Office365 - zrozeno k leakování dat

7.4. 20:03 | Přečteno: 1141× | windows | | poslední úprava: 7.4. 20:03

Bavili vás předchozí zápisky o O365? Inu, pokračujeme...

Bezpečnost

Mezi základní zabezpečení patří samozřejmě silné heslo, dvoufaktorové ověřování a pak různé služby.

• nutné pravidelné školení uživatelů / pravidelně seznamovat s různými typy útoků a na co si dát pozor
• provádět phishingové kampaně, jejichž výsledkem pak je jednoduché video / report, kde jsou uživatelé rychle a přehledně informováni, kde pochybyli, čeho se vyvarovat apod. Kampaně je třeba dělat tak, aby v uživateli nevypěstovaly strach otevřít každý email, ale naučí ho rozumné obezřetnosti, začne si dávat pozor na různé odkazy apod.
• SIEM řešení, které upozorní na podezřelé chování, případně dokáže vyvolat nějakou akci (zablokovat další loginy atd.), má O365 v sobě (Entra + Defender)
• prevenci v podobě condition access, timeoutům na sessions apod., ale zase né do takové úrovně, aby se uživatel musel přihlašovat 100x denně
• ještě je možnost třeba zvýrazňovat komunikaci od externích odesílatelů, ale to je podle mně k prdu

Tak kde je problém?

Celé to má jen takový menší problémek, a to ten, že ani jedno nefunguje. Jak bych to jen řekl, do Office 365 zavlekl MS docihlenosti ze světa Windows.

Loginy a MFA

MS zavlekl do cloudu tolik bordelu, až uživatel neví, kam se a jak ověřuje, takže občas zkouší a zkouší trpělivě. A proč? No, třeba kvůli Teamsům, Sharepoint Online, guest vs firemní účet, nebo více firemních účtů do více tenantů (např. některé firmy nepovolují guest účty, raději spálí licenci a dávají svůj login) apod. Jinými slovy, uživatel má login franta@firma.tld do firemního cloudu, se svým heslem, MFA apod., jenomže do jiného tenantu (nějaká státní firma apod.) má ten stejný login, ale s jiným heslem, protože je to guest účet v jejich tenantu. Do toho když se používá jeden web prohlížeč, tak každou chvíli chyba, protože člověk je sice přihlášen jako franta@firma.tld, ale do jiného tenantu, než se aktuálně snaží dostat apod.

Chování je různé, dnes existuje párování, takže do jiného tenantu je grant s firemním účtem, ale pokud vznikne nejdříve guest a až pak firemní účet, nebo jiné případy v minulosti, tak to je prostě narůstající bordel. Navíc dřív, dnes už je to lepší, byl problém i v MS teams s přepínáním mezi konty / tenanty apod. Já na vše rezignoval a jedu chromium v app mode a profily, abych mohl mít x různých teamsů v jeden čas. Ale nic z toho není řešení pro uživatele.

chromium --profile-directory="teams-tenant1" --app="https://teams.microsoft.com/v2/"
chromium --profile-directory="teams-tenant2" --app="https://teams.microsoft.com/v2/"
...

Bezpečnost v O365

Chceš bezpečnost? Tady potřebuješ P2 Licenci do entry, tady potřebuješ Defender s naším kompletním xdr řešením, nejlépe s licencí, co pokryje i tvá zařízení, takže se zbav svého současného antiviru, my ti dodáme jen to nejlepší, tj. licence E3 a jen za pouchých €35/uživatel/měsíc, ale pozor, je to to minimum, lepší je E5 za €55.20, a protože jdeme s dobou, budeme i nabízen E7 za €7x,xx/uživatel/měsíc. Ostatní licence nedávají smysl, v téhle chybí tohle, v tamté tamto, s touto nejde toto, tato má omezení na počet (víc jak x jich do firmy nekoupíš) atd.

Shrnuto a podtrženo, pokud chceš aspoň trochu chránit náš cloud, musíš:

• Minimálně E3 licenci za €33/user/měsíc, ale tam není XDR ochrana, takže E5 za €54/user/měsíc bude lepší
• zahodit současné AV řešení
• pořídit si náš Microsoft Defender XDR (součástí E5 licence)
• pořídit Microsoft Sentinel (co je lepší než SIEM? No přeci SIEM s naším AI)
• Microsoft Entra ID Protection (P2 licence, kterou máme, bez ní nejde ani poslat notifikaci)

Ale musíš mít licenčního partnera

Kámo bro kámo, můžeš si od nás koupit licenci napřímo, ale lepší bude, když si jí koupíš od támhle toho partnera, on ti jí prodá levněji, než my, jen mu pak musíš dát přístup do vašeho tenantu, aby vám jí tam mohl nahrát. Tj. naprosto zbytečně musíš dát přístup nějaké firmě do tvého prostředí kvůli absolutně ničemu. Viva security.

Výsledek

A jaký že je finální výsledek? No, přijde phishing uživateli od nakaženého uživatele z jiné firmy, takže důvěryhodnost zvýšena. K tomu je phishing nadmíru důvěryhodný, využívá google, cloudflare a tld business. Všechno super zelený, dokonce to načítá objekty přímo od MS, prostě krásný Adversary-in-the-Middle (AiTM) útok. Doteď jsme si mysleli, že jsme na uživatele přísní akorát, někdy až moc, při phishingových kampaních (nedělali jsme 100% důvěryhodné kopie různých prostředí, ale vždy tam byla nějaká nepřesnost, aby si uživatel všiml podobně jako to mají útočníci), jenomže tentokrát to bylo hodně vymazlený.

Nojo, tak to zastaví O365, dá nám echo atd. Zatím to vždy fungovalo, prostě např. podezřelá přihlášení (v jeden čas z více států napříč světem). Nojo, ale v ten den si O365 řeklo, že nebude fungovat. Nepřišla žadná notifikace, vše ok, 7 uživatelů se hlásilo v jeden čas z Paříže, Virginie, Melbourne atd. Pro O365 nic podezřelého. Ok, aspoň teda logy fungovaly a šlo dohledat podezřelé chování "ručně". No, druhý den jsem se dozvěděl, že ty logy nefungovaly. Sice jsem odhalil další dva uživatele, ale druhý den jsem odhalil další dva a fór byl v tom, že průnik byl v 19:30 a já ještě o půlnoci koukal a v logách nebyli. Druhý den už tam ale byli a se správným časem 19:30 z předchozího dne. WTF. A druhý den už přišla i notifikace od dalšího uživatele (propálený login, ale přes MFA neprošli). Jinými slovy, vše fungovalo, chodily nám notifikace, pak přišel den, kdy se fakt něco dělo a to to vůbec nefungovalo a druhý den, po bouři, opět začalo a mezitím nikde žádná chyba, že něco nefunguje atd. Ale určitě to bude tím, že nemáme E5 licence, jinak by logování fungovalo, to je jasný jako facka. Větší sračku aby člověk pohledal.

A nejlepší věc? Do firmy se nasadily procesy, kdy se s uživateli musí komunikovat prostřednictvím oddělení komunikace. Výsledkem je, že i když jsem řekl "vyserme se na komunikaci a pošleme to hned od sebe", tak ne, prostě ne. Takže za nějakých 12h ten informační mail pak z té komunikace odešel. Tj. dávno po boji.

Cloud

Píši primárně o O365, nevím, jak to mají ostatní. Každopádně MFA v kombinaci s matením uživatelů a AitM útokem je průchozí jako otevřené dveře. K tomu stačí, když na den zazlobí O365 SIEM a útočník má třeba 12h přístup do vašeho cloudu. Když to odbouchne někdo z vyšších pozic, tak ke spoustě citlivým datům. To není náš případ, my jedeme jen maily, Teamsy a pár sdílených dokumentů. Nicméně představa, že do Sharepointu migrujeme data z on-premu, to ve mně nebudí žádnou důvěru. Dokud člověk jel VPN+on-prem+prevenci, tak měl 0 incidentů za 10 let (za 500kkč/rok s komplet zálohováním). Teď s O365 je to cca 20 za necelý rok (za cca 500kkč/měsíc bez ceny velmi omezeného zálohování).

Řešení?

Řešením je prý navýšit licenční model a najmout firmu, co bude dělat bezpečnostní hardening a pravidelnou kontrolu a aplikaci doporučení, protože cloudové prostředí je tak komplikované, že jeho údržba prý nejde zvládnout, pokud firma nemá tým, co se věnuje jen tomu. Dochází tam v čase k tolika změnám, že bez plného zaměření na správu cloudu je to prý neuhlídatelné.

Závěr

Cloud prostě není o klikání a bezstarostnosti, je to pravý opak. Prostředí a jeho nastavení se vám mění pod nohama a kdo v tom nežije, tomu unikne spousta věcí. Výchozí zabezpečení jsou navíc velmi unsafe. Default je, že všichni mohou vidět pomalu všechno, registrovat, co chtějí, vytvářet si stránky a milion dalších věcí. MS každou chvíli vydává změny, nestačí udržovat ani vlastní dokumentaci (nastavení není tam, kde je udáváno, odkazy nefungují atd.).

Jelikož zde chci být slušný, tak svůj finální názor na celou situaci hodím tuna do linku.

Zdar Max        

Komentáře

[RealJ]

Loginy a MFA

- tohle neni problem u MS ale u lidi co jsou admini pro vsechno a ve finale rozumi vsemu podobne jako Izak... guest vs firemni ucty - Entra B2B je tu v nejake podobe jiz nejakou dobu a ze jsou lidi denne kokoti a delaj to jako lopaty opravdu neni problem MS. Ja tenhle bordel jednou za cas vidim nekde a vzdy jim reknu ze historicky ten bordel chapu ale pokud chteji nejak normalne/bezpecne fungovat tak si to musi uklidit stejne jako osranej hajzl.

Bezpečnost v O365

- jo, je to tak, na druhou stranu mas spoustu reseni ktere ti resi to same co MS a jdou hezky integrovat s O365, tedy az na purview a compliance, jakmile potrebujes realne compliance tak jsi v pici a potrebujes vse od MS a jelikoz idioti v MS nejsou uplne idioti tak chteji pay as you go za spoustu veci.

Ale musíš mít licenčního partnera

- jo, tohle je peklo vsude kam se podivas. Řešením je prý navýšit licenční model a najmout firmu, co bude dělat bezpečnostní hardening a pravidelnou kontrolu a aplikaci doporučení - tohle je jedna z veci ktera mi zivi firmu a jak rikas, tech zmen je tolik ze s malym tymem adminu to nemas sanci resit a outsourcing je jedina moznost. Pro nas to znamena ze jsme si udelali spoustu veci ktere resime automaticky, spousta veci jde ke schvaleni zakaznikum a pak se implementuji a dle zakaznika mame moznost jim v ramci bezpecnosti blokovat cokoliv povazujeme za problem, nekde jsou ale zakaznici idioti a maji nastaven proces kde kazdy vetsi incident musi schvalit CIO a ten je klidne tyden na dovolene a nic neresi... :D
Video pobavilo. :D

[Max]

"Loginy a MFA"

Nesouhlasím. Jak admin toho uživatele může ovlivnit to, že potřebuje přístup někam do správy železnic, či jiného útvaru, kde mu založí účet / pozvou ho atd.? A u nás jsou lidi, co takto mají přístup do x tenantů (k cizím firmám / státním úřadům apod.) a pak se jim pletou loginy, stále na ně někde něco vyskakuje s přihlášením a další věci. To já z pohledu admina nijak neovlivním.
Zdar Max

[RealJ]

Ty to u sveho admina neovlyvnis ale taky nemuzes za to ze na te druhe strane pracuje idiot… jakmile s nekym mas dlouhodobe spolupracovat (coz je dano jiz u podpisu nejake smlouvy) tak entra b2b a nic jineho. Jenomze ve spouste firem je to tak ze tady Franta potrebuje bejt na meetingu, tady Pepa potrebuje sharepoint pristup a az po letech zjistis ze s tou dalsi firmou mate smlouvy na x let za x mega.

[Max]

Takovou kooperaci s nikým nemáme. Vždy to je o tom, že třeba nějaký šéfík potřebuje třeba přístup do Sharepointu správy železnic, protože je v nějakém top okruhu lidí. Dívá se tam třeba jen na nějaké malé update, nebo dokumenty. Žádná smlouva s tou firmou není, žádný b2b se nenastavuje, protože přístup potřebuje jeden človek třeba k jednomu dokumentu. A když je ve firmě 3k lidí, tak vualá, najednou je takových lidí (co přistupuje k jedné věci v nějakém tenantu - pokaždé jiném) celkem dost. Prostě kusové sdílení. A na to právě narážím. Dokonce i naše matka, která jede O365 ve velkým, všichni E5, má na ot tými jak kráva, tak vím, že jeden big boss má od nich E5 licenci, aby mohl přistupovat k nějakému dokumentu v jejich tenantu + aby se mohl ověřit přes Entru při přístupu na vpn + jejich sap.
Asi by šlo řešit b2b i pro kusové sdílení, ale to pak jaksi naráží na flexibilitu, kdy do toho vstupují smlouvy, právnicí, nekomunikující druhá strana apod.
Zdar Max

[Max]

Jinak k té integraci. To je samozřejmě všechno pěkný, ale každý si řeklne od 2 do 12 EUR/uživatel/měsíc. Takže měsíční náklady per user stoupají jak s MS, tak bez něj.
A to nemluvím o zálohování, kde je reálně nesplnitelné DR, zálohování, testování a další věci okolo a jediné, co zbývá, je víra v to, že MS sice za nic neručí, ale přeci to někde má a nedovolil by si, aby klienti přišli o data.
Zdar Max

[plostenka]

Nemas pravidelne testovane funkcni DR, nemas zakazku. Tak jednoduche to je.

Doufat v backup ex machina je takove prijemne detsky naivni.

[Max]

Já v nic nedoufám, já si na to stěžuji.
Zdar Max

[Roman]

Zlatý prciny!

[Xerces]

Taky by se zde hodilo ... No. To vám teda nezávidím.

[rad]

provádět phishingové kampaně

Moje oblíbené opatření. K hromadě bordelu co chodí z celýho internetu přidáme další. Jedinej, kdo se na to chytí je sice jen starej Cibulka, protože ten zadává heslo i do mikrovlnky, ale budeme tím otravovat celou firmu. To by tak hrálo, abychom nechali zaměstnance pracovat. Na konci roku pochopitelně nezapomene vygenerovat report o klesající produktivitě práce.

[Max]

Mám naprosto jinou zkušenost. Od zavedení phishingových kampaní rapidně klesly nesmyslné klikání a s každou kampaní to vykliká čím dál méně lidí a hlásí problém (nahlašují na IT podezřelou komunikaci) čím dál více lidí. Z hlediska edukace to má, minimálně z mé zkušenosti, velký přínos.

Docházka, píchačky, sledování, nebo vyhodnocování produktivity u ná neprobíhá, ale nevadí, aspoň jsi si pobrečel :).
Zdar Max

[rad]

U nás na to kliká pořád ta stejná skupina 4 % zaměstnanců (nebo 6 %, teď nevím). A proto, že se ten relativní počet nesnižuje (protože se to saturuje na počtu Cibulků), tak se to vyhodnocuje tak, že je potřeba frekvenci kampaní zvyšovat.

...a hlásí problém (nahlašují na IT podezřelou komunikaci) čím dál více lidí...

Jako že chcete po lidech aby na IT podporu hlásili každej divnej mail co jim přijde? Co s takovým hlášením pak děláte?

ale nevadí, aspoň jsi si pobrečel :)

Tak zas bych to tak nepřeháněl. Je to prostě pohled z druhý strany síťovýho káblu, kde sedí uživatel, kterýho podobný opatření (pravidelný změny hesel, zakázaný přílohy v mailech apod.) z IT oddělení prostě tak nějak normálně serou, nic víc, nic míň . Někdy takovej pohled nemusí bejt úplně neužitečnej.

Ono spoustu různejch podpůrnejch profesí (IT, HR, vrátnej, ...) si někdy myslej, že zaměstnanci jsou ve firmě primárně kvůli nim a vymejšlej blbosti, kterejma ty zaměstnance obtěžujou, aby nějak obhájili svoji existenci.

Jinak to, že vaše firma (netuším jaká, ale stejně) nevyhodnocuje produktivitu se mi zdá dost nepravděpodobný, ale když to říkáš...

[Max]

Jako že chcete po lidech aby na IT podporu hlásili každej divnej mail co jim přijde? Co s takovým hlášením pak děláte?

Hlásí jen to, u čeho si nejsou jistí, nebo pak hlásí to, co podle nich už vypadá dost dobře na to, aby to mohl být i nějaký průšvih. Tak preventivně nahlásí. U cca 1k uživatelů je to dotaz na mail cca 1-2ks týdně.
Přílohy máme povolené, ale je tam whitelist, co lze přijmout / poslat. Nejdou poslat scripty, spustitelné soubory, vnořené archivy (útočníci spoléhají na to, že antispam řešení neumí, nebo nedělá víceúrovňové rozbalování archivů - tj. zip v zipu v zipu apod.) atd.

Jsme velký a nevím o tom, že by se nějak produktivita vyhodnocovala. U obchoďáků lze zjistit, kolik třeba udělali objednávek, ale nevím, zda se to nějak reálně řeší. Vím, že u řidičů se počítají manipulace v tom smyslu, že za každou manipulaci mají bonus. Čím víc manipulací stihnou za směnu, tím víc dostanou peněz. Ale tam to asi končí.
Docházkový systém nemáme / nikdo nechtěl, ale vím, že německé pobočky jej mají, jedna dcera, co řeší specifický servis také má docházku a sestra nějak také.

Vesměs je tedy vše v rukou jednotlivých vedoucích, kteří zodpovídají za běh svého oddělení.
Zdar Max

[plostenka]

hlásí to, co podle nich už vypadá dost dobře na to, aby to mohl být i nějaký průšvih

A po vsech tech skolenich prijde legitimni mail od firemniho IT, ktery vypada presne jak devadesatkovy scam - cerveny velky pismena, ted hned musite zapnout/vypnout/aktualizovat/logout-login a tady je link.

Nejdou poslat scripty, spustitelné soubory, vnořené archivy (útočníci spoléhají na to, že antispam řešení neumí, nebo nedělá víceúrovňové rozbalování archivů - tj. zip v zipu v zipu apod.)

Tak na to spolehaji, nebo to skutecne neumi? Prave kvuli takovym nahodnym priponovym/velikostnim whitelistum napric institucema se rozmohlo posilani priloh pomoci ulozto/webshare a milionu jinych domen. MFA opicarny s cloudama tu frustraci se sdilenim "blbyho wordu" jeste umocnuji.

[rad]

Tak oficiální pozice našeho IT oddělení je taková, že pokud uživatel potřebuje poslat přílohu, která je blokovaná, má ji zabalit do archivu, který systém neumí rozbalit (u nás lzma). Takže oni zavedou nějaké opatření a pak vydají oficiální doporučení, jak takové opatření obcházet. Všechny MS Office dokumenty s makrama jsou pochopitelně na whitelistu.

[Max]

To je nějaký nesmysl. Když zabalím zakázanou přílohu, tak je stále AV blokne, protože ten zip rozbaluje. Musel by být zaheslovaný bez náhledu na metadata, co v něm je.
Zdar Max

[rad]

Vsak to prave nesmi byt zip, musi to byt format, ktery ten system nezna. U nas je to napr. prave zminene lzma. Pak taky doporucuji prejmenovavat pripony, abych teda neopomnel dalsi doporuceni.

[Max]

Blokujeme všechny možné netradiční archivy, takže u nás prochází zip a pár dalších, co AV umí rozbalit a zbytek se dropuje. Reálně uživatelé nic jiného, než zip nepoužívají.
A na přenos velkých příloh a dalších věcí máme vystavenou službu, resp. dvě, jednu pro interní výměnu souborů a druhou pro výměnu s partnery / klinety.
Zdar Max

[Glee]

Super zapisek a Lakatos365 zabil.

[Max]

Díky
Zdar Max

[T900]

Ta cena za měsíc na cloudu odpovídající roku v on-premise vcelku sedí. V předchozím zaměstnání jsme se stali "Microsoft pozitivními" a šoupli jeden produkt do Azure. Přiblblá virtuálka o čtyřech jádrech, u které jsme museli pořád hlídat vytížení atp. stála tolik co fyzické servery pro zbytek firmy. Dokumentace stála taky za to - jedna Azure scriptovací funkce je deprecated a ta co ji nahrazuje je experimental. Stable nevedeme. Možná se to extempore začalo vyplácet po mém odchodu, protože cloudové nasazení nezahrnovalo drahé fyzické návštěvy u klientů a nastavování jejich serverů atp. ale jen pár kliknutí v Azure, ale cenu za cloudový provoz nutně museli zaplatit.

[Max]

Pokud je to služba pro klienty, tak náklady jdou za klienty. Pokud jsou za to schopní platit, není problém.
Zdar Max

[T900]

No to si právě nejsem jistý. Malé firmy/veřejné instituce a nový produkt... Abych ale jen nehaněl, tak se ty Cloudy hodí, když právě nějaká instituce vypíše dotaci a během půl hodiny se přihlásí tisíce lidí. Na to není on-premise server zvědavý, protože normálně chroustá desítky požadavků za hodinu. V Cloudu se nahodí absurdně drahá instance a po hodině se vypne.

[panika]

deprecated a ta co ji nahrazuje je experimental
tohle!
a nonstop vsechno prejmenovavaj
jsem si chvili myslel, ze jsem jen ja nechapavej (jsem), ale tohle musi bejt nejaka firemni politika nebo nvm...

[xkucf03]

Řešení je zbavit se Microsoftu a většinou i cloudu obecně.

[Roman]

Místo k leakování máme české spojení "k úniku dat". Jinak ale pryč s předraženými cloudy!

[Max]

Sry, jsem team anglicismy.
Zdar Max

[Lakatoš]

Vysvětlení problému Lakatoš
video na které národ čekat 15 let
https://www.youtube.com/watch?v=FEOLsay8bX0

[Max]

Já to znám, viděl jsem, má vlastní web, vlastní kanál, dělá shorty. Občas od něj na něco kouknu, je to legenda!!! :D
Zdar Max

[» FIDESZ🧡! «]

fakt že jo hele :O :D :O :D :O :D :O :D

[Martin Tůma]

Jak má člověk vědět, že to celé není o kompetenci admina, když ten není ani schopný odkázat na správné video?!

[Max]

Na vyjádření pocitů stačí jen krátká výstižná výseč :)
Zdar Max

[Martin Tůma]

Zkrátit to je kulturní svatokrádež! A i když pominu, že tam chybí zásadní hlášky jako: "past vedle pasti, pičo!", tak "urážející" už je jenom to, že jako vizuál tam je nějakej ušmudlanej Zetor...

[Max]

:DDD.
Nicméně stejně si myslím, že jsme ve fan clubu dál. Kolegovi jsem před nějakou dobou sestříhal hlášky a dal mu to jako vyzvánění do telefonu. Každou chvíli je tedy v kanceláři slyšet chechot a pak přichází "já to nebudu dělat" :D
Zdar Max

[Radovan]

http://milujipraci.cz/

[beavis]

Když jsi v tísni, řekni to písní: https://youtu.be/VJESmPCptCc

[X]

tvl, dobrovolne podstupovat takovy pain. Nevim, jestli te mam obdivovat nebo litovat, asi oboje. ;)