תעדו סביבה, רישוי והיקף לפני שינוי
רשמו מי מנהל את הארגון, אילו דומיינים ושירותים נמצאים בו, ומהו מקור הזהויות. מיפוי צריך לכלול משתמשים, מנהלים, אורחים ותיבות משותפות לפי השימוש. הגדירו מי רשאי לאשר שינוי ומה מחייב גורם אחר. אין צורך לייצא תוכן תיבות כדי להתחיל סקירת הגדרות.
Microsoft מציגה יכולות שונות בין מסלולי Business ובין מוצרי אבטחה. הרשימה כאן אינה טבלת רישוי ואינה הבטחה שכל יכולת זמינה בכל מנוי. בדקו את הזכאות ואת התצורה בפועל במועד הבדיקה, ורשמו חסר או תלות במקום להפעיל המלצה שלא מתאימה לסביבה.
לכל תחום הגדירו ראיית קבלה
הטבלה היא מסגרת סקירה מקורית. בכל שורה מציינים נכסים, מי נכלל, מה הוחרג ואיזה מבחן מורשה בוצע. תוצאה בתחום אחד אינה מכסה תחום אחר: מדיניות דואר אינה הרשאת קובץ, ואימות משתמש אינו הוכחה שמכשירו מנוהל.
| תחום | מה בודקים | ראיה מתאימה |
|---|---|---|
| ניהול | זהויות, תפקידים וצורך | מורשים וגבולות תפקיד |
| אימות וגישה | מדיניות שחלה וחריגות | כניסת ניסיון בתנאים שסוכמו |
| הגנת דואר | כיסוי מדיניות ורישוי | תצורה, היקף ואחראי לבירור |
| שיתוף | אורחים, קישורים והרשאות | בדיקת קובץ ניסיון |
| מכשירים ויישומים | מה מקבל גישה ובאילו תנאים | כיסוי ותלות ידועים |
| התאוששות ומעקב | גישת חירום ונתיב טיפול | תרחיש מוסכם ותיעוד פערים |
אימות מנהלים כולל דרך חירום מוגנת
בדקו תפקידי ניהול ושימוש יומיומי בזהות בעלת סמכות גבוהה. לפני שינוי אימות או גישה מתכננים משתמשי ניסיון ודרך ניהול חלופית שמתאימה למערכת. Security defaults ו-Conditional Access אינם שמות חלופיים להמלצה אחת; התאמת מנגנון תלויה ברישוי, בתצורה ובצרכים.
הנחיית Microsoft Entra לגישת חירום מדגישה אימות חזק, ניהול פרטי גישה, ניטור ובדיקת יכולת כניסה. אין להפוך גישת חירום לחשבון משותף לא מוגן או לבטל MFA באופן גורף. תכנון החרגות דורש הבנת המדיניות והסיכונים ואינו פעולה שמבצעים רק כדי לעבור צקליסט.
הפרידו דואר, שיתוף והמשך טיפול
בדקו אילו מדיניות הגנה חלות על התיבות הרלוונטיות ומי בוחן הודעה חריגה או הסגר. מנגנון סינון אינו מחליף אימות עצמאי של בקשת תשלום. במקביל בדקו שיתוף קבצים ואורחים: מי יכול לצפות, לשנות או להעביר קישור, ומה קורה בעת עזיבת משתמש.
רשמו גם מה נדרש להתאוששות ממחיקה או מאובדן גישה. שמירת נתונים, יכולת שחזור מובנית וגיבוי הם שאלות שונות; אל תסמנו גיבוי תקין לפי תקינות הדואר בלבד. מקור המידע, הרשאותיו ותוצאת בדיקה צריכים להיות ברורים למי שמאשר את הסקירה.
דוגמה: המדיניות קיימת אך חלק מהמשתמשים מחוץ להיקף
התרחיש להמחשה בלבד. עסק רואה תצורת אבטחה פעילה, אך בבדיקה מתגלה קבוצה או חשבון שירות שלא נכללו כפי שהתכוון. הצוות מתעד צורך ותלות ומתכנן שינוי מצומצם עם זהויות ניסיון. לא מחיל אכיפה גורפת בזמן שאין דרך לוודא שהעבודה העסקית תימשך.
בדיקת קבלה בוחנת פעולה מורשית וגם גבול מתוכנן, ללא ניסוי פישינג חי או שליחת מידע לקוחות. אם נתקלים בסימנים להשתלטות, עוברים למסלול אירוע נפרד. סקירת שגרה אינה סיבה למחוק כללים או יומנים שעלולים להידרש לבירור.
מסרו כיסוי, חריגות ואחריות לבדיקה חוזרת
התוצר כולל מצב שנבדק, רישוי רלוונטי, היקף משתמשים ושירותים, שינוי מאושר ובדיקת סיום. לכל חריגה יש צורך, אחראי וטריגר לבחינה. שינויים במנוי, במבנה זהויות או בספק חיצוני מצדיקים בדיקת ההנחות ולא רק חידוש של תאריך המסמך.
ב-CyberFixCrew אפשר לברר התאמה של סקירת גישה ודואר לשירותים הקיימים ולהיקף הסביבה. המדריך אינו מציע ניהול מלא של כל מוצר Microsoft, הסמכה או מענה רציף. בפנייה ראשונית תארו שימוש ותקלה בלי לשתף סיסמאות, קודי חירום או ייצוא תיבות.
