Tech Conference Office 365 tietoturvan heikoin #TechConfFI

Transkriptio

1 Tech Conference Office 365 tietoturvan heikoin #TechConfFI

2 Puhujasta Senior-konsultti Nestori Syynimaa, PhD MCT, MCSA (Office 365)

3 Luennon tarkoitus Kertoa Office 365 tietoturvan perusteista Esitellä yleisiä tietoturvaan liittyviä ongelmakohtia Näyttää muutamia Office 365 tunkeutumistekniikoita Toisten tietojen luvaton käyttö on laitonta! Kysymys: Mikä on Office 365 tietoturvan heikoin lenkki? Tech Conference 2015

4 Agenda Office 365 -tietoturvan perusteet Office 365 ja Azure Identiteettivaihtoehdot Luvattomasti toisen tietoon kiinni vaihtoehtoiset tekniikat ja niiltä suojautuminen Demo Tech Conference 2015

5 Office 365 tietoturvan perusteet Tech Conference 2015

6 /käyttäjä/kk # TechConfFI

7 Tech Conference 2015

8 Cloud Security Surface Area # TechConfFI

9 Office 365 tietoturvamalli # TechConfFI

10

11 Ydinkomponentit # TechConfFI

12 Office 365 (Azure) admin & user roles Role Global admin Billing admin User management admin Password admin Service admin User Description Access to all administrative features. Only role that can be used assign admin rights to others. Can make purchases, manage subscriptions and support tickets, and monitor service health. Resets passwords, monitors service health, and manages user accounts, user groups, and service requests. Resets passwords, manages service requests, and monitors service health. Password admins are limited to resetting passwords for users and other password admins. Manages service requests and monitors service health. No access to administrative features. Microsoft (2015)

13 Identiteettivaihtoehdot Tech Conference 2015

14 Office 365 identiteetti vaihtoehdot ja skenaariot Cloud Identity Synced Identity Federated Identity Office 365 Azure Active Directory Office 365 Azure Active Directory Office 365 Azure Active Directory Cloud On-premise Cloud On-premise Cloud On-premise Active Directory Active Directory DirSync Active Directory DirSync AD FS

15 AD FS päätepisteet AD FS endpoints Basic Authentication Outlook Outlook ActiveSync ActiveSync Active Active MEX MEX Lync Web Web Lync AD FS AD FS proxy Browser On-premise DMZ Internet Browser

16 Luvattomasti toisen tietoon kiinni Vaihtoehtoiset tekniikat, havainnointi ja niiltä suojautuminen Tech Conference 2015

17 Tietoturvan haasteet Meidän täytyy pitää tiedot turvassa koko ajan Murtautujan täytyy onnistua vain kerran Asiat muuttuvat meidän täytyy muuttua mukana Typeryyden määritelmä (A. Einstein): Tehdä asioita koko ajan samalla tavalla ja odottaa eri lopputulosta Tech Conference 2015

18 Tietoturvauhkien lähteet # TechConfFI

19 Tietoturvapolut Threat Agents Attack Vectors Security Weaknesses Security Controls Technical Impacts Business Impacts Attack Weakness Control Impact Attack Weakness Control Asset Impact Attack Weakness Weakness Control Function Asset Impact OWASP (2013)

20 Motivated Intruder Test Testataan oman tietoturvan rajoja Simuloidaan motivoituneen hyökkääjän mahdollisesti käyttämät polut Auttaa tunnistamaan, varautumaan ja estämään tietoturvauhkia Tech Conference 2015

21 Kriittisimmät web-sovellusten tietoturvariskit Injection Broken Authentication and Session Management Cross-Site Scripting (XSS) Insecure Direct Object References Security Misconfiguration Sensitive Data Exposure Missing Function Level Access Control Cross-Site Request Forgery (CSRF) Using Known Vulnerable Components Unvalidated Redirects and Forwards OWASP (2013)

22 Tietoturvan heikon lenkki: Dave the Administrator Tech Conference 2015

23 DEMO Motivated Intruder Test: Luvattomasti toisen sähköpostiin kiinni Tech Conference 2015

24 Yhteenveto Suurin tietoturvaongelma on väärin konfiguroidut järjestelmät Pilvipalveluiden käyttö edellyttää uutta osaamista On-premise ympäristön suojauksen tärkeys korostuu Admin oikeudet minimiin Kriittisten komponenttien tunnistus ja suojaus Käytä BitLockeria ja IDM järjestelmiä Kouluta avainhenkilöitä säännöllisesti OWASP (2013)

25 Tech Conference Kiitos! # TechConfFI