Office365 - zrozeno k leakování dat (diskuse)

[RealJ]

Loginy a MFA

- tohle neni problem u MS ale u lidi co jsou admini pro vsechno a ve finale rozumi vsemu podobne jako Izak... guest vs firemni ucty - Entra B2B je tu v nejake podobe jiz nejakou dobu a ze jsou lidi denne kokoti a delaj to jako lopaty opravdu neni problem MS. Ja tenhle bordel jednou za cas vidim nekde a vzdy jim reknu ze historicky ten bordel chapu ale pokud chteji nejak normalne/bezpecne fungovat tak si to musi uklidit stejne jako osranej hajzl.

Bezpečnost v O365

- jo, je to tak, na druhou stranu mas spoustu reseni ktere ti resi to same co MS a jdou hezky integrovat s O365, tedy az na purview a compliance, jakmile potrebujes realne compliance tak jsi v pici a potrebujes vse od MS a jelikoz idioti v MS nejsou uplne idioti tak chteji pay as you go za spoustu veci.

Ale musíš mít licenčního partnera

- jo, tohle je peklo vsude kam se podivas. Řešením je prý navýšit licenční model a najmout firmu, co bude dělat bezpečnostní hardening a pravidelnou kontrolu a aplikaci doporučení - tohle je jedna z veci ktera mi zivi firmu a jak rikas, tech zmen je tolik ze s malym tymem adminu to nemas sanci resit a outsourcing je jedina moznost. Pro nas to znamena ze jsme si udelali spoustu veci ktere resime automaticky, spousta veci jde ke schvaleni zakaznikum a pak se implementuji a dle zakaznika mame moznost jim v ramci bezpecnosti blokovat cokoliv povazujeme za problem, nekde jsou ale zakaznici idioti a maji nastaven proces kde kazdy vetsi incident musi schvalit CIO a ten je klidne tyden na dovolene a nic neresi... :D
Video pobavilo. :D

[Max]

"Loginy a MFA"

Nesouhlasím. Jak admin toho uživatele může ovlivnit to, že potřebuje přístup někam do správy železnic, či jiného útvaru, kde mu založí účet / pozvou ho atd.? A u nás jsou lidi, co takto mají přístup do x tenantů (k cizím firmám / státním úřadům apod.) a pak se jim pletou loginy, stále na ně někde něco vyskakuje s přihlášením a další věci. To já z pohledu admina nijak neovlivním.
Zdar Max

[RealJ]

Ty to u sveho admina neovlyvnis ale taky nemuzes za to ze na te druhe strane pracuje idiot… jakmile s nekym mas dlouhodobe spolupracovat (coz je dano jiz u podpisu nejake smlouvy) tak entra b2b a nic jineho. Jenomze ve spouste firem je to tak ze tady Franta potrebuje bejt na meetingu, tady Pepa potrebuje sharepoint pristup a az po letech zjistis ze s tou dalsi firmou mate smlouvy na x let za x mega.

[Max]

Takovou kooperaci s nikým nemáme. Vždy to je o tom, že třeba nějaký šéfík potřebuje třeba přístup do Sharepointu správy železnic, protože je v nějakém top okruhu lidí. Dívá se tam třeba jen na nějaké malé update, nebo dokumenty. Žádná smlouva s tou firmou není, žádný b2b se nenastavuje, protože přístup potřebuje jeden človek třeba k jednomu dokumentu. A když je ve firmě 3k lidí, tak vualá, najednou je takových lidí (co přistupuje k jedné věci v nějakém tenantu - pokaždé jiném) celkem dost. Prostě kusové sdílení. A na to právě narážím. Dokonce i naše matka, která jede O365 ve velkým, všichni E5, má na ot tými jak kráva, tak vím, že jeden big boss má od nich E5 licenci, aby mohl přistupovat k nějakému dokumentu v jejich tenantu + aby se mohl ověřit přes Entru při přístupu na vpn + jejich sap.
Asi by šlo řešit b2b i pro kusové sdílení, ale to pak jaksi naráží na flexibilitu, kdy do toho vstupují smlouvy, právnicí, nekomunikující druhá strana apod.
Zdar Max

[Max]

Jinak k té integraci. To je samozřejmě všechno pěkný, ale každý si řeklne od 2 do 12 EUR/uživatel/měsíc. Takže měsíční náklady per user stoupají jak s MS, tak bez něj.
A to nemluvím o zálohování, kde je reálně nesplnitelné DR, zálohování, testování a další věci okolo a jediné, co zbývá, je víra v to, že MS sice za nic neručí, ale přeci to někde má a nedovolil by si, aby klienti přišli o data.
Zdar Max

[plostenka]

Nemas pravidelne testovane funkcni DR, nemas zakazku. Tak jednoduche to je.

Doufat v backup ex machina je takove prijemne detsky naivni.

[Max]

Já v nic nedoufám, já si na to stěžuji.
Zdar Max

[Roman]

Zlatý prciny!

[Xerces]

Taky by se zde hodilo ... No. To vám teda nezávidím.

[rad]

provádět phishingové kampaně

Moje oblíbené opatření. K hromadě bordelu co chodí z celýho internetu přidáme další. Jedinej, kdo se na to chytí je sice jen starej Cibulka, protože ten zadává heslo i do mikrovlnky, ale budeme tím otravovat celou firmu. To by tak hrálo, abychom nechali zaměstnance pracovat. Na konci roku pochopitelně nezapomene vygenerovat report o klesající produktivitě práce.

[Max]

Mám naprosto jinou zkušenost. Od zavedení phishingových kampaní rapidně klesly nesmyslné klikání a s každou kampaní to vykliká čím dál méně lidí a hlásí problém (nahlašují na IT podezřelou komunikaci) čím dál více lidí. Z hlediska edukace to má, minimálně z mé zkušenosti, velký přínos.

Docházka, píchačky, sledování, nebo vyhodnocování produktivity u ná neprobíhá, ale nevadí, aspoň jsi si pobrečel :).
Zdar Max

[rad]

U nás na to kliká pořád ta stejná skupina 4 % zaměstnanců (nebo 6 %, teď nevím). A proto, že se ten relativní počet nesnižuje (protože se to saturuje na počtu Cibulků), tak se to vyhodnocuje tak, že je potřeba frekvenci kampaní zvyšovat.

...a hlásí problém (nahlašují na IT podezřelou komunikaci) čím dál více lidí...

Jako že chcete po lidech aby na IT podporu hlásili každej divnej mail co jim přijde? Co s takovým hlášením pak děláte?

ale nevadí, aspoň jsi si pobrečel :)

Tak zas bych to tak nepřeháněl. Je to prostě pohled z druhý strany síťovýho káblu, kde sedí uživatel, kterýho podobný opatření (pravidelný změny hesel, zakázaný přílohy v mailech apod.) z IT oddělení prostě tak nějak normálně serou, nic víc, nic míň . Někdy takovej pohled nemusí bejt úplně neužitečnej.

Ono spoustu různejch podpůrnejch profesí (IT, HR, vrátnej, ...) si někdy myslej, že zaměstnanci jsou ve firmě primárně kvůli nim a vymejšlej blbosti, kterejma ty zaměstnance obtěžujou, aby nějak obhájili svoji existenci.

Jinak to, že vaše firma (netuším jaká, ale stejně) nevyhodnocuje produktivitu se mi zdá dost nepravděpodobný, ale když to říkáš...

[Max]

Jako že chcete po lidech aby na IT podporu hlásili každej divnej mail co jim přijde? Co s takovým hlášením pak děláte?

Hlásí jen to, u čeho si nejsou jistí, nebo pak hlásí to, co podle nich už vypadá dost dobře na to, aby to mohl být i nějaký průšvih. Tak preventivně nahlásí. U cca 1k uživatelů je to dotaz na mail cca 1-2ks týdně.
Přílohy máme povolené, ale je tam whitelist, co lze přijmout / poslat. Nejdou poslat scripty, spustitelné soubory, vnořené archivy (útočníci spoléhají na to, že antispam řešení neumí, nebo nedělá víceúrovňové rozbalování archivů - tj. zip v zipu v zipu apod.) atd.

Jsme velký a nevím o tom, že by se nějak produktivita vyhodnocovala. U obchoďáků lze zjistit, kolik třeba udělali objednávek, ale nevím, zda se to nějak reálně řeší. Vím, že u řidičů se počítají manipulace v tom smyslu, že za každou manipulaci mají bonus. Čím víc manipulací stihnou za směnu, tím víc dostanou peněz. Ale tam to asi končí.
Docházkový systém nemáme / nikdo nechtěl, ale vím, že německé pobočky jej mají, jedna dcera, co řeší specifický servis také má docházku a sestra nějak také.

Vesměs je tedy vše v rukou jednotlivých vedoucích, kteří zodpovídají za běh svého oddělení.
Zdar Max

[plostenka]

hlásí to, co podle nich už vypadá dost dobře na to, aby to mohl být i nějaký průšvih

A po vsech tech skolenich prijde legitimni mail od firemniho IT, ktery vypada presne jak devadesatkovy scam - cerveny velky pismena, ted hned musite zapnout/vypnout/aktualizovat/logout-login a tady je link.

Nejdou poslat scripty, spustitelné soubory, vnořené archivy (útočníci spoléhají na to, že antispam řešení neumí, nebo nedělá víceúrovňové rozbalování archivů - tj. zip v zipu v zipu apod.)

Tak na to spolehaji, nebo to skutecne neumi? Prave kvuli takovym nahodnym priponovym/velikostnim whitelistum napric institucema se rozmohlo posilani priloh pomoci ulozto/webshare a milionu jinych domen. MFA opicarny s cloudama tu frustraci se sdilenim "blbyho wordu" jeste umocnuji.

[rad]

Tak oficiální pozice našeho IT oddělení je taková, že pokud uživatel potřebuje poslat přílohu, která je blokovaná, má ji zabalit do archivu, který systém neumí rozbalit (u nás lzma). Takže oni zavedou nějaké opatření a pak vydají oficiální doporučení, jak takové opatření obcházet. Všechny MS Office dokumenty s makrama jsou pochopitelně na whitelistu.

[Max]

To je nějaký nesmysl. Když zabalím zakázanou přílohu, tak je stále AV blokne, protože ten zip rozbaluje. Musel by být zaheslovaný bez náhledu na metadata, co v něm je.
Zdar Max

[rad]

Vsak to prave nesmi byt zip, musi to byt format, ktery ten system nezna. U nas je to napr. prave zminene lzma. Pak taky doporucuji prejmenovavat pripony, abych teda neopomnel dalsi doporuceni.

[Max]

Blokujeme všechny možné netradiční archivy, takže u nás prochází zip a pár dalších, co AV umí rozbalit a zbytek se dropuje. Reálně uživatelé nic jiného, než zip nepoužívají.
A na přenos velkých příloh a dalších věcí máme vystavenou službu, resp. dvě, jednu pro interní výměnu souborů a druhou pro výměnu s partnery / klinety.
Zdar Max

[Glee]

Super zapisek a Lakatos365 zabil.

[Max]

Díky
Zdar Max

[T900]

Ta cena za měsíc na cloudu odpovídající roku v on-premise vcelku sedí. V předchozím zaměstnání jsme se stali "Microsoft pozitivními" a šoupli jeden produkt do Azure. Přiblblá virtuálka o čtyřech jádrech, u které jsme museli pořád hlídat vytížení atp. stála tolik co fyzické servery pro zbytek firmy. Dokumentace stála taky za to - jedna Azure scriptovací funkce je deprecated a ta co ji nahrazuje je experimental. Stable nevedeme. Možná se to extempore začalo vyplácet po mém odchodu, protože cloudové nasazení nezahrnovalo drahé fyzické návštěvy u klientů a nastavování jejich serverů atp. ale jen pár kliknutí v Azure, ale cenu za cloudový provoz nutně museli zaplatit.

[Max]

Pokud je to služba pro klienty, tak náklady jdou za klienty. Pokud jsou za to schopní platit, není problém.
Zdar Max

[T900]

No to si právě nejsem jistý. Malé firmy/veřejné instituce a nový produkt... Abych ale jen nehaněl, tak se ty Cloudy hodí, když právě nějaká instituce vypíše dotaci a během půl hodiny se přihlásí tisíce lidí. Na to není on-premise server zvědavý, protože normálně chroustá desítky požadavků za hodinu. V Cloudu se nahodí absurdně drahá instance a po hodině se vypne.

[panika]

deprecated a ta co ji nahrazuje je experimental
tohle!
a nonstop vsechno prejmenovavaj
jsem si chvili myslel, ze jsem jen ja nechapavej (jsem), ale tohle musi bejt nejaka firemni politika nebo nvm...

[xkucf03]

Řešení je zbavit se Microsoftu a většinou i cloudu obecně.

[Roman]

Místo k leakování máme české spojení "k úniku dat". Jinak ale pryč s předraženými cloudy!

[Max]

Sry, jsem team anglicismy.
Zdar Max

[Lakatoš]

Vysvětlení problému Lakatoš
video na které národ čekat 15 let
https://www.youtube.com/watch?v=FEOLsay8bX0

[Max]

Já to znám, viděl jsem, má vlastní web, vlastní kanál, dělá shorty. Občas od něj na něco kouknu, je to legenda!!! :D
Zdar Max

[Pendrekama do nich❗]

fakt že jo hele :O :D :O :D :O :D :O :D

[Martin Tůma]

Jak má člověk vědět, že to celé není o kompetenci admina, když ten není ani schopný odkázat na správné video?!

[Max]

Na vyjádření pocitů stačí jen krátká výstižná výseč :)
Zdar Max

[Martin Tůma]

Zkrátit to je kulturní svatokrádež! A i když pominu, že tam chybí zásadní hlášky jako: "past vedle pasti, pičo!", tak "urážející" už je jenom to, že jako vizuál tam je nějakej ušmudlanej Zetor...

[Max]

:DDD.
Nicméně stejně si myslím, že jsme ve fan clubu dál. Kolegovi jsem před nějakou dobou sestříhal hlášky a dal mu to jako vyzvánění do telefonu. Každou chvíli je tedy v kanceláři slyšet chechot a pak přichází "já to nebudu dělat" :D
Zdar Max

[Radovan]

http://milujipraci.cz/

[beavis]

Když jsi v tísni, řekni to písní: https://youtu.be/VJESmPCptCc

[X]

tvl, dobrovolne podstupovat takovy pain. Nevim, jestli te mam obdivovat nebo litovat, asi oboje. ;)