Požadování důvěryhodného zařízení pro přístup do Microsoft 365 služeb je velmi efektivní ochrana uživatelských účtů proti phishingu.
Je to z toho důvodu, že ve chvíli, kdy je vyžadované důvěryhodné zařízení, nestačí útočníkovi znát přihlašovací údaje. Dokonce ani nestačí získat refresh token s MFA claim. Aby útočník získal přístup, musel by mít access token, který splňuje požadavek na důvěryhodné zařízení. A takový token už nelze získat žádným phishingovým útokem.
Je to tedy velmi silná ochrana uživatelských identit. A přitom by nemělo být nijak komplikované takovou ochranu nasadit a začít vyžadovat, jelikož každý zaměstnanec by měl mít firemní důvěryhodné zařízení.
Vytvoření politiky podmíněného přístupu požadující důvěryhodné zařízení
V Microsoft Entra ID si otevřete Security – Conditional Access – Policies a vytvořte novou politiku podmíněného přístupu. Politiku si libovolně pojmenujte.
V části Users nastavte, že se má politika aplikovat na všechny uživatele. Do výjimek dejte pouze break-glass účty, případně různé „servisní“ účty, které požadavek nemohou splnit. Všichni běžní uživatelé by měli být v politice zahrnuti.
V části Target resources zvolte All resources, protože chceme, aby se politika aplikovala na všechny zdroje / služby (= Enterprise aplikace) v Microsoft Entra ID.
V části Conditions otevřete Client apps a zvolte Mobile apps and desktop clients, protože chceme cílit pouze na desktopové a mobilní aplikace. V Conditions ještě zůstaneme a otevřeme Filter for devices a zvolíme Exclude filtered devices in policy, kde jako filtr nastavíme device.isCompliant -eq True. U filtru zařízení je důležité mít na paměti zero trust přístup – vše, co není explicitně důvěryhodné, považujeme za nedůvěryhodné. U některých zákazníků vidíme filtr nastavený naopak – zahrnout do politiky pouze nedůvěryhodná zařízení – device.isCompliant -eq False – to je ale špatně. Protože ve chvíli, kdy z jakéhokoliv důvodu nebude možné compliance stav vyhodnotit, by takové zařízení nebylo blokované. Proto je vhodnější způsob požadovat explicitní důvěryhodnost, tedy cokoliv, co nemá compliance stav True, je nedůvěryhodné.
V části Grant nastavte Block access. Výše totiž ve filtru máme nastaveno, že zařízení, která jsou důvěryhodná, z této politiky vyjmeme. Všechno ostatní chceme blokovat.
Testování politiky
V první fázi doporučuji politiku vytvořit ve stavu Report-only a nějakou dobu sledovat, kolik uživatelů přistupuje ke službám z nedůvěryhodných zařízení. Poté nezapomeňte politiku zapnout, aby se začala vynucovat.
