Koşullu Erişimde Konum Politikalarını Kesinlikle Uygula nasıl kullanılır?
Sürekli erişim değerlendirmesi, Koşullu Erişim'de varsayılan olarak etkinleştirilen güçlü bir varsayılan koruma yöntemidir. İstemci parametrelerinin koşullu erişim gereksinimlerinin kapsamı dışında kalması durumunda, belirteci beklemek zorunda kalmadan bu kaynağa erişimin neredeyse anında engellenmesini sağlamak için istemci cihazı ile Microsoft Entra arasında sürekli iki yönlü iletişimin korunmasını sağlar. sona erme.
Ancak bu mükemmel bir çözüm değildir. Aşırı gayretli politikaların üretkenliği engelleyebileceği karmaşık senaryolara uyum sağlamak için Microsoft'un varsayılanları uygulama konusunda hoşgörülü olması gerekir. Ancak elbette bu aynı zamanda ek riskleri de beraberinde getiriyor.
Bu eğitimde size bu ek riskle nasıl mücadele edeceğinizi ve Koşullu Erişim'de konum politikası ayarlarını sıkı bir şekilde nasıl uygulayacağınızı göstereceğim.
Koşullu Erişimdeki temel konum kısıtlamaları ve riskler
Koşullu Erişim'de konuma dayalı erişim, kullanıcının IP adresine veya coğrafi konumuna göre erişimi engellemenizi sağlar. Buradaki sorun, politikaların gerçek zamanlı olarak değerlendirilmesine izin vermek için istemci ile hizmet (Microsoft Entra) arasında sürekli iki yönlü iletişimin varsayılan olarak kaçırılma ihtimalinin olmasıdır.
Konuma dayalı kısıtlamalar, kaynaklara erişimi güvence altına almak için güçlü bir temel sağlasa da, ek koruma uygulamazsanız veya uygulayamazsanız hâlâ bazı riskler vardır.
İlk olarak, sistem güvenliğinin ihlal edilmesi durumunda erişim belirteci, geçerlilik süresi boyunca başka bir ağa aktarılabilir ve kullanılabilir. Etkilenen kullanıcı aynı zamanda yüksek ayrıcalıklı bir rol üyesiyse, saldırgan, ortamınıza kötü amaçlı erişimlerini daha da genişletmek için mevcut Koşullu Erişim ilkelerinde gizli izinler oluşturabilir veya devre dışı bırakabilir.
İkinci olarak, daha az beklenen bir saldırı, kötü amaçlı bir VPN bağlantısı biçiminde gelebilir. Şüphesiz bir kullanıcı günlük olarak kullandığı mevcut bir VPN bağlantısına bağlanabilir, ancak bilmeden VPN sağlayan cihaz (güvenlik duvarı gibi) ihlal edilmiş ve bir DNS sahtekarlığı veya DNS zehirlenmesi saldırısı gerçekleştirecek şekilde yapılandırılmış olabilir. Daha sonra kullanıcıyı, erişim belirteçlerini kötü amaçlı (ancak görünüşte yasal) oturum açma sayfalarından açığa çıkarması için kandırabilirler.
Bu sorunu göstermek için tüm konumları içeren, güvenilen konumlarımı hariç tutan ve erişimi engelleyen basit bir Koşullu Erişim politikası oluşturdum:
Güvenilir ağımın dışında oturum açmaya çalışırsam koşullu erişim, beklendiği gibi oturum açmamı engelleyecektir:
Daha sonra güvenilir ağımın içindeyken oturum açmaya çalışırsam erişimime izin verilecek. Bu test için güvenilir ağlarımdan biri olarak eklenen genel bir VPN sağlayıcısı kullandım. Bu test için Koşullu Erişim oturum açma günlüğünün aşağıdaki görüntüsü, bu oturum açma işleminin konum hariç tutma işlemine bağlı olarak engelleme ilkesinden hariç tutulduğunu gösterir.
Şimdi konuya geçelim. Güvenilir VPN'ime bağlıyken ve Outlook masaüstü istemcim aracılığıyla Exchange Online'da (örneğin) oturum açmışken, VPN istemcimin bağlantısını kesebilir ve kısa bir süre için güvenilir ağım dışında göz atma oturumuma erişimi sürdürebilirim. Ayrıca, ağ topolojime bağlı olarak, yönlendirmedeki değişiklikler, sürekli erişim değerlendirmesinin, politika değerlendirmesini tetiklemek için belirtecin süresinin dolması ve yenilenmesi şeklindeki eski değerlendirme yöntemine geri dönmesine neden olabilir ve bu, Exchange Online'a değerlendirilmemiş erişimimi genişletebilir.
Sürekli Erişim Değerlendirmesi ne zaman uygulanmaz?
Belirtildiği gibi, IP adresi konumları için Sürekli Erişim Değerlendirmesi, ağ trafiğinin nasıl yönlendirildiğine bağlı olarak bazı karmaşık ağ ortamlarında her zaman geçerli olmayabilir.
Kaynak sağlayıcının (Exchange Online gibi) kullanıcının IP adresini numaralandıramadığı ancak Microsoft Entra'nın numaralandırabildiği senaryolarda, Sürekli Erişim Değerlendirmesi IP konumu için geçerli olmayacak, bunun yerine yalnızca kimlik doğrulama sonrası riskli olaylar için geçerli olacaktır. Bunu tetikleyebilecek ağ topolojilerinin örnekleri şunları içerir:
- Bölünmüş tünel VPN'i
- Kaynak NAT'ı (SNAT) etkileyen dengeli/yedekli ağları yükleyin
- SD-WAN tabanlı dağıtımlar
- Trafiğin diğer ofisler ile internet arasında yönlendirildiği şubeler
Temel olarak, eğer trafik kimlik sağlayıcı (Microsoft Entra) ile kaynak (örneğin Exchange Online) arasında farklı şekilde yönetiliyorsa, bu durum CAE IP konum kontrollerini etkisiz hale getirecektir.
Konum politikalarının sıkı bir şekilde uygulanması nasıl çalışır?
Yukarıda belirtildiği gibi, Koşullu Erişim politikalarınızda yapılandırılmamış olsa da Sürekli Erişim Değerlendirmesi varsayılan olarak etkindir. Sorun, varsayılan olarak hoşgörülü olmasıdır.
'Konum ilkelerini sıkı bir şekilde uygula' seçeneğini yapılandırmadan ve karmaşık ağ topolojileri durumunda, bu durum Microsoft Entra tarafından algılanır ve ağ konumu değerlendirme yöntemi, yukarıda belirtildiği gibi CAE öncesi algılama yöntemlerine geri dönebilir/düşecektir. Bu, korunan kaynağa doğrulanmamış erişimin süresini uzatır ve üretkenliğin engellenmesini önlemek için ortaya çıkar.
Çözüm, Koşullu Erişim oturum kontrolleri aracılığıyla konum politikalarını sıkı bir şekilde uygulamaktır. Bu, Koşullu Erişim değerlendirmesinde yerleşik olan hata güvenliği mekanizmasını atlamanıza olanak tanıyan bir 'katılma' deneyimi sağlar.
Konum politikaları sıkı bir şekilde uygulandığında, kullanıcıya yalnızca aşağıdakilerin doğru olması durumunda kaynağa erişim izni verilecektir:
- Kullanıcıların IP adresi hem kimlik sağlayıcı hem de sağlanan kaynak tarafından numaralandırılabilir (örneğin Entra ve Exchange Online)
- Numaralandırılmış IP, kimlik sağlayıcı ve kaynak sağlayıcı için aynıdır
Yukarıdaki koşullardan herhangi birinin karşılanmaması durumunda hizmete erişim reddedilecektir. Bu, Koşullu Erişim oturum açma günlükleri aracılığıyla görülebilecektir:
Koşullu Erişim'de konum politikalarını kesinlikle uygula nasıl etkinleştirilir
Konum ilkelerini kesinlikle uygula ayarının yapılandırılması kolaydır, ancak Koşullu Erişim ilkenizi etkinleştirmeden önce kendi yönlendirme topolojilerinizi anlamanız önemlidir.
Koşullu Erişim politikası oluşturmak, bu ayarları etkinleştirmek ve raporlama modunu yapılandırmak için aşağıdaki adımları izleyerek başlayın.
1. Microsoft Entra'da oturum açın
2. Koruma'yı genişletin, ardından Koşullu Erişim > Politikalar > Yeni politika'yı seçin.
3. Yeni politikanızda Ad, Kullanıcı atamaları ve Kaynak ataması gibi standart ayarları yapılandırın, ardından Koşul atamalarında konum koşullarınızı yapılandırın.
4. Erişim kontrolleri altında, oturum kontrolünü genişletin ve Sürekli erişim değerlendirmesini özelleştirin'in yanındaki kutuyu işaretleyin ve Konum politikalarını kesinlikle uygula'yı seçin.
