przegląd dostępu użytkowników Microsoft 365
Zwykłe konto otwiera 200 000 plików. Twój przegląd pokazuje jego 11 grup.
Większość przeglądów dostępu zaczyna od członkostwa w grupach. Audytor pyta o coś innego: co ta osoba naprawdę może otworzyć i czy nadal powinna. 1Security odpowiada dla każdej tożsamości w dzierżawie - pracowników, gości Entra i gości wyłącznie SharePoint - z plikami, witrynami, skrzynkami, ostatnim logowaniem i MFA w jednym wierszu. Kwartalny przegląd zajmuje popołudnie, nie kwartał.
- 3klasy tożsamości przeglądane razem: konta wewnętrzne, goście Entra i goście wyłącznie SharePoint, którzy nigdy nie stali się obiektami katalogu
- 100 000+plików, do których zwykłe konto typowo sięga przez grupy, linki i dziedziczenie - liczba, której lista grup nigdy nie pokazuje
- 1 rokhoryzont uśpienia: konta bez logowania od roku, które wciąż mają licencje, członkostwa i dostęp
Problem
Przegląd, o który prosi audytor, dotyczy plików, nie list grup.
Natywne przeglądy dostępu certyfikują, kto jest w grupie. Nikt nie pytał, kto jest w grupie. Pytali, kto może otworzyć folder z listą płac.
Członkostwo w grupie to przybliżenie dostępu, i to słabe. Nie mówi nic o linkach udostępniania, które osoba utworzyła, o witrynach nadanych bezpośrednio, o skrzynkach delegowanych ani o tym, ile plików to wszystko razem daje. Odległość między "członek 11 grup" a "może otworzyć 24 000 dokumentów, 900 z danymi osobowymi" to cały sens przeglądu dostępu użytkowników Microsoft 365 - i to jest odległość, której przegląd oparty na katalogu nigdy nie pokonuje.
Z gośćmi jest trudniej. Goście Entra pojawiają się na liście gości. Goście wyłącznie SharePoint weszli przez link udostępniania albo uprawnienie witryny i nigdy nie stali się obiektami katalogu, więc łatwo ich przeoczyć - a mają prawdziwy, działający dostęp. 1Security wypisuje obie klasy obok siebie. W typowej dzierżawie gości wyłącznie SharePoint jest więcej niż tych, o których wiesz.
Są jeszcze konta, na które nikt nie logował się od roku, wciąż z licencją, wciąż w grupach, wciąż sięgające do danych wrażliwych. Powszechnie 10-30% płatnych licencji siedzi na takich kontach. To jednocześnie pozycja kosztowa i ścieżka ataku. 1Security kładzie te dwa fakty w jednym wierszu.
Co dostajesz
Jeden wiersz na tożsamość: co może otworzyć, co zrobiła, czy powinna istnieć.
Sortuj po dowolnej kolumnie. Pliki w zasięgu malejąco znajduje konta do przejrzenia najpierw; ostatnie logowanie rosnąco znajduje te do usunięcia.
Rzeczywisty dostęp, rozwiązany
Pliki, witryny, grupy, skrzynki i aplikacje, które jedno konto może otworzyć - nadania bezpośrednie, grupy zagnieżdżone, linki udostępniania i dziedziczenie witryn policzone razem. Rozmiar tego, co oddałoby przejęte poświadczenie.
Dane wrażliwe w zasięgu
Pliki z wykrytymi informacjami wrażliwymi lub etykietą poufności w zasięgu konta, plus linki udostępniania utworzone przez tego użytkownika i to, kto wciąż z nich korzysta.
Aktywność obok dostępu
Ostatnia aktywność, ostatnie logowanie, 30-dniowy trend aktywności, wysłane i odebrane e-maile - żeby "może otworzyć 24 000 plików" stało obok "otworzył 3 w zeszłym miesiącu".
Kolumny higieny konta
Włączone lub wyłączone, logowanie zablokowane, MFA zarejestrowane, data utworzenia, przypisana licencja - kolumny, o które pyta audytor, w tym samym wierszu co dostęp.
Goście podzieleni na klasy, które mają znaczenie
Wewnętrzny, gość Entra i gość wyłącznie SharePoint jako osobne filtry. Trzecia klasa jest najłatwiejsza do przeoczenia i zwykle najdłuższa.
Alerty i anomalie na tożsamości
Alerty Defendera i epizody anomalii 1Security przypięte do konta, więc nazwisko z alertu otwiera się z pełnym dostępem i historią już załadowanymi.
Jak głęboko to sięga
Cztery przeglądy, z których każdy to jedno sortowanie albo dwa filtry.
Każdy z nich to zwykle projekt ze skryptami i kilkoma eksportami. Tu każdy zajmuje mniej niż minutę.
Przegląd ekspozycji zewnętrznej: przefiltruj Użytkowników do zewnętrznych, potem do "sięga do informacji wrażliwych". To raport, który większość przeglądów dostępu ma wyprodukować i rzadko potrafi, bo wymaga połączenia danych katalogu z detekcjami na poziomie plików. Lista to zwykle dziesiątki gości, część z projektów zakończonych lata temu.
Uśpieni z dostępem: posortuj po ostatnim logowaniu rosnąco, przefiltruj do licencjonowanych. W średniej dzierżawie zwraca to setki kont. Skrzyżowana z członkostwami grup i plikami w zasięgu, ta sama lista to odzysk licencji i cięcie powierzchni ataku w jednym przejściu.
Luki MFA przy szerokim dostępie: przefiltruj do braku zarejestrowanej metody MFA, posortuj po plikach w zasięgu. Nie każde konto bez MFA znaczy tyle samo; to zawęża listę do dwudziestu, w których znaczyłoby najwięcej.
Zakres incydentu: zacznij od konta z alertu Defendera i przeczytaj jego zasięg, aktywność, urządzenia i lokalizacje logowań bez zmiany ekranu. Każdy wiersz użytkownika prowadzi do grafu uprawnień, więc widzisz, dlaczego dostęp istnieje, a nie tylko że istnieje.
W praktyce
Przegląd offboardingowy w kolejności, która niczego nie zostawia.
Usunięcie konta to ostatni krok, nie pierwszy - trzy z czterech kroków przestają być możliwe, gdy konta już nie ma.
- 01
Przeczytaj, co odchodzący może otworzyć
Otwórz użytkownika w Użytkownikach. Panel zasięgu wypisuje każdą witrynę, plik i skrzynkę - także to, co przyszło przez zagnieżdżone grupy i linki, a nie bezpośrednie nadanie. Dla pracownika z pięcioletnim stażem to typowo dziesiątki tysięcy plików.
- 02
Przeczytaj, czego dotknął w ostatnich 90 dniach
Dzienniki aktywności przefiltrowane do konta: pobrania, udostępnienia, odczyty skrzynki, lokalizacje logowań i urządzenia. Tu rutynowy offboarding czasem zamienia się w dochodzenie - skok 600 pobrań w ostatnim tygodniu widać tutaj, nie na liście grup.
- 03
Wycofaj to, co utworzył
Linki udostępniania utworzone przez tego użytkownika przeżywają konto. Są wypisane w wierszu - typowo dziesiątki, część "dla każdego" - i można je wygasić z tego samego miejsca, za 72-godzinnym oknem przeglądu.
- 04
Potem odbierz i odzyskaj
Uruchom automatyzację offboardingu: usuń dostęp, zablokuj logowanie, odzyskaj licencję. Każda akcja ląduje w Akcjach z tym, kto ją zatwierdził i kiedy - dowód, o który poprosi następny audyt.
Co dodaje 1Security
Przegląd uporządkowany według dostępu, nie tylko według konta
Natywne zarządzanie użytkownikami to narzędzie do kont. To jest narzędzie do dostępu, które akurat jest ułożone według kont.
- Wszystko, co jedno konkretne konto może otworzyć, z zagnieżdżeniem, linkami i dziedziczeniem rozwiązanymi do liczby plików
- Goście wyłącznie SharePoint uwzględnieni, choć nigdy nie stali się obiektami katalogu
- Informacje wrażliwe i pliki z etykietą w zasięgu jednej tożsamości
- Linki udostępniania utworzone przez tę osobę i to, kto wciąż z nich korzysta
- Uśpione konta z ich licencjami, członkostwami i zasięgiem w tym samym wierszu
- Rejestracja MFA czytana obok zasięgu, żeby luki, które mają znaczenie, były pierwsze
- Wysłane i odebrane e-maile z ostatnimi znacznikami czasu obok aktywności na plikach
- Alerty Defendera i epizody anomalii przypięte do tożsamości do natychmiastowego określenia zakresu
Skala
Każda tożsamość, nie próbka - w dzierżawach z 40 milionami plików.
Przegląd dostępu użytkowników jest wiarygodny tylko wtedy, gdy obejmuje tożsamości, których nikt nie zarejestrował: gości z projektu sprzed trzech lat, konta serwisowe starsze niż obecny zespół administratorów, gości wyłącznie SharePoint, których łatwo przeoczyć. 1Security rozwiązuje rzeczywisty dostęp każdego konta z grafu uprawnień, utrzymuje go na bieżąco i trzyma za nim do trzech lat aktywności.
- 40 mln+plików w największych dzierżawach produkcyjnych, dla których graf uprawnień rozwiązuje dostęp per tożsamość
- 3 latahistorii aktywności za każdym kontem - ze 180 dni standardowej retencji do trzech lat
- 0uprawnień do zapisu potrzebnych do całego przeglądu - naprawa to osobny, opcjonalny moduł
Powiązane
Gdzie przegląd zwykle się kończy
Przegląd użytkownika kończy się gdzie indziej: w grupie, która dała większość dostępu, w licencji, która kosztuje, albo w automatyzacji, która to sprząta. To są kolejne przystanki.
Analiza dostępu grup
Łańcuch zagnieżdżenia, który dał tożsamości większość zasięgu - i co naprawdę odblokowuje jedna prośba o członkostwo.
Zobacz grupy →Optymalizacja licencji
10-30% płatnych miejsc siedzących na kontach, które przestały się logować.
Zobacz licencje →Automatyzacja naprawy
Zamiana wyniku przeglądu w etapowane, przeglądalne akcje z 72-godzinnym oknem.
Zobacz automatyzacje →
FAQ
Pytania, które zespoły zadają najpierw
Kim jest gość wyłącznie SharePoint?
Osoba z zewnątrz, która dostała dostęp przez link udostępniania albo uprawnienie witryny, nigdy nie będąc zaproszoną do katalogu. Ma prawdziwy, działający dostęp i łatwo ją przeoczyć, bo nigdy nie stała się obiektem katalogu - dlatego tacy goście po cichu gromadzą się latami. W większości dzierżaw to najliczniejsza klasa gości.
Czy "pliki w zasięgu" obejmują dostęp dziedziczony przez grupy i linki?
Tak. Nadania bezpośrednie, dziedziczenie przez grupy z zagnieżdżeniem, linki udostępniania, dziedziczenie witryn i dostęp aplikacji - wszystko się liczy. Cokolwiek mniej zaniżałoby odpowiedź, a to dokładnie wada przeglądu opartego na członkostwie.
Czy mogę wyeksportować przegląd jako dowód?
Tak - eksport CSV z każdej przefiltrowanej listy, zapisane widoki, żeby ten sam przegląd odtworzył się w następnym kwartale, i REST API tylko do odczytu, jeśli dowody mają trafić do platformy GRC albo potoku SOC, a nie do arkusza.
Czy potrzebujemy do tego Entra ID P2 albo E5?
Nie. Rzeczywisty dostęp, klasy gości, uśpienie, stan MFA i historia aktywności działają na standardowych licencjach Microsoft 365 przez połączenie tylko do odczytu. Nic do instalowania.
Czy może odbierać dostęp, czy tylko raportować?
Może działać, w opcjonalnym modelu zapisu używanym w całej platformie. Usuwanie dostępu, wygaszanie linków utworzonych przez użytkownika, blokowanie logowania i odzyskiwanie licencji to automatyzacje, które przygotowują propozycję per zasób za oknem przeglądu (domyślnie 72 godziny), zanim cokolwiek zostanie zastosowane, a każda akcja jest zapisana.
Zrób przegląd, o który naprawdę prosił audytor.
Podłącz w trybie tylko do odczytu, a każda tożsamość przyjdzie tego samego dnia z plikami, witrynami, skrzynkami, ostatnim logowaniem i stanem MFA. Lista gości jest zwykle dłuższa, niż ktokolwiek się spodziewał.
Albo certyfikuj członkostwa w grupach jeszcze raz i licz, że o to pytano.