bez terminu ważności i bez przeglądu. W typowej dzierżawie znajdujemy ich setki, dziesiątki z odczytem plików lub poczty w całej dzierżawie i 30-50, których nikt nie użył od roku. 1Security wypisuje każdą z nich, pokazuje, jak sięga do danych i kto ją wpuścił, i przygotowuje odebranie zgód z oknem przeglądu.
- 6kanałów dostępu, którymi aplikacja sięga do danych - cała dzierżawa, delegowany za zgodą admina, zgoda użytkownika, licencyjny, jawne nadanie, brak
- 5typów aplikacji na jednej liście - aplikacje dla przedsiębiorstw, rejestracje aplikacji, dodatki, agenci AI, tożsamości zarządzane
- 30-50aplikacji ze zgodą i zerem aktywnych użytkowników w typowej dzierżawie, wciąż z pełnymi uprawnieniami
Problem
Aplikacje wchodzą przez ekran zgody. Nikt ich nigdy nie wypuszcza.
Integracja, która czyta każdą skrzynkę w firmie, nigdy nie była na żadnym zamówieniu.
Ekran zgody OAuth to decyzja zakupowa podejmowana przez tego, kto akurat na niego patrzy, w około dwie sekundy, żeby odblokować zadanie. Powstaje z niej stałe poświadczenie, które działa dalej po zakończeniu projektu, wymianie dostawcy i odejściu pracownika, który kliknął. Nie ma odnowienia, przeglądu ani wygaśnięcia.
Niebezpieczna nie jest nazwa aplikacji, tylko sposób, w jaki sięga do danych. Uprawnienie aplikacji dla całej dzierżawy, takie jak Files.Read.All czy Mail.Read, czyta dane wszystkich, bez zalogowanego użytkownika. Zgoda użytkownika czyta dane jednej osoby - i to jest dokładnie kształt ataku phishingowego OAuth. Na zwykłej liście aplikacji te dwie wyglądają tak samo. W skutkach nie mają ze sobą nic wspólnego - dlatego 1Security klasyfikuje kanał w każdym wierszu.
Przeglądy patrzące tylko na integracje firm trzecich pomijają też usługi Microsoftu, takie jak Forms, Lists czy Approvals, które również mają prawdziwe uprawnienia. 1Security wypisuje jedne i drugie, klasyfikuje kanał każdej aplikacji, liczy, do czego naprawdę sięga, i zapisuje, który administrator ją wpuścił.
Co dostajesz
Każda aplikacja z tym, do czego naprawdę sięga
Otwórz Aplikacje i posortuj po plikach lub użytkownikach w zasięgu, zamiast zgadywać ryzyko po logo.
Kanał dostępu w wierszu
Cała dzierżawa, delegowany za zgodą admina, zgoda użytkownika, licencyjny, jawne nadanie albo brak. Kolumna, która zamienia listę aplikacji w listę ryzyk, i pierwszy filtr każdego przeglądu.
Zasięg w plikach, użytkownikach i poczcie
Ile plików i użytkowników może osiągnąć każda aplikacja, z wyodrębnionymi użytkownikami zewnętrznymi, plus poziom uprawnień do plików, danych użytkowników i poczty. Aplikacja z Mail.Read i 40 000 plików za sobą przestaje wyglądać jak widżet kalendarza.
Dane wrażliwe w zasięgu
Etykiety poufności i liczba informacji poufnych na aplikację - numery kart, dokumentów, dane zdrowotne - więc "ta aplikacja czyta pliki" zmienia się w "ta aplikacja czyta 3 100 plików z danymi osobowymi".
Kto wyraził zgodę i kiedy
Pierwszy administrator, który zatwierdził aplikację, i data podłączenia, zapisane w wierszu. Dwa lata później, gdy ten admin odszedł, a aplikacja nadal czyta pocztę, to jedyny zapis.
Weryfikacja wydawcy
Zweryfikowany albo nie, obok nadanej rodziny uprawnień. Niezweryfikowany plus zgoda użytkownika plus uprawnienia do poczty to filtr uruchamiany według harmonogramu, nie po incydencie.
Bezczynne aplikacje
Wskaźniki osierocenia: brak użytkowników, brak aktywności od miesiąca lub roku. Zwykle 30-50 aplikacji w średniej dzierżawie, wszystkie z zachowanymi uprawnieniami. Zaznacz je i przygotuj odebranie zgody z oknem przeglądu.
Jak głęboko to sięga
Trzy filtry, które znajdują aplikacje warte odebrania
Filtry obejmują typ aplikacji, kanał dostępu, rodzinę uprawnień Graph (pliki, witryny, poczta, czat, katalog, dzienniki audytu), weryfikację wydawcy, zasięg do danych wrażliwych, wskaźniki osierocenia i alerty bezpieczeństwa.
Triage phishingu OAuth: zgoda użytkownika + niezweryfikowany wydawca + uprawnienia do plików lub poczty. To dokładnie wzorzec, którym atakujący zamieniają jedno nieuważne kliknięcie w trwały dostęp do skrzynki. W większości dzierżaw lista ma mniej niż 20 wierszy, zmienia się powoli i zajmuje dziesięć minut miesięcznie.
Za dużo uprawnień i bezczynne: kanał całej dzierżawy + brak aktywności od roku. Maksymalne uprawnienia, zero użycia i żaden właściciel nie zaprotestuje - najlepsze miejsce, żeby zacząć porządkowanie zgód. Pierwszego dnia zwykle znajduje się 10-30 takich aplikacji.
Sprawdzenie przed zatwierdzeniem: zanim nadasz oczekującą zgodę, wyszukaj aplikację tutaj. Jeśli już jest w dzierżawie, widzisz jej obecny zasięg i alerty bezpieczeństwa przeciwko niej - więc zatwierdzasz na podstawie liczb, nie nazwy dostawcy.
W praktyce
Porządkowanie zgód, które naprawdę się kończy
Porządki grzęzną, gdy każda aplikacja wygląda równie ryzykownie. Ranking sprawia, że da się je skończyć.
- 01
Policz, co jest
Otwórz Aplikacje. Wpada pełna lista, zwykle setki wierszy, łącznie z dodatkami, tożsamościami zarządzanymi, usługami Microsoftu i narzędziami AI, które pracownicy podłączyli sami.
- 02
Podziel po kanale
Przefiltruj do całej dzierżawy: to decyzje, które podjął admin. Potem do zgody użytkownika: to decyzje, których nie podjął nikt. Dostają dwa różne przeglądy.
- 03
Posortuj po zasięgu
Posortuj po plikach w zasięgu, potem po danych wrażliwych. Pierwsze dziesięć wierszy zwykle skupia większość ekspozycji dzierżawy - a to bardzo krótka kolejka.
- 04
Najpierw odbierz bezczynne
Przefiltruj do braku aktywności od roku, zaznacz wszystko, przygotuj odebranie zgody. Propozycje czekają domyślnie 72 godziny, właściciele mogą potwierdzić, a każda wykonana akcja trafia do Akcji.
Co dodaje 1Security
Od listy aplikacji do listy konsekwencji
Lista aplikacji podaje nazwy. 1Security dodaje, do czego sięgają, kto je wpuścił i czy ktoś ich jeszcze używa.
- Jak każda aplikacja sięga do danych, sklasyfikowane w sześć kanałów dostępu
- Liczba plików i użytkowników, do których aplikacja może sięgnąć, z wydzielonymi użytkownikami zewnętrznymi
- Informacje poufne i etykiety w zasięgu każdej aplikacji
- Który administrator wyraził zgodę i kiedy - zachowane po jego odejściu
- Weryfikacja wydawcy obok nadanej rodziny uprawnień
- Aplikacje bez aktywności od miesiąca lub roku, które wciąż mają pełne uprawnienia
- Jednostki usługi Microsoftu uwzględnione obok integracji firm trzecich
- Alerty bezpieczeństwa przypięte do aplikacji i odebranie zgody przygotowane z oknem przeglądu
Skala
Setki aplikacji to norma. Ich przegląd nie.
Liczba nigdy nie jest zaskoczeniem. Zaskoczeniem jest, ile z nich ma uprawnienia dla całej dzierżawy nadane lata temu z powodu, którego nikt nie potrafi odtworzyć - i jak niewielu ktokolwiek jeszcze używa. Inwentaryzacja odświeża się mniej więcej co dziesięć minut, więc aplikacja ze zgodą z rana jest na liście po południu.
- setkipodłączonych aplikacji w typowej średniej dzierżawie
- 10 mindo pojawienia się nowo zaakceptowanej aplikacji w inwentaryzacji
- 0uprawnień do zapisu potrzebnych do zbudowania całego obrazu - podstawowe połączenie jest tylko do odczytu
Powiązane
Gdzie to pasuje
Aplikacje to jeden rodzaj tożsamości nieludzkich. Agenci AI to drugi - i w dzierżawach budujących w Copilot Studio już przewyższają liczbą klasyczne integracje. Jedne i drudzy dziedziczą zasięg z tych samych uprawnień do plików pod spodem.
Inwentaryzacja agentów AI
Agenci Copilot, Entra i Foundry na jednej liście, z witrynami i plikami, które każdy naprawdę może czytać.
Zobacz agentów →Inwentaryzacja dzierżawy
Każda witryna, OneDrive, użytkownik, gość, grupa, aplikacja, agent, urządzenie i licencja w jednej żywej inwentaryzacji - z aplikacjami włącznie.
Zobacz inwentaryzację →Uprawnienia do plików
Co "ta aplikacja czyta pliki" znaczy jako konkretna lista dokumentów, z tym, kto jeszcze może je otworzyć.
Zobacz pliki →
FAQ
Pytania, które zespoły zadają najpierw
Czy to obejmuje aplikacje, na które użytkownicy zgodzili się sami?
O to głównie chodzi. Zgoda użytkownika to jeden z sześciu kanałów dostępu i zarazem kanał shadow IT, więc jeden filtr ją wyodrębnia i można ją przeglądać jako osobną populację - zwykle dziesiątki aplikacji, których nikt w IT nie zatwierdził.
Czy uwzględnione są aplikacje Microsoftu?
Tak. Filtrowanie tylko integracji zewnętrznych ukrywa wbudowane usługi, takie jak Forms, Lists czy Approvals, które mają prawdziwe uprawnienia, więc inwentaryzacja obejmuje jedne i drugie i pozwala filtrować później.
Co właściwie znaczy "cała dzierżawa"?
Uprawnienia aplikacji nadane przez administratora, w których aplikacja czyta dane wszystkich bez zalogowanego użytkownika - Files.Read.All, Mail.Read i podobne. To kanał o najwyższej stawce, bo nic z pojedynczej sesji użytkownika go nie ogranicza.
Czy mogę stąd odebrać zgodę aplikacji i czy to bezpieczne?
Tak, po włączeniu modułu zapisu. Odebrania są przygotowywane jako propozycje z oknem przeglądu - domyślnie 72 godziny - i zapisywane w Akcjach razem z tym, kto je zatwierdził. Do tego czasu podstawowe połączenie jest tylko do odczytu, a każda lista kandydatów i tak pokazuje żywą liczbę.
Czy potrzebujemy E5 albo Defender for Cloud Apps?
Nie. Inwentaryzacja, kanały dostępu, liczby zasięgu i wskaźniki osierocenia działają na standardowych licencjach Microsoft 365 przez połączenie tylko do odczytu, bez agenta do instalacji.
Wypisz aplikacje, których nikt nie zarejestrował.
Podłącz w trybie tylko do odczytu, a inwentaryzacja aplikacji zbuduje się sama tego samego dnia - łącznie z setkami, które weszły przez ekran zgody, i 30-50, których nikt już nie używa.
Albo dalej ufaj ekranowi zgody.