Audit zabezpečení Microsoft Entra ID pro české firmy
Zjistím, kdo má ve vašem Microsoft 365 administrátorská práva, jak jsou chráněná přihlášení a kde má tenant slabá místa. Dostanete report v češtině s nálezy seřazenými podle rizika a akčním plánem, co opravit nejdřív.
Pracuji jen s oprávněními pro čtení. Ve vašem tenantu nic neměním.
PS> Invoke-EntraAudit -Tenant contoso -Level CriticalPřipojeno k Microsoft Graph (jen čtení)[NÁLEZ ] 9 účtů s rolí Global Administrator (doporučeno 2–4)[KRIT. ] 12 privilegovaných účtů bez registrované MFA[NÁLEZ ] 14 trvalých přiřazení rolí, PIM se nevyužívá[ OK ] Legacy autentizace blokována[ OK ] Security Defaults zapnuté[NÁLEZ ] Žádná politika pro rizikové lokace[ OK ] V tenantu nejsou vlastní role…Hotovo: 12 kontrol · 1 kritické · 6 varování · 5 v pořádku01 · Pro koho
Pro koho audit je
Firmy na Microsoft 365 bez vlastního bezpečnostního týmu
IT se stará o provoz a na revizi nastavení nezbývá čas. Tenant se často nastaví při migraci a pak už na něj nikdo nesáhne. Mezitím přibývají administrátoři, výjimky a zapomenuté účty.
Finanční sektor a regulované firmy
Finanční instituce podléhají nařízení DORA, další firmy novému zákonu o kybernetické bezpečnosti (NIS2). Oba předpisy mimo jiné vyžadují řízení přístupů a silné ověřování. Report ukáže, jak na tom jste, a poslouží jako podklad pro auditora i vedení.
IT firmy a MSP
Nezávislá kontrola tenantů, které spravujete, nebo služba, kterou můžete nabídnout svým klientům pod vlastní značkou. Jak spolupracuji s IT firmami
02 · Rozsah
Dvě úrovně auditu
Většinu kontrol ověřuji automatizovaně přes Microsoft Graph s oprávněními jen pro čtení. Body, které přes API ověřit nejde, posoudím ručně. Výsledky pak hodnotím v kontextu vaší firmy, protože ne každá odchylka od doporučení je skutečné riziko.
Kritická úroveň
12 kontrolních bodů
Body s nejvyšším dopadem: administrátorské účty a role, vícefaktorové ověření, Conditional Access a nouzové účty. Rychlá odpověď na otázku, jestli může jedno ukradené heslo znamenat převzetí celého tenantu.
Výstup: report s akčním plánem
Kompletní audit
50 kontrolních bodů
Kritická úroveň a navíc aplikace a jejich oprávnění, hosté a externí spolupráce, životní cyklus účtů, monitoring a provozní hygiena tenantu.
Výstup: report s akčním plánem a společné projití nálezů
Co audit prověří
Privilegované účty a role
- Počet globálních administrátorů
- MFA u administrátorských účtů
- Trvalé role vs. aktivace přes PIM
- Nouzové (break-glass) účty
- Vlastní role a jejich oprávnění
- Skupiny s možností přiřazení rolí
Přihlašování a Conditional Access
- Security Defaults vs. Conditional Access
- Vynucení MFA přes Conditional Access
- Blokování legacy autentizace
- Požadavek na spravované zařízení
- Blokování rizikových lokací
- Metody ověření odolné proti phishingu
Aplikace a service principals
- Souhlasy uživatelů s aplikacemi
- Riziková oprávnění Microsoft Graph
- Expirující secrets a certifikáty
- Vlastníci aplikací mimo kontrolu rolí
Externí přístupy
- Hosté a jejich aktivita
- Kdo smí zvát externí uživatele
- Důvěra vůči jiným tenantům
- Delegovaný přístup partnerů (GDAP)
Životní cyklus účtů
- Samoobslužný reset hesla
- Neaktivní účty a mezery v offboardingu
- Pravidelné revize přístupů
- Zakázaná hesla
Monitoring a detekce
- Politiky pro rizikové přihlášení a uživatele
- Export a retence logů
- Ochrana proti krádeži tokenů
- Upozornění na změny v rolích
03 · Průběh
Jak audit probíhá
-
Úvodní hovor
Nezávazně a zdarma. Za 30 minut si ujasníme, kterou úroveň auditu potřebujete, jak velký je váš tenant a co vás trápí. Před začátkem podepíšeme smlouvu a NDA.
-
Přístup jen pro čtení
Vytvoříte mi dočasný účet s rolí Global Reader. Ta umožňuje nastavení tenantu jen číst, změnit v něm nic nejde a k obsahu e-mailů ani dokumentů nemá přístup.
-
Analýza
Automatizované kontroly doplním ručním posouzením. Kritickou úroveň obvykle dodám do 5 pracovních dnů od zpřístupnění účtu, kompletní audit do 10.
-
Report a předání
Dostanete report s akčním plánem. U kompletního auditu nálezy projdeme i společně na hovoru. Pak účet pro audit smažete.
04 · Výstup
Co dostanete
Report v češtině, kterému porozumí vedení firmy a podle kterého může IT rovnou pracovat.
- Shrnutí pro vedení na jedné straně: celkové riziko a hlavní zjištění bez technického žargonu.
- Výsledky kontrol podle závažnosti: co jsem zjistil, proč je to riziko a co s tím udělat.
- Akční plán ve třech fázích: co opravit do 48 hodin, do 4 týdnů a do 3 měsíců.
- Požadavky na licence u každého doporučení (Entra ID P1/P2), abyste věděli, co zvládnete hned a co bude něco stát.
- Přílohy s konkrétními účty, kterých se nálezy týkají, a popis metodiky.
Shrnutí pro vedení
Celkový stav zabezpečení
Žádný z 12 administrátorů nemá registrované MFA. Náprava je technicky nenáročná a výrazně sníží riziko převzetí tenantu.
- 1kritický
- 6varování
- 5v pořádku
- 2ověřeno ručně
05 · Spolupráce
Pro IT firmy a MSP
Spravujete Microsoft 365 pro své klienty? Audit od nezávislého specialisty jim můžete nabídnout jako doplňkovou službu. Spolupracovat můžeme dvěma způsoby:
- Doporučení s provizí. Doporučíte mi klienta, audit mu dodám přímo a vy dostanete provizi. Nálezy vám předám, abyste je mohli opravit vy.
- White-label. Audit dodám pod vaší značkou a klientovi ho předáváte vy. Cenu pro klienta si určujete sami.
Nekonkuruji vám ve správě. Neprovozuji IT, neposkytuji helpdesk a klienty nepřetahuji. Opravy nálezů zůstávají vám.
06 · O mně
Kdo audit dělá
Jsem Martin Pavlíček. Přes 25 let spravuji Microsoft infrastrukturu ve firemním prostředí: Active Directory, PKI, Exchange, SQL Server, virtualizaci, zálohování a bezpečnostní monitoring.
Permetria vznikla, protože vidím, jak často se identity v Microsoft 365 nastaví při migraci a pak už na ně nikdo nesáhne. Audit dělám osobně a přijímám jen tolik zakázek, kolik zvládnu udělat pořádně.
07 · Kontakt
Kontakt
Napište mi pár vět o vaší firmě: kolik máte uživatelů, jaké licence Microsoft 365 používáte a co vás k auditu vede. Ozvu se s návrhem termínu úvodního hovoru.