DCToolbox – Koşullu Erişim Politikalarını Dağıtıma Kolay Bir Yaklaşım

Microsoft 365'teki Koşullu Erişim ilkeleri söz konusu olduğunda, görev yöneticiler için kolay bir iş değildir; yapılması kritik bir görev! Bu politikalarla verilerimizi korumak öncelikli endişemiz olsa da, mevcut kullanıcı erişimini, uygulamaları, konumları ve daha fazlasını kesintiye uğratmadan bunları doğru şekilde yapılandırmak da aynı derecede önemlidir. En iyi niyetimize rağmen, bu görevin üstesinden gelmek zaman alıcı hale gelebilir! Ancak Koşullu Erişim politikalarını atlamak doğru seçim değil! Uygun alternatifler olmadığından organizasyonumuzu korumak için bunları konuşlandırmalıyız.

Koşullu Erişim politikalarını yalnızca birkaç dakika içinde uygulayabilseydiniz ne olurdu? Gizli bir hazine bulmak gibi ama tahmin edin ne oldu; gerçekten anladık! ??

Microsoft'un MVP'si Daniel Chronlund, çığır açan çözümü DCToolbox'u tanıtıyor. Bununla birlikte, kritik Koşullu Erişim politikalarının oluşturulmasına yönelik karmaşık süreci basitleştirerek kuruluşunuza üst düzey güvenlik sağlar.

DCToolbox'tan tek bir cmdlet, “Deploy-DCConditionalAccessBaselinePoC”, Microsoft 365 yöneticilerine Koşullu Erişim politikalarını hızlı bir şekilde dağıtma yeteneği sağlar ? . Araç aşağıdaki avantajları sunar:

18 temel Koşullu Erişim politikasının dağıtımı (DCToolbox, yüksek riskli kullanıcıları engellemek, kurumsal olmayan ağlardan cihaz kayıtları için MFA'yı zorunlu kılmak ve yönetici hesapları için belirteç kalıcılığını devre dışı bırakmak gibi önemli politikaları içerir).
Yapılandırma süreleri kahve molanızdan daha kısa!
Koşullu Erişim politikalarının salt rapor modunda dağıtılması, risksiz test ve ayarlama yapılmasına olanak tanır.

Siber güvenlik ihtiyaçlarınıza yönelik Koşullu Erişim politikalarını DCToolbox aracılığıyla kolayca dağıtmak için adım adım kılavuza bakalım.

DCToolbox'ı Kullanmanın Önkoşulları

Koşullu Erişim kavram kanıtlama tasarımını Microsoft 365 kiracınızda DCToolbox ile dağıtmadan önce aşağıdaki önkoşulları karşıladığınızdan emin olun:

1. PowerShell 7'yi Windows'a yükleyin:

DCToolbox modülündeki “Deploy-DCConditionalAccessBaselinePoC ” cmdlet'i PowerShell 7'nin minimum sürümünü gerektirir. "PowerShell 7'nin nasıl kurulacağını" düşünüyor olabilirsiniz, ancak sorunun cevabı soru çok basit! Windows’ta PowerShell 7 kurulumu için aşağıdaki adımları sırasıyla takip ediniz.

PowerShell'in en son sürümünü kontrol etmek için Windows PowerShell'de aşağıdaki cmdlet'i yürütün.
PowerShell
```
winget search Microsoft.PowerShell
```
Ardından PowerShell'in en son sürümünü yüklemek için aşağıdaki cmdlet'i çalıştırın.
PowerShell
```
winget install --id Microsoft.Powershell --source winget
```

2. M365 Küresel Yönetici Rolü:

Kimlik doğrulama sırasında gerekli izinlere izin vermek için DCToolbox'ı Genel Yönetici izinleriyle çalıştırmanız gerekir. Bu izinler DCToolbox'ın MS Graph PowerShell aracılığıyla kuruluşun verilerine erişmesine olanak tanır.

Temel Koşullu Erişim Politikaları - DCToolbox

DCToolbox, Daniel'in Koşullu Erişim otomasyon araçları, PowerShell Graph işlevleri ve daha fazlası için merkezi bir merkezdir. Ancak Koşullu Erişim ilkesi otomasyonunu dağıtmadan önce, "Deploy-DCConditionalAccessBaselinePoC " başarıyla çalıştırıldığında gerçekleştirilen eylemleri anlamak önemlidir.

18 Koşullu Erişim politikası -Kullanıcı erişimini, misafir erişimini, uygulama kullanımını, belirli ülkelerden erişimi ve daha fazlasını yönetmek ve kontrol etmek için tasarlanmıştır.
Bu 18 politikadan 16'sı salt rapor modundadır. Kalan ikisi kapalı duruma ayarlanmıştır.

- Biri örnek politika, diğeri ise cihaz uyumluluğu gerektiren bir politikadır.
- Cihaz uyumluluğu salt rapor modunu desteklemediğinden kapalı durumda dağıtılacaktır.

Uzman görüşü: Daniel'e göre bu 18 temel Koşullu Erişim politikası span> dört yılı aşkın süredir yüz binlerce kullanıcıyı koruma altına aldı. Dolayısıyla kuruluşlar güvenlik önlemlerini yükseltmek için bunları etkili bir şekilde kullanabilirler ?.

Deploy-DCConditionalAccessBaselinePoC: Cmdlet'in Öne Çıkan Noktaları

“Deploy-DCConditionalAccessBaselinePoC ” cmdlet'i DCToolbox PowerShell modülü içinde aşağıdaki temel avantajları sunar.

Cmdlet, Microsoft Graph PowerShell modülünün varlığını kontrol eder ve bilgisayarınızda bulunamazsa yükler.
Microsoft Graph PowerShell'e bağlanmak için Microsoft 365 genel yönetici kimlik bilgilerinizi otomatik olarak ister.
Yeni olarak kırma hesapları için bir grup oluşturur ve o anda DCToolbox ile çalışan yöneticiyi bu gruba ekler.
Cmdlet, Entra ID'de insan dışı kimlikler (yazılım iş yükünü, bilgisayarları, mobil cihazları, IoT sensörlerini ve daha fazlasını temsil eden kimlikler) için ayrı olarak bir hizmet hesabı grubu oluşturur.
Kurumsal IP adresleriniz için CA politikalarında adlandırılmış bir konum oluşturur ve mevcut genel IP adresinizi otomatik olarak listeye ekler.
Geliştirici, çalışma eğiliminde olduğu bazı ülkeleri örnek olarak eklediğinden, izin verilen bazı ülkeler için adlandırılmış bir konum oluşturur.
CA politikaları için İngilizce dilinde bir Kullanım Şartları şablonu yükler.

Entra ID Koşullu Erişim PoC'sini DCToolbox ile yapılandırma

DCToolbox'ı kullanarak Koşullu Erişim İlkeleri paketinin tamamını kiracınızda dağıtmak için aşağıdaki adımları izleyin:

DCToolbox modülünü yükleyin: Öncelikle aşağıdaki cmdlet'i kullanarak DCToolbox modülünü PowerShell 7 çekirdeğine yükleyin.
PowerShell
```
Install-Module -Name DCToolbox
```
DCToolbox modülünü güncelleyin: Bu modülü zaten yüklediyseniz, yukarıdaki aynı cmdlet'i 'Force' parametresiyle yürütmeniz yeterlidir.
PowerShell
```
Install-Module -Name DCToolbox -Force
```
Cmdlet'i yürütün: Ardından, Tam Entra ID Koşullu Erişim kavram kanıtını dağıtan aşağıdaki PowerShell cmdlet'ini yürütün. Bu cmdlet otomatik olarak MS Graph PowerShell'e bağlanır ve yapılandırılacak 18 ilkenin listesini dağıtır. Ayrıca 18 politika için gerekli olan grupları, kullanım şartlarını ve adlandırılmış konumları da oluşturur. Tüm süreç birkaç dakika içinde tamamlanacak!
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC
```
2. Ancak, CA ilkelerini özel adlar olmadan dağıttığınızda, bunları bu parametreleri kullanarak yeniden adlandıramayacağınızı unutmayın. Bunu yapmaya çalışmak, farklı ad bağımlılıklarına sahip 18 politikadan oluşan yeni bir setin oluşturulmasıyla sonuçlanacaktır.
Global yönetici olarak oturum açın: Çalıştırmanın ardından, tarayıcıda yönetici kimlik bilgilerinin ayrıntılarını ister. Genel yönetici kimlik bilgileriyle oturum açın.
İzin verme: Başarılı kimlik doğrulamanın ardından kullanıcılara, uygulamalara, politikalara ve gruplara ait verilere erişme ve bunları değiştirme izinleri verilmelidir. Devam etmek için 'Kabul Et' düğmesini tıklayın. Bu eylem, cmdlet'in kullanıcılar, gruplar ve uygulamalar gibi Microsoft Graph kaynaklarına erişmesine ve bunları yönetmesine olanak tanır.
CA ilkelerinin dağıtımı: Son olarak, 18 temel Koşullu Erişim ilkesi kiracınızda salt okunur modda dağıtılmaya başlayacaktır. Bu politikalar, kuruluşunuzun kaynakları için temel düzeyde güvenlik sağlamak üzere tasarlanmıştır.

“Deploy-DCConditionalAccessBaselinePoC ” cmdlet'i yürütmeyi tamamladıktan sonra, kuruluşunuzda temel bir Koşullu Erişim politikaları kümesi oluşturulmuş olacaktır. Daha sonra, dağıtılan politikaları kuruluşunuzun özel gereksinimlerine uygun olacak şekilde özelleştirebilirsiniz.

DCToolbox ile Dağıtılan Koşullu Erişim Politikalarını İzleyin ve Yönetin

Koşullu Erişim politikalarının durumu "salt rapor" moduna ayarlanacaktır, dolayısıyla bunları Entra ID ortamında inceleyip etkinleştirmek önemlidir. Yapılandırılmış CA politikalarına erişmek için aşağıdaki yolu izlemeniz yeterlidir:

Microsoft Entra Yönetim Merkezi → Koruma → Koşullu Erişim → Politikalar

Burada Entra ID'de yapılandırılan politikaları listeleyen bir tablo bulacaksınız.

“GLOBAL…” ile başlayan politikalar DCToolbox aracılığıyla yapılandırılır. Bu DCToolbox CA politikaları üç oturuma ayrılmıştır: Engelleme Politikaları, Yetki Politikaları ve Oturum Politikaları.

Engelleme Politikaları: Bu kategori, belirli koşullar altında kuruluşunuzun kaynaklarına yetkisiz erişimi engellemeye odaklanan 8 politikadan oluşur. Bu politikalar, hassas verilerin proaktif bir şekilde güvence altına alınmasına ve potansiyel tehditlerin azaltılmasına yöneliktir.
Hibe Politikaları: Bu bölüm, belirli koşullara göre bulut kaynaklarına kullanıcı erişimini kontrol eden erişim temel hazırlığına odaklanan 7 politika içerir. Bu, kuruluşunuzun verilerine ve kaynaklarına izin vermek amacıyla kullanıcı erişimini kontrol etmek açısından yararlı olabilir.
Oturum Politikaları: Oturum politikası kategorisi, etkin oturumları kontrol eden ve yönetilen ve yönetilmeyen cihazlardaki belirteç kalıcılığı ve dosya indirmeleri gibi faktörleri belirleyen 2 politikayı kapsar.

Politikalar salt rapor modunda dağıtılırken, oturum açma günlüklerini, denetim günlüklerini, raporlama çalışma kitaplarını ve Daha. Yukarıda açıklanan yöntemleri kullanarak bu politikaları analiz ettikten sonra, bunların ortamınızdaki etkileri ve etkililiği hakkında fikir sahibi olacaksınız. Bu sonuçlara göre kuruluşunuzdaki politikaları tek tek seçerek etkinleştirebilirsiniz.

Aşağıdaki tablo, DCToolbox aracılığıyla yapılandırılan 18 Koşullu Erişim ilkesini küçük bir açıklamayla birlikte sunar.

Örnek Politika

CUSTOM - GRANT - Example: Küresel politikalardan sapmalara örnek bir politika. Özel verme örnek ilkesine sahip kullanıcı grubu genel ilkelerin dışında tutulabilir.

Blok Politikaları

GLOBAL - BLOCK - Legacy Authentication: ActiveSync ve IMAP gibi güvenli olmayan eski protokolleri engeller.
GLOBAL - BLOCK - Legacy Authentication: ActiveSync ve IMAP gibi güvenli olmayan eski protokolleri engeller.
GLOBAL - BLOCK - Unsupported Device Platforms: Linux gibi desteklenmeyen cihaz platformlarını engeller.
GLOBAL - BLOCK - Countries not Allowed: Beyaz listede olmayan ülkelerden gelen bağlantıları engeller.
GLOBAL - BLOCK - Service Accounts (Trusted Locations Excluded): Güvenilmeyen IP adreslerinden gelen hizmet hesaplarını engeller.
GLOBAL - BLOCK - Explicitly Blocked Cloud Apps: Belirli bulut uygulamalarını açıkça engeller.
GLOBAL - BLOCK - Guest Access to Sensitive Apps: Hassas uygulamalara konukların erişimini engeller.
GLOBAL - BLOCK - High-Risk Sign-Ins: Entra ID Protection tarafından tespit edilen yüksek riskli kimlik doğrulamalarını engeller.
GLOBAL - BLOCK - High-Risk Users: Orta riskli kimlik doğrulamalarında MFA'yı zorunlu kılar.

Hibe Politikaları

GLOBAL - GRANT - Medium-Risk Sign-Ins: Orta riskli kimlik doğrulamalarında MFA'yı zorunlu kılar.
GLOBAL - GRANT - Medium-Risk Users: Orta riskli kullanıcılar için MFA'yı zorunlu kılar.
GLOBAL - GRANT - Device Registration: Kurumsal olmayan ağlardan cihaz kayıtları için MFA'yı zorunlu kılar.
GLOBAL - GRANT - Terms of Use: Kullanıcıların kullanım koşulları politikalarını kabul etmesini gerektirir.
GLOBAL - GRANT - MFA for All Users: MFA ile tüm kullanıcı kimlik doğrulamalarını korur.
GLOBAL - GRANT - Mobile Apps and Desktop Clients: Mobil uygulamaların ve masaüstü istemcilerinin Intune uyumlu olmasını gerektirir.
GLOBAL - GRANT - Mobile Device Access Requirements: Uygulamaların Intune Uygulama Koruma İlkeleri tarafından korunmasını gerektirir.

Oturum Politikaları

GLOBAL - SESSION - Admin Persistence: Yönetici hesapları için belirteç kalıcılığını devre dışı bırakır.
GLOBAL - SESSION - Block File Downloads On Unmanaged Devices: Yönetilmeyen cihazlarda dosya indirme işlemlerini engeller.

Farklı PowerShell Parametreleriyle Gelişmiş İşlemler

“Deploy-DCConditionalAccessBaselinePoC ” cmdlet'iyle belirli parametrelerin eklenmesi, temel ilke oluşturmayla bazı gelişmiş eylemleri gerçekleştirebilir.

CA İlkesi Adlarına Önek Ekle

İlke adıyla bir önek eklemek için cmdlet'le 'AddCustomPrefix' parametresini kullanın. İlke adının bulunduğu önek, ilkenin DCToolbox kullanılarak oluşturulduğunu tanımlamaya yardımcı olur. Bu, mevcut politikalardan farklılaşmayı kolaylaştırır.

Deploy-DCConditionalAccessBaselinePoC -AddCustomPrefix <CustomPrefixThatYouWishToUpdate>

Gruplar ve Adlandırılmış Konumlar için Özel Ad Kullan

Araç, önceden tanımlanmış bir varsayılan ada sahip grupları ve adlandırılmış konumları otomatik olarak oluşturur. Başka adlara sahip olanları oluşturmak veya mevcut olanlarla bağlantı kurmak için aşağıdaki cmdlet'lerden ihtiyacınıza uygun birini çalıştırın.

Bir ara hariç tutma grubu için mevcut bir gruba bağlantı verebilir veya 'ExcludeGroupDisplayName' parametresini kullanarak yeni bir grup oluşturmak için bir ad belirtebilirsiniz.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -ExcludeGroupDisplayName <GroupNameThatYouWishToUpdate>
```
Bu arada, aşağıda gösterildiği gibi hizmet hesabı grupları için 'ServiceAccountGroupDisplayName' parametresini kullanabilirsiniz.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -ServiceAccountGroupDisplayName <GroupNameThatYouWishToUpdate>
```
Konum adlı kurumsal ağ için özel bir ad ayarlamak üzere 'NamedLocationCorpNetwork' parametresini kullanın.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -NamedLocationCorpNetwork <CustomNameforCorpNetworkList>
```
İzin verilen ülkenin adlandırılmış konumlarına özel bir ad ayarlamak için 'NamedLocationAllowedCountries' parametresini kullanın.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -NamedLocationAllowedCountries <CustomNameforAllowedCountriesList>
```

Mevcut Kullanım Koşullarını Kullan

DCToolbox CA politikalarına ilişkin mevcut kullanım şartlarını kullanmak için 'TermsOfUseName' parametresini kullanın.

Deploy-DCConditionalAccessBaselinePoC -TermsOfUseName <ExistingTermsName>

Koşullu Erişim Politikalarını Atla

18 listedeki temel CA politikalarından bazılarını atlamak için 'SkipPolicies' parametresini kullanabilirsiniz.

Deploy-DCConditionalAccessBaselinePoC -SkipPolicies <DCToolboxCAPolicyNamesSeparatedByComma>

Koşullu Erişim Politikasını Doğrudan Uygulayın

Salt rapor modunu atlamak ve CA ilkelerini doğrudan uygulamak için 'SkipReportOnlyMode' parametresini kullanın.

Deploy-DCConditionalAccessBaselinePoC -SkipReportOnlyMode #Not Recommended!

Uyarı: Bu doğrudan yaptırım önerilmez! Politikalardaki herhangi bir yanlış yapılandırma, kullanıcının kritik kaynaklara erişimini anında kesintiye uğratabilir ve bu da potansiyel iş kesintilerine yol açabilir. Kullanıcıların uygulamalara ve verilere erişimleri reddedilebilir, bu da üretkenliklerini etkileyebilir ve hayal kırıklığına neden olabilir. Bu nedenle, politikayı normal kullanım için etkinleştirmeden önce her zaman salt rapor moduyla test etmeniz önerilir.

DCToolbox CA İlkeleri Bağımlılık Adlarını Özelleştirmek için PowerShell Komut Dosyası

Cmdlet'lerle yukarıdaki parametrelere ek olarak, bağımlılıklara farklı adlar uygulamak için aşağıdaki gibi bir komut dosyası oluşturup kullanabilirsiniz. Bu metodoloji, Microsoft 365 yöneticilerinin yukarıda tartışılan parametreleri tek bir yürütmede birleştirmesine yardımcı olur.

$Parameters = @{ 
ExcludeGroupDisplayName = 'Excluded from Conditional Access' 
ServiceAccountGroupDisplayName = 'Conditional Access Service Accounts' 
NamedLocationCorpNetwork = 'Corporate Network' 
NamedLocationAllowedCountries = 'Allowed Countries' 
TermsOfUseName = 'Terms of Use' 
} 
Deploy-DCConditionalAccessBaselinePoC @Parameters

Son Düşünceler

M365 yöneticileri, tek tek yapılandırmaya gerek kalmadan yalnızca birkaç dakika içinde tamamen işlevsel Koşullu Erişim politikaları oluşturabilir! Bu yaklaşım, zamanın ve güvenliğin değerini bilen yöneticiler için geliştirilmiş olup, kolaylaştırılmış, otomatikleştirilmiş bir çözüm sunar.

En Değerli Profesyonele, Daniel Chronlund'e harika çalışması için teşekkür ederiz ? .

Bu blogun M365 yöneticilerinin kendi etki alanlarında Koşullu Erişim politikalarını dağıtmalarına yardımcı olacağını umuyoruz. Düşüncelerinizi yorum kısmına bırakmaktan çekinmeyin. Daha fazla bilgi için bizi takip etmeye devam edin ?!