5. Ідентифікація та доступ у Microsoft Entra ID

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Усі користувачі.
3. Натисніть MFA для кожного користувача у верхньому рядку.
4. Переконайтеся, що в стовпці «Статус багатофакторної авторизації» для кожного облікового запису відображається «Вимкнено». Для аудиту за допомогою Microsoft Graph
5. Визначте ідентифікатор або userPrincipalName користувача, який перевіряється.
6. Виконайте запит GET до такого відносного URI: beta/users/{id | userPrincipalName}/authentication/requirements # Приклад https://graph.microsoft.com/beta/users/071cc716-8147-4397-a5ba-b2105951cc0b/authentication/requirements
7. Переконайтеся, що властивість perUserMfaState вимкнено.
8. Повторіть цей процес для всіх користувачів у межах орендаря.

ℹ️ Примітка: Цей API знаходиться в бета-версії та не підтримує операції списку. Щоб запобігти серверній стороні
регулювання, клієнти повинні впроваджувати пакетування та обмеження швидкості на стороні клієнта під час аудиту
середовища середнього та великого розміру.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Усі користувачі.
3. Натисніть MFA для кожного користувача у верхньому рядку.
4. Щоб вибрати всі облікові записи, клацніть порожнє поле поруч із «Відображуване ім’я».
5. Праворуч під швидкими кроками натисніть Вимкнути.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувачів.
3. Переконайтеся, що для параметра «Користувачі можуть реєструвати програми» встановлено значення «Ні».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте таку команду:

   (Get-MgPolicyAuthorizationPolicy).DefaultUserRolePermissions | fl
   AllowedToCreateApps

3. Переконайтеся, що повернуте значення False.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувачів.
3. Набір Користувачі можуть реєструвати заявки на No.
4. Натисніть Зберегти.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

2. Виконайте такі команди:

   $param = @{ AllowedToCreateApps = $false }
   Update-MgPolicyAuthorizationPolicy -DefaultUserRolePermissions $param

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. Переконайтеся, що для параметра «Заборонити користувачам, які не є адміністраторами» встановлено значення «Так».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте такі команди:

   (Get-MgPolicyAuthorizationPolicy).DefaultUserRolePermissions |
       Select-Object AllowedToCreateTenants

3. Переконайтеся, що повернуте значення False

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. Установіть для параметра «Заборонити користувачам, які не є адміністраторами» створення клієнтів, значення «Так», а потім «Зберегти».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

2. Виконайте такі команди:

   # Create hashtable and update the auth policy
   $params = @{ AllowedToCreateTenants = $false }
   Update-MgPolicyAuthorizationPolicy -DefaultUserRolePermissions $params

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. Переконайтеся, що в розділі «Центр адміністрування» для параметра «Обмежити доступ до центру адміністрування Microsoft Entra» встановлено значення «Так».

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. Для параметра «Обмежити доступ до центру адміністрування Microsoft Entra» виберіть «Так», а потім «Зберегти».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. Переконайтеся, що «Показати залишати користувача в системі» виділено «Ні».

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. Для параметра «Показувати залишати користувача в системі» виберіть «Ні».
4. Натисніть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. У розділі «Підключення до облікового запису LinkedIn» переконайтеся, що вибрано «Ні».

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Користувачі та виберіть Налаштування користувача.
3. У розділі «Підключення до облікового запису LinkedIn» виберіть «Ні».
4. Натисніть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. Переконайтеся, що користувачі можуть створювати групи безпеки на порталах Azure, API або PowerShell встановлено на Ні.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте таку команду:

   (Get-MgPolicyAuthorizationPolicy).DefaultUserRolePermissions | fl

3. Переконайтеся, що параметр AllowedToCreateSecurityGroups має значення False.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. Встановіть «Користувачі можуть створювати групи безпеки на порталах Azure, API або PowerShell» на «Ні».
4. Натисніть Зберегти.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

2. Виконайте такі команди:

   $params = @{
   defaultUserRolePermissions = @{
   AllowedToCreateSecurityGroups = $false
   }
   }
   Update-MgPolicyAuthorizationPolicy -BodyParameter $params

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. У розділі «Керування групами самообслуговування» переконайтеся, що обмеження доступу користувачів до функцій груп у «Моїх групах». Адміністратори груп і користувачів матимуть доступ лише для читання, якщо для цього параметра «Так» встановлено значення «Так».

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. У розділі «Керування групами самообслуговування» встановіть параметр «Обмежити доступ користувачів до функцій груп у розділі «Мої групи». Адміністратори груп і користувачів матимуть доступ лише для читання, якщо значення цього параметра від «Так» до «Так».
4. Натисніть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. Переконайтеся, що для параметра «Власники можуть керувати запитами на членство в групах» у розділі «Мої групи» встановлено значення «Ні».

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Групи виберіть Загальні.
3. Встановіть «Власники можуть керувати запитами на членство в групі в Моїх групах» на «Ні».
4. Натисніть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. Переконайтеся, що користувачі можуть створювати групи Microsoft 365 на порталах Azure, для API або PowerShell встановлено значення «Ні для аудиту» за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: v1.0/groupSettings
5. Відфільтрувати групи з ідентифікатором шаблону 62375ab9-6b52-47ed-826b- 58e47e0e304b
6. Переконайтеся, що EnableGroupCreation має значення false.
7. Якщо група з вищезазначеним шаблономId не існує, це означає, що налаштування перебуває в стані за замовчуванням і не відповідає вимогам.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Groups і виберіть General.
3. Встановіть «Користувачі можуть створювати групи Microsoft 365 на порталах Azure, API або PowerShell» на «Ні».
4. Натисніть Зберегти. Щоб виправити проблему за допомогою API Microsoft Graph:
5. Виконайте запит PATCH до такого відносного URI: v1.0/groupSettings
6. Націльте об’єкт з ідентифікатором шаблону 62375ab9-6b52-47ed-826b- 58e47e0e304b
7. Оновіть EnableGroupCreation на false.

ℹ️ Примітка: Якщо група з вищевказаним templateId не існує, це означає, що стандартні є
і було б доцільно використовувати інтерфейс користувача для виправлення, оскільки це буде автоматично
створити об’єкт Group.Unified із його значеннями за замовчуванням. Документація Microsoft робить
накрийте за допомогою запиту POST, щоб створити це за допомогою API.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Переконайтеся, що користувачі можуть приєднувати пристрої до Microsoft Entra встановлено на Selected або None. Щоб перевірити за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: beta/policies/deviceRegistrationPolicy
5. Переконайтеся, що [email protected] є одним із таких: o #microsoft.graph.enumeratedDeviceRegistrationMembership (вибрано) o #microsoft.graph.noDeviceRegistrationMembership (немає).

ℹ️ Примітка: Якщо встановлено значення «Вибрано», користувачі та групи також відображатимуться у вихідних даних
Запит на графік.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Набір користувачів може приєднувати пристрої до Microsoft Entra до вибраних (і додавати учасників) або жодних.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Переконайтеся, що для максимальної кількості пристроїв на користувача встановлено значення 10 або менше. Щоб перевірити за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: v1.0/policies/deviceRegistrationPolicy
5. Переконайтеся, що userDeviceQuota становить 10 або менше.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Установіть максимальну кількість пристроїв на користувача до 10 або менше.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Переконайтеся, що роль глобального адміністратора додано як локального адміністратора на пристрої під час приєднання до Microsoft Entra (попередній перегляд) встановлено значення «Ні». Для перевірки за допомогою Microsoft Graph API:
4. Виконайте запит GET до такого відносного URI: beta/policies/deviceRegistrationPolicy
5. Переконайтеся, що azureADJoin.localAdmins.enableGlobalAdmins має значення False.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Для ролі глобального адміністратора на пристрої під час приєднання до Microsoft Entra (попередній перегляд) додано значення «Ні».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Переконайтеся, що користувача, який реєструється, додано як локального адміністратора на пристрої під час приєднання Microsoft Entra (попередній перегляд) для параметра «Вибрано» або «Немає». Щоб перевірити за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: beta/policies/deviceRegistrationPolicy
5. Переконайтеся, що [email protected] є одним із таких: o #microsoft.graph.enumeratedDeviceRegistrationMembership (вибрано) o #microsoft.graph.noDeviceRegistrationMembership (немає).

ℹ️ Примітка: Якщо встановлено значення «Вибрано», користувачі та групи також відображатимуться у вихідних даних
Запит на графік.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Налаштуйте Реєструючого користувача, який додається як локальний адміністратор пристрою під час приєднання Microsoft Entra (попередній перегляд) до Вибраного (і додавання учасників) або Жодного.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Переконайтеся, що для параметра «Увімкнути рішення локального адміністратора Microsoft Entra» (LAPS) встановлено значення «Так». Щоб перевірити за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: v1.0/policies/deviceRegistrationPolicy
5. Переконайтеся, що localAdminPassword.isEnabled має значення True.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Установіть для параметра «Увімкнути рішення локального пароля адміністратора Microsoft Entra» (LAPS) значення «Так».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Переконайтеся, що для параметра «Заборонити користувачам відновлювати ключ(и) BitLocker для їхніх пристроїв встановлено значення Так».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте наступне:

   (Get-MgPolicyAuthorizationPolicy).DefaultUserRolePermissions | fl

3. Переконайтеся, що параметр AllowedToReadBitlockerKeysForOwnedDevice має значення False.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Пристрої та виберіть Налаштування пристрою.
3. Установіть для параметра «Заборонити користувачам відновлювати ключ(и) BitLocker для пристроїв, що належать їм», значення «Так».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

2. Виконайте наступне:

   $params = @{
   defaultUserRolePermissions = @{
   AllowedToReadBitlockerKeysForOwnedDevice = $false
   }
   }
   Update-MgPolicyAuthorizationPolicy -BodyParameter $params

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Згода та дозволи > Параметри згоди користувача.
4. Переконайтеся, що для параметра «Згода користувача для програм» встановлено значення «Не дозволяти згоду користувача».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте таку команду:

   (Get-MgPolicyAuthorizationPolicy).DefaultUserRolePermissions |
       Select-Object -ExpandProperty PermissionGrantPoliciesAssigned

3. Переконайтеся, що повернутий масив не містить ні ManagePermissionGrantsForSelf.microsoft-user-default-low, ні ManagePermissionGrantsForSelf.microsoft-user-default-legacy. Якщо будь-який із цих рядків присутній, аудит не вдається.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Згода та дозволи > Параметри згоди користувача.
4. У розділі «Згода користувача для програм» виберіть «Не дозволяти згоду користувача».
5. Натисніть опцію «Зберегти» у верхній частині вікна.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі «Безпека» виберіть «Згода та дозволи».
4. У розділі Керування виберіть Налаштування згоди адміністратора.
5. Переконайтеся, що для параметра «Користувачі можуть запитувати згоду адміністратора на додатки, на які вони не можуть надати згоду» встановлено значення «Так».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте таку команду:

   Get-MgPolicyAdminConsentRequestPolicy |
       fl IsEnabled,NotifyReviewers,RemindersEnabled

3. Переконайтеся, що IsEnabled має значення True.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі «Безпека» виберіть «Згода та дозволи».
4. У розділі Керування виберіть Налаштування згоди адміністратора.
5. У розділі «Запити на згоду адміністратора» користувачі можуть запитувати згоду адміністратора на програми, на які вони не можуть надати згоду.
6. У розділі «Рецензенти» виберіть ролі та групи, які переглядатимуть створені користувачами запити на згоду додатків.
7. Задати Вибрані користувачі отримуватимуть сповіщення електронною поштою про запити “Так”.
8. Виберіть Зберегти у верхній частині вікна.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Блокувати додавання пароля.
5. Переконайтеся, що для параметра Статус встановлено значення Увімк.
6. Переконайтеся, що для параметра Застосовується встановлено одне з наведеного нижче: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
7. Переконайтеся, що «Застосовувати лише до програм, створених після» є одним із таких станів: o Не налаштовано (у полі буде показано Виберіть дату без вибраної дати) o Дата, яка відповідає даті оцінювання або передує їй.
8. Відповідність вважається дотриманою, коли виконуються всі вищезазначені умови. Щоб перевірити за допомогою API Microsoft Graph:

ℹ️ Примітка: Наразі API не відображає виключення програм, лише виключені абоненти,
тому немає необхідності перевіряти їх відповідність.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Блокувати додавання пароля.
5. Установіть для статусу значення Увімк.
6. Набір Застосовується до одного з наступного: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
7. Установіть «Застосовувати лише до програм, створених після потрібної дати», або залиште його неналаштованим.
8. Виберіть «Зберегти та закрити», щоб застосувати зміни. Для виправлення за допомогою Microsoft Graph API: Важливо: запит PATCH повністю замінює масив passwordCredentials. Спочатку отримайте поточну політику та включіть усі існуючі записи в тіло запиту, щоб уникнути перезапису інших налаштованих обмежень або виключень.
9. Виконайте запит GET, щоб отримати поточну політику: v1.0/policies/defaultAppManagementPolicy
10. Змініть отриманий JSON, щоб відобразити такі зміни: • Установіть для параметра isEnabled значення true. • У розділі applicationRestrictions.passwordCredentials знайдіть запис, де restrictionType є passwordAddition, і встановіть наступне: o стан увімкнено o restrictForAppsCreatedAfterDateTime на 0001-01-01T00:00:00Z або бажану дату. • У servicePrincipalRestrictions.passwordCredentials знайдіть запис, де restrictionType є passwordAddition, і встановіть наступне: o стан увімкнено o restrictForAppsCreatedAfterDateTime на 0001-01-01T00:00:00Z або бажану дату.
11. Щоб застосувати зміни, виконайте запит PATCH до того самого URI зі зміненим JSON у тілі запиту.

ℹ️ Примітка: Розділ «Посилання» містить посилання на документацію API із повним текстом
приклади виправлення кількома мовами, включаючи HTTP, PowerShell і Python.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Обмежити максимальний термін дії пароля.
5. Переконайтеся, що для параметра Статус встановлено значення Увімк.
6. Переконайтеся, що налаштований максимальний термін служби становить 180 днів або менше.
7. Переконайтеся, що для параметра Застосовується встановлено одне з наведеного нижче: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
8. Переконайтеся, що «Застосовувати лише до програм, створених після» є одним із таких станів: o Не налаштовано (у полі буде показано Виберіть дату без вибраної дати) o Дата, яка відповідає даті оцінювання або передує їй.
9. Відповідність вважається дотриманою, коли виконуються всі вищезазначені умови. Щоб перевірити за допомогою API Microsoft Graph:

ℹ️ Примітка: Наразі API не відображає виключення програм, лише виключені абоненти,
тому немає необхідності перевіряти їх відповідність.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Обмежити максимальний термін дії пароля.
5. Установіть для статусу значення Увімк.
6. Встановіть максимальний термін служби до 180 днів або менше.
7. Набір Застосовується до одного з наступного: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
8. Установіть «Застосовувати лише до програм, створених після потрібної дати», або залиште його неналаштованим.
9. Виберіть «Зберегти та закрити», щоб застосувати зміни. Для виправлення за допомогою Microsoft Graph API: Важливо: запит PATCH повністю замінює масив passwordCredentials. Спочатку отримайте поточну політику та включіть усі існуючі записи в тіло запиту, щоб уникнути перезапису інших налаштованих обмежень або виключень.
10. Виконайте запит GET, щоб отримати поточну політику: v1.0/policies/defaultAppManagementPolicy
11. Змініть отриманий JSON, щоб відобразити такі зміни: o Установіть для параметра isEnabled значення true. o У розділі applicationRestrictions.passwordCredentials знайдіть запис, де restrictionType — це passwordLifetime, і встановіть наступне: ▪ стан увімкнено ▪ maxLifetime на P180D або меншу тривалість. ▪ restrictForAppsCreatedAfterDateTime до 0001-01- 01T00:00:00Z або бажаної дати. o У servicePrincipalRestrictions.passwordCredentials знайдіть запис, де restrictionType — це passwordLifetime, і встановіть наступне: ▪ стан увімкнено ▪ maxLifetime на P180D або меншу тривалість. ▪ restrictForAppsCreatedAfterDateTime до 0001-01- 01T00:00:00Z або бажаної дати.
12. Щоб застосувати зміни, виконайте запит PATCH до того самого URI зі зміненим JSON у тілі запиту.

ℹ️ Примітка: Розділ «Посилання» містить посилання на документацію API із повним текстом
приклади виправлення кількома мовами, включаючи HTTP, PowerShell і Python.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Блокувати власні паролі.
5. Переконайтеся, що для параметра Статус встановлено значення Увімк.
6. Переконайтеся, що для параметра Застосовується встановлено одне з наведеного нижче: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
7. Переконайтеся, що «Застосовувати лише до програм, створених після» є одним із таких станів: o Не налаштовано (у полі буде показано Виберіть дату без вибраної дати) o Дата, яка відповідає даті оцінювання або передує їй.
8. Відповідність вважається дотриманою, коли виконуються всі вищезазначені умови. Щоб перевірити за допомогою API Microsoft Graph:

ℹ️ Примітка: Наразі API не відображає виключення програм, лише виключені абоненти,
тому немає необхідності перевіряти їх відповідність.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Блокувати власні паролі.
5. Установіть для статусу значення Увімк.
6. Набір Застосовується до одного з наступного: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
7. Установіть «Застосовувати лише до програм, створених після потрібної дати», або залиште його неналаштованим.
8. Виберіть «Зберегти та закрити», щоб застосувати зміни. Для виправлення за допомогою Microsoft Graph API: Важливо: запит PATCH повністю замінює масив passwordCredentials. Спочатку отримайте поточну політику та включіть усі існуючі записи в тіло запиту, щоб уникнути перезапису інших налаштованих обмежень або виключень.
9. Виконайте запит GET, щоб отримати поточну політику: v1.0/policies/defaultAppManagementPolicy
10. Змініть отриманий JSON, щоб відобразити такі зміни: o Установіть для параметра isEnabled значення true. o У розділі applicationRestrictions.passwordCredentials знайдіть запис, де restrictionType — customPasswordAddition, і встановіть наступне: ▪ стан увімкнено ▪ restrictForAppsCreatedAfterDateTime на 0001-01- 01T00:00:00Z або бажану дату. o У servicePrincipalRestrictions.passwordCredentials знайдіть запис, де restrictionType — customPasswordAddition, і встановіть наступне: ▪ стан увімкнено ▪ restrictForAppsCreatedAfterDateTime на 0001-01- 01T00:00:00Z або бажану дату.
11. Щоб застосувати зміни, виконайте запит PATCH до того самого URI зі зміненим JSON у тілі запиту.

ℹ️ Примітка: Розділ «Посилання» містить посилання на документацію API із повним текстом
приклади виправлення кількома мовами, включаючи HTTP, PowerShell і Python.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Обмежити максимальний термін дії сертифіката.
5. Переконайтеся, що для параметра Статус встановлено значення Увімк.
6. Переконайтеся, що для параметра Застосовується встановлено одне з наведеного нижче: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
7. Переконайтеся, що «Застосовувати лише до програм, створених після» є одним із таких станів: o Не налаштовано (у полі буде показано Виберіть дату без вибраної дати) o Дата, яка відповідає даті оцінювання або передує їй.
8. Переконайтеся, що максимальний термін служби (у днях) становить 180 днів або менше.
9. Відповідність вважається дотриманою, коли виконуються всі вищезазначені умови. Щоб перевірити за допомогою API Microsoft Graph:

ℹ️ Примітка: Наразі API не відображає виключення програм, лише виключені абоненти,
тому немає необхідності перевіряти їх відповідність.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID і виберіть Enterprise apps.
3. У розділі Безпека виберіть Політика програми.
4. Виберіть Обмежити максимальний термін дії сертифіката.
5. Установіть для статусу значення Увімк.
6. Набір Застосовується до одного з наступного: o Усі програми o Усі програми з виключеннями (якщо використовуються виключення, переконайтеся, що вони переглядаються щорічно).
7. Установіть «Застосовувати лише до програм, створених після потрібної дати», або залиште його неналаштованим.
8. Встановіть Максимальний термін служби (у днях) на 180 днів або менше.
9. Виберіть «Зберегти та закрити», щоб застосувати зміни. Щоб виправити проблему за допомогою API Microsoft Graph:
10. Виконайте запит GET, щоб отримати поточну політику: v1.0/policies/defaultAppManagementPolicy
11. Змініть отриманий JSON, щоб відобразити такі зміни: o Установіть для параметра isEnabled значення true. o У розділі applicationRestrictions.keyCredentials знайдіть запис, де restrictionType має значення asymmetricKeyLifetime, і встановіть наступне: ▪ стан увімкнено ▪ maxLifetime на P180D або меншу тривалість. ▪ restrictForAppsCreatedAfterDateTime до 0001-01- 01T00:00:00Z або бажаної дати. o У servicePrincipalRestrictions.keyCredentials знайдіть запис, де restrictionType має значення asymmetricKeyLifetime, і встановіть наступне: ▪ стан увімкнено ▪ maxLifetime на P180D або меншу тривалість. ▪ restrictForAppsCreatedAfterDateTime до 0001-01- 01T00:00:00Z або бажаної дати.
12. Щоб застосувати зміни, виконайте запит PATCH до того самого URI зі зміненим JSON у тілі запиту.

ℹ️ Примітка: Розділ «Посилання» містить посилання на документацію API із повним текстом
приклади виправлення кількома мовами, включаючи HTTP, PowerShell і Python.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > External Identities і виберіть параметри зовнішньої співпраці.
3. У розділі «Обмеження співпраці» переконайтеся, що вибрано параметр «Дозволити запрошення лише до вказаних доменів (найбільш обмежений). Потім переконайтеся, що дозволені домени вказані в розділі Цільові домени.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте наступне:

   $Uri = "https://graph.microsoft.com/beta/legacy/policies"
   $Response = (Invoke-MgGraphRequest -Uri $Uri).value |
   Where-Object { $_.type -eq 'B2BManagementPolicy' }
   if ($Response) {
       $Definition = $Response.definition | ConvertFrom-Json
       $DomainsPolicy =
   $Definition.B2BManagementPolicy.InvitationsAllowedAndBlockedDomainsPolicy
   } else {
       Write-Output "No policy found."
       return
   }
   $DomainsPolicy

3. Переконайтеся, що вихідні дані містять властивість AllowedDomains, яка або не містить доменів, або містить лише список затверджених організацією доменів. Якщо присутня властивість BlockedDomains, конфігурація вважається невідповідною. Приклад сумісного результату з визначеними AllowedDomains: AllowedDomains ————– {cisecurity.org, contoso.com, example.com} Дозволено без дозволених доменів (також сумісно): AllowedDomains ————– {}

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > External Identities і виберіть параметри зовнішньої співпраці.
3. У розділі «Обмеження співпраці» виберіть «Дозволити запрошення лише до зазначених доменів (вибрано найбільш обмежений»). Потім укажіть дозволені домени в розділі Цільові домени.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > External Identities і виберіть параметри зовнішньої співпраці.
3. У розділі «Доступ гостьового користувача» переконайтеся, що для обмежень доступу гостьового користувача встановлено одне з наступного: o Гостьові користувачі мають обмежений доступ до властивостей і членства об’єктів каталогу o Доступ гостьового користувача обмежено властивостями та членством їхніх власних об’єктів каталогу (найбільш обмежений)

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте таку команду:

   Get-MgPolicyAuthorizationPolicy | fl GuestUserRoleId

3. Переконайтеся, що повернуто значення 10dae51f-b6af-4016-8d66-8c2a99b929b3 або 2af84b1e-32c8-42b7-82bc-daa82404023b (найбільш обмежене)

ℹ️ Примітка: Будь-яке налаштування дозволяє проходити стан.
Примітка 2: значення a0b1b346-4d3e-4e8b-98f8-753987be4970 дорівнює Guest
користувачі мають такий самий доступ, як і учасники (найчастіше), і не повинні мати
використовується.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > External Identities і виберіть параметри зовнішньої співпраці.
3. У розділі «Доступ гостьового користувача» встановіть обмеження доступу гостьового користувача до одного з таких параметрів: o Гостьові користувачі мають обмежений доступ до властивостей і членства об’єктів каталогу o Доступ гостьового користувача обмежено властивостями та членством їхніх власних об’єктів каталогу (найбільш обмежений)

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

2. Виконайте таку команду, щоб встановити обмеження доступу гостьового користувача за замовчуванням:

   # Guest users have limited access to properties and memberships of directory
   objects
   Update-MgPolicyAuthorizationPolicy -GuestUserRoleId '10dae51f-b6af-4016-8d66-
   8c2a99b929b3'

3. Або виконайте таку команду, щоб встановити для неї значення “найбільш обмежений”:

   # Guest user access is restricted to properties and memberships of their own
   directory objects (most restrictive)
   Update-MgPolicyAuthorizationPolicy -GuestUserRoleId '2af84b1e-32c8-42b7-82bc-
   daa82404023b'

ℹ️ Примітка: Будь-яке налаштування дозволяє проходити стан.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > External Identities і виберіть параметри зовнішньої співпраці.
3. У розділі «Параметри запрошення гостей» переконайтеся, що для обмежень щодо запрошення гостей встановлено одне з наведених нижче параметрів: o Лише користувачі, яким призначено певні ролі адміністратора, можуть запрошувати гостей o Ніхто в організації не може запрошувати гостей, включаючи адміністраторів (найбільше обмежень)

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте таку команду:

   Get-MgPolicyAuthorizationPolicy | fl AllowInvitesFrom

3. Перевірте, чи повертається значення adminsAndGuestInviters чи ні.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > External Identities і виберіть параметри зовнішньої співпраці.
3. У налаштуваннях запрошення гостей установіть обмеження щодо запрошення гостей до одного з бажаних сумісних станів: o Лише користувачі, яким призначено певні ролі адміністратора, можуть запрошувати користувачів-гостей o Ніхто в організації не може запрошувати користувачів-гостей, включаючи адміністраторів (найбільше обмежень)

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.Authorization"

2. Виконайте одну з наведених нижче команд PowerShell залежно від бажаного

   compliant state:
   To set to Only users assigned to specific admin roles can invite guest
   users:
   Update-MgPolicyAuthorizationPolicy -AllowInvitesFrom 'adminsAndGuestInviters'
   To set to No one in the organization can invite guest users including
   admins (most restrictive):
   Update-MgPolicyAuthorizationPolicy -AllowInvitesFrom "none"

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Лише ролі Global Admin і Hybrid Identity Administrator мають доступ до перегляду фактичного повідомлення про статус Password Hash Sync. Невідповідний рольовий доступ призведе до повідомлення за замовчуванням із зазначенням: «Не вдається отримати інформацію синхронізації хешу пароля вашого клієнта».

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Entra Connect.
3. Виберіть Connect Sync.
4. У розділі синхронізації Microsoft Entra Connect переконайтеся, що повідомлення про статус Password Hash Sync вказує на те, що синхронізація відбувається та немає помилок, з одним із таких повідомлень: o Синхронізацію хешу пароля ввімкнено o Конфігурацію хмарної синхронізації хешу пароля ввімкнено o Виявлено тактовий сигнал синхронізації хешу пароля Для перевірки за допомогою Microsoft Graph API: потрібен дозвіл: OnPremDirectorySynchronization.Read.All
5. Виконайте запит GET до такого відносного URI: v1.0/directory/onPremisesSynchronization
6. Переконайтеся, що features.passwordSyncEnabled має значення true. Щоб перевірити локальний інструмент:
7. Увійдіть на сервер, на якому розміщено інструмент Microsoft Entra Connect.
8. Запустіть Azure AD Connect, а потім клацніть «Налаштувати» та «Переглянути або експортувати поточну конфігурацію».
9. Переконайтеся, що на вашому клієнті ввімкнено СИНХРОНІЗАЦІЮ ХЕШУ ПАРОЛЯ.

1. Відкрийте PowerShell на локальному сервері, на якому запущено Microsoft Entra Connect.
2. Запустіть такий командлет:

   Get-ADSyncAADCompanyFeature

3. Переконайтеся, що PasswordHashSync має значення True.

⚙️ Виправлення (Remediation / Налаштування)

Щоб виправити проблему за допомогою локального інструменту Microsoft Entra Connect:

1. Увійдіть на локальний сервер, на якому розміщено інструмент Microsoft Entra Connect
2. Двічі клацніть піктограму Azure AD Connect, створену на робочому столі
3. Натисніть Налаштувати.
4. На сторінці «Додаткові завдання» виберіть «Налаштувати параметри синхронізації» та натисніть «Далі».
5. Введіть ім’я користувача та пароль глобального адміністратора.
6. На екрані «Підключити каталоги» натисніть «Далі».
7. На екрані фільтрації доменів і організаційних підрозділів натисніть «Далі».
8. На екрані «Додаткові функції» встановіть прапорець «Синхронізація хешу пароля» та натисніть «Далі».
9. На екрані Готово до налаштування натисніть Налаштувати.
10. Після завершення налаштування натисніть Вихід.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що існує політика з такими критеріями та встановлено значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено ролі каталогу, призначені для адміністраторів. o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі Цільові ресурси перевірте, чи вибрано Усі ресурси (раніше «Усі хмарні програми») без виключень. o У розділі «Надати» переконайтеся, що параметр «Надати доступ» увімкнено та вибрано параметр «Вимагати багатофакторної автентифікації» або «Вимагати міцності автентифікації».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Для кожної повернутої політики перевірте наступні критерії: o Conditions.Users.IncludeRoles містить ролі каталогу, специфічні для адміністраторів* o Conditions.Applications.IncludeApplications — це All o GrantControls.BuiltInControls містить mfa АБО GrantControls.AuthenticationStrength.id визначено o Стан увімкнено
7. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
8. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Список ролей каталогу можна знайти в розділі «Виправлення».

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Натисніть Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) виберіть «Вибрати користувачів і групи» та поставте прапорець «Ролі каталогу». o Як мінімум додайте до цього розділу документа ролі каталогу, перелічені нижче. o У розділі «Цільові ресурси» вкажіть «Усі ресурси» (раніше «Усі хмарні програми») і не створюйте жодних винятків. ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Надати» виберіть «Надати доступ» і поставте прапорець «Вимагати багатофакторної автентифікації» або «Вимагати надійності автентифікації». o Клацніть «Вибрати» внизу панелі.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.». Для MFA слід включити принаймні ці ролі каталогу: • Адміністратор програми • Адміністратор автентифікації • Адміністратор платежів • Адміністратор хмарної програми • Адміністратор умовного доступу • Адміністратор Exchange • Глобальний адміністратор • Глобальний читач • Адміністратор служби підтримки • Адміністратор пароля • Адміністратор привілейованої автентифікації • Адміністратор привілейованої ролі • Адміністратор безпеки • Адміністратор SharePoint • Адміністратор користувача

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі Цільові ресурси перевірте, чи вибрано Усі ресурси (раніше «Усі хмарні програми») без виключень. o У розділі «Надати» перевірте «Надати доступ» і виберіть «Вимагати багатофакторної автентифікації» або «Вимагати міцності автентифікації».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o GrantControls.BuiltInControls містить mfa АБО GrantControls.AuthenticationStrength.id визначено o State увімкнено
7. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
8. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Вимога щодо надійності автентифікації задовольняється, якщо є будь-який дійсний GUID
присутній у властивості authenticationStrength відповідної політики. Тому що
Конфігурації Authentication Strength за своєю суттю сильніші, ніж вбудований Require
багатофакторний контроль автентифікації, також наявність дійсного рівня автентифікації
виконує вимогу MFA для всіх користувачів.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Натисніть Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» вкажіть «Усі ресурси» (раніше «Усі хмарні програми») і не створюйте жодних винятків. ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Надати» виберіть «Надати доступ» і поставте прапорець «Вимагати багатофакторної автентифікації» або «Вимагати надійності автентифікації». o Клацніть «Вибрати» внизу панелі.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» переконайтеся, що вибрано «Усі ресурси» (раніше «Усі хмарні програми»). o Переконайтеся, що існують лише задокументовані виключення ресурсів і що вони переглядаються щорічно. o У розділі «Умови» виберіть «Клієнтські програми», а потім перевірте, чи позначено «Клієнти Exchange ActiveSync» і «Інші клієнти». o У розділі «Надати перевірку» вибрано «Блокувати доступ».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте політики, де Conditions.ClientAppTypes містить exchangeActiveSync АБО інше.
7. Для кожної повернутої політики перевірте наступні критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o Conditions.ClientAppTypes містить exchangeActiveSync o Conditions.ClientAppTypes містить інші o GrantControls.BuiltInControls — це блок o State увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» вкажіть «Усі ресурси» (раніше «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Умови» виберіть «Клієнтські програми» та встановіть прапорці «Клієнти Exchange ActiveSync» та «Інші клієнти». o У розділі «Надати» виберіть «Заблокувати доступ». o Натисніть Вибрати.
4. Увімкніть політику та натисніть «Створити».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що існує політика з такими критеріями та встановлено значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено ролі каталогу, призначені для адміністраторів. o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» переконайтеся, що вибрано «Усі ресурси» (раніше «Усі хмарні програми»). o Переконайтеся, що існують лише задокументовані виключення ресурсів і що вони переглядаються щорічно. o У розділі Session verify Частота входу позначено та встановлено значення Periodic reauthentication. o Переконайтеся, що часові рамки встановлено на час, визначений організацією. o Переконайтеся, що періодична повторна автентифікація не перевищує 4 годин (або менше). o Переконайтеся, що для постійного сеансу веб-переглядача встановлено значення Ніколи постійний.
4. Переконайтеся, що для політики «Увімкнути» встановлено значення «Увімкнено», щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте політики, де SessionControls.PersistentBrowser.IsEnabled має значення true.
7. Для кожної повернутої політики перевірте наступні критерії: o Conditions.Users.IncludeRoles містить ролі каталогу, специфічні для адміністраторів* o Conditions.Applications.IncludeApplications — це All o SessionControls.SignInFrequency.IsEnabled має значення true o SessionControls.SignInFrequency.FrequencyInterval — це everyTime АБО є timeBased І не перевищує 4 години. o SessionControls.PersistentBrowser.IsEnabled має значення true o SessionControls.PersistentBrowser.Mode ніколи не є o Стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Список ролей каталогу, які застосовуються до адміністраторів, можна знайти у виправленні
розділ.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Натисніть Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) виберіть «Вибрати користувачів і групи» та поставте прапорець «Ролі каталогу». o Як мінімум додайте до цього розділу документа ролі каталогу, перелічені нижче. o У розділі «Цільові ресурси» вкажіть «Усі ресурси» (раніше «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Надати» виберіть «Надати доступ» і поставте прапорець «Вимагати багатофакторної автентифікації». o У розділі «Сеанс» виберіть «Частота входу» та виберіть «Періодична повторна автентифікація» та встановіть для неї 4 години (або менше). o Позначте «Постійний сеанс браузера», а потім у спадному меню виберіть «Ніколи постійно».
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.». У політику мають бути включені принаймні такі ролі каталогу: • адміністратор програми • адміністратор автентифікації • адміністратор виставлення рахунків • адміністратор хмарної програми • адміністратор умовного доступу • адміністратор Exchange • глобальний адміністратор • глобальний читач • адміністратор служби підтримки • адміністратор пароля • адміністратор привілейованої автентифікації • адміністратор привілейованої ролі • адміністратор безпеки • адміністратор SharePoint • адміністратор користувача

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що існує політика з такими критеріями та встановлено значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено ролі каталогу, призначені для адміністраторів. o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o Ролі каталогу повинні включати принаймні ролі, перелічені в розділі виправлення. o У розділі Цільові ресурси перевірте, чи вибрано Усі ресурси (раніше «Усі хмарні програми») без виключень. o У розділі «Надати перевірку» вибрано «Надати доступ», а «Вимагати надійності автентифікації» перевірено зі значенням «Стійкий до фішингу MFA».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте правила, у яких GrantControls.AuthenticationStrength.Id містить будь-який дійсний ідентифікатор.
7. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeRoles містить ролі каталогу, специфічні для адміністраторів* o Conditions.Applications.IncludeApplications — це все o GrantControls.AuthenticationStrength.AllowedCombinations містить лише windowsHelloForBusiness АБО fido2 АБО x509CertificateMultiFactor o Стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Натисніть Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) виберіть «Вибрати користувачів і групи» та поставте прапорець «Ролі каталогу». o Як мінімум додайте до цього розділу документа ролі каталогу, перелічені нижче. o У розділі «Цільові ресурси» включайте «Усі ресурси» (раніше «Усі хмарні програми») і не створюйте жодних винятків, окрім облікових записів «розбитого скла». o У розділі «Надати» виберіть «Надати доступ», установіть прапорець «Вимагати надійності автентифікації» та встановіть «Стійкий до фішингу MFA» у спадному списку. o Натисніть Вибрати.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.». Попередження: перед застосуванням політики переконайтеся, що адміністратори попередньо зареєстровані з надійною автентифікацією. Після цього для політики потрібно встановити значення Увімк. У політику мають бути включені принаймні ці ролі каталогу: • адміністратор програми • адміністратор автентифікації • адміністратор платежів • адміністратор хмарної програми • адміністратор умовного доступу • адміністратор Exchange • глобальний адміністратор • глобальний читач • адміністратор служби підтримки • адміністратор пароля • адміністратор привілейованої автентифікації • адміністратор привілейованої ролі • адміністратор безпеки • адміністратор SharePoint • адміністратор користувача

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» переконайтеся, що вибрано «Усі ресурси» (раніше «Усі хмарні програми»). o У розділі «Умови» переконайтеся, що для ризику користувача встановлено значення «Високий». o У розділі «Надати перевірку» вибрано «Надати доступ» і вибрано параметр «Вимагати багатофакторної автентифікації» або «Вимагати потужності автентифікації». Потім переконайтеся, що встановлено прапорець Вимагати зміни пароля. o У розділі «Сеанс» переконайтеся, що для частоти входу встановлено значення «Кожен раз».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте правила, у яких Conditions.UserRiskLevels містить будь-який рядок.
7. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — All o Conditions.UserRiskLevels містить високий o GrantControls.BuiltInControls містить passwordChange o GrantControls.BuiltInControls містить mfa АБО GrantControls.AuthenticationStrength.id будь-який ідентифікатор o SessionControls.SignInFrequency.IsEnabled має значення true o SessionControls.SignInFrequency.FrequencyInterval є кожний раз o Стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Якщо масив UserRiskLevels містить середній або низький, це все одно кваліфікується як
сумісні, оскільки ці рівні дотримання вважаються більш суворими. Однак це повинно
завжди включати високий; пропуск цього рівня призведе до виключення користувачів, які класифікуються як високий
ризик.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) виберіть «Усі користувачі» o в розділі «Цільові ресурси» виберіть «Усі ресурси» (раніше «Усі хмарні програми») ▪ У розділі «Виключити» виключіть будь-які облікові записи, що розбивають скло. o У розділі Умови виберіть Ризик користувача, потім Так і виберіть рівень ризику користувача Високий. o У розділі «Надати» виберіть «Надати доступ», а потім поставте прапорець «Вимагати багатофакторної автентифікації» або «Вимагати надійності автентифікації». Нарешті поставте прапорець Вимагати зміни пароля. o У розділі Сеанс встановіть Частота входу на Щоразу. o Натисніть Вибрати.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» переконайтеся, що вибрано «Усі ресурси» (раніше «Усі хмарні програми»). o У розділі «Умови» переконайтеся, що для ризику входу встановлено значення «Так», переконавшись, що вибрано «Високий» і «Середній». o У розділі «Надати перевірку» вибрано «Надати доступ» і позначено «Вимагати багатофакторної автентифікації». o У розділі Session verify Sign-in Frequency встановлено значення Every time.
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте правила, у яких Conditions.SignInRiskLevels містить будь-який рядок.
7. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o Conditions.SignInRiskLevels містить високий o Conditions.SignInRiskLevels містить середній o GrantControls.BuiltInControls містить mfa АБО GrantControls.AuthenticationStrength.id — будь-який ідентифікатор o SessionControls.SignInFrequency.IsEnabled має значення true o SessionControls.SignInFrequency.FrequencyInterval має значення everyTime o Стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Якщо масив SignInRiskLevels містить низький, це все одно вважається сумісним, як
ці рівні примусового виконання вважаються більш суворими. Однак він завжди повинен включати
високий і середній; пропуск цих рівнів призведе до виключення користувачів, які класифікуються як такі.
Примітка 2. Якщо GrantControls.BuiltInControls блокується, тоді Grant і Session
контроль вважається задоволеним, оскільки це вважається більш суворим дотриманням
контроль ризиків входу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі Користувачі або агенти (Попередній перегляд) виберіть Усі користувачі. o У розділі «Цільові ресурси» виберіть «Усі ресурси» (раніше «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Умови» виберіть «Ризик входу», потім «Так» і встановіть прапорці «Рівень ризику» у полі «Високий» і «Середній». o У розділі «Надати» натисніть «Надати доступ», а потім виберіть «Потрібна багатофакторна автентифікація». o У розділі «Сеанс» виберіть «Частота входу» та встановіть «Кожен раз». o Натисніть Вибрати.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі Цільові ресурси перевірте, чи вибрано Усі ресурси (раніше «Усі хмарні програми») без виключень. o У розділі «Умови» перевірте, що вибрано значення ризику входу «Високий» і «Середній». o У розділі «Надати перевірку» вибрано «Блокувати доступ».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте правила, у яких Conditions.SignInRiskLevels містить будь-який рядок.
7. Для кожної повернутої політики перевірте наступні критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o Conditions.Applications.ExcludeApplications має значення null або порожнє o Conditions.SignInRiskLevels містить високий o Conditions.SignInRiskLevels містить середній o GrantControls.BuiltInControls — це блок o Стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Якщо масив SignInRiskLevels містить низький, це все одно вважається сумісним, як
ці рівні примусового виконання вважаються більш суворими. Однак він завжди повинен включати
високий і середній; пропуск цих рівнів призведе до виключення користувачів, які класифікуються як такі.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» вкажіть «Усі ресурси» (раніше «Усі хмарні програми») і не встановлюйте жодних винятків. ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Умови» виберіть значення ризику входу «Високий» і «Середній» і натисніть «Готово». o У розділі «Надати» виберіть «Заблокувати доступ» і натисніть «Вибрати».
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» переконайтеся, що вибрано «Усі ресурси» (раніше «Усі хмарні програми»). o Переконайтеся, що існують лише задокументовані виключення ресурсів і що вони переглядаються щорічно. o У розділі «Надати» переконайтеся, що встановлено прапорець «Вимагати позначення пристрою як сумісного». o У розділі «Надати» перевірте, чи не позначено жодні інші елементи керування, окрім (за бажанням) «Вимагати гібридного приєднаного пристрою Microsoft Entra». o Перевірити Вимагати вибрано один із вибраних елементів керування.
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте правила, де GrantControls.BuiltInControls містить compliantDevice або domainJoinedDevice.
7. Для кожної повернутої політики перевірте наступні критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o GrantControls.BuiltInControls містить compliantDevice o GrantControls.BuiltInControls не містить жодних значень, крім compliantDevice та domainJoinedDevice o GrantControls.Operator — це OR o State увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» вкажіть «Усі ресурси» (раніше «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Надати» виберіть «Надати доступ». o Установіть прапорець Вимагати позначення пристрою як сумісного. o За бажанням також виберіть Вимагати гібридний приєднаний пристрій Microsoft Entra, якщо організація використовує гібридні приєднані пристрої. o Виберіть Вимагати один із вибраних елементів керування. o Натисніть Вибрати внизу.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

ℹ️ Примітка: Облікові записи гостьових користувачів, якщо вони співпрацюють з організацією, слід враховувати
під час тестування цієї політики.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» перевірте, що вибрано «Дії користувача», а «Зареєструвати інформацію про безпеку» позначено. o У розділі «Надати» переконайтеся, що встановлено прапорець «Вимагати позначення пристрою як сумісного». o У розділі «Надати» перевірте, чи не позначено жодні інші елементи керування, окрім (за бажанням) «Вимагати гібридного приєднаного пристрою Microsoft Entra». o Перевірити Вимагати вибрано один із вибраних елементів керування.
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте політики, де Conditions.Applications.IncludeUserActions містить urn:user:registersecurityinfo.
7. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeUserActions — urn:user:registersecurityinfo o GrantControls.BuiltInControls містить compliantDevice o GrantControls.BuiltInControls не містить жодних значень, крім compliantDevice та domainJoinedDevice o GrantControls.Operator is OR o Стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі Цільові ресурси виберіть Дії користувача та поставте прапорець Зареєструвати інформацію про безпеку. ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Надати» виберіть «Надати доступ». o Установіть прапорець Вимагати позначення пристрою як сумісного. o За бажанням також виберіть Вимагати гібридний приєднаний пристрій Microsoft Entra, якщо організація використовує гібридні приєднані пристрої. o Виберіть Вимагати один із вибраних елементів керування. o Натисніть Вибрати внизу.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» переконайтеся, що «Ресурси» (раніше хмарні програми) включає реєстрацію Microsoft Intune. o У розділі «Надати перевірку» вимагати багатофакторної автентифікації або «Вимагати надійності автентифікації» перевіряється. o У розділі Перевірка сеансу Частота входу встановлено на Кожний раз.
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:

ℹ️ Примітка: Вимога щодо надійності автентифікації задовольняється, якщо є будь-який дійсний GUID
присутній у властивості authenticationStrength відповідної політики. Тому що
Конфігурації Authentication Strength за своєю суттю сильніші, ніж вбудований Require
багатофакторний контроль автентифікації, також наявність дійсного рівня автентифікації
виконує вимогу MFA для всіх користувачів. 1. Виконайте запит GET до наступного відносного URI:
v1.0/identity/conditionalAccess/policies
2. Відфільтруйте політики, де Conditions.Applications.IncludeApplications
містить d4ebce55-015a-49b5-a083-c84d1797ae8c. 3. Для кожної повернутої політики перевірте такі критерії:
o Conditions.Users.IncludeUsers — це все
o Conditions.Applications.IncludeApplications містить d4ebce55-
015a-49b5-a083-c84d1797ae8c
o GrantControls.BuiltInControls містить mfa OR
GrantControls.AuthenticationStrength.id визначено
o SessionControls.SignInFrequency.IsEnabled має значення true
o SessionControls.SignInFrequency.FrequencyInterval є
кожного разу
o Стан увімкнено
4. Відповідність вважається дотриманою, коли принаймні одна політика відповідає всім переліченим критеріям
вище. 5. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» виберіть «Ресурси» (раніше хмарні програми), виберіть «Вибрати ресурси» та додайте реєстрацію Microsoft Intune до списку. ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Надати» виберіть «Надати доступ». o Поставте прапорець «Вимагати багатофакторної автентифікації» або «Вимагати надійності автентифікації». o У розділі «Сеанс» перевірте «Частота входу» та виберіть «Кожен раз».
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

ℹ️ Примітка: Якщо хмарна програма Microsoft Intune Enrollment недоступна, вона має бути
створений. Щоб додати програму для нових клієнтів, адміністратор Microsoft Entra має створити a
об’єкт учасника служби з ідентифікатором програми d4ebce55-015a-49b5-a083-c84d1797ae8c, у
PowerShell або Microsoft Graph.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» перевірте, що «Ресурси» (попередня назва «хмарні програми») містить «Усі ресурси» (попередня назва «Усі хмарні програми») o У розділі «Умови» > «Потоки автентифікації» переконайтеся, що для параметра «Налаштувати» встановлено значення «Так» і позначено «Потік коду пристрою». o У розділі «Надати перевірку» вибрано «Блокувати доступ».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте політики, де Conditions.AuthenticationFlows.TransferMethods містить deviceCodeFlow.
7. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o Conditions.AuthenticationFlows.TransferMethods містить deviceCodeFlow o GrantControls.BuiltInControls — це блок o State увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» > «Ресурси» (попередня назва «хмарні програми») виберіть «Усі ресурси» (попередня назва «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Умови» > «Потоки автентифікації» встановіть «Конфігурація» на «Так» і перевірте «Потік коду пристрою». o Натисніть Зберегти. o У розділі «Надати» виберіть «Заблокувати доступ» і натисніть «Вибрати».
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність неочікуваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує з такими критеріями та має значення Увімк.: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи включено «Всі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» перевірте, що «Ресурси» (попередня назва «хмарні програми») включає «Усі ресурси» (попередня назва «Усі хмарні програми») o У розділі «Сеанс» переконайтеся, що позначено частоту входу, а для періодичної повторної автентифікації встановлено 7 днів або менше.
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтрувати політики, де SessionControls.SignInFrequency.IsEnabled має значення true
7. Відфільтруйте політики, де Conditions.signInRiskLevels і Conditions.userRiskLevels мають визначені значення, виключивши їх з оцінювання.
8. Для кожної повернутої політики перевірте такі критерії: o Conditions.Users.IncludeUsers — це All o Conditions.Applications.IncludeApplications — це All o SessionControls.SignInFrequency.frequencyInterval — це timeBased o SessionControls.SignInFrequency.type — це дні* o SessionControls.SignInFrequency.value — 7 (або менше)* o Стан увімкнено
9. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
10. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Будь-яка комбінація типу SignInFrequency та значення вважається сумісною
якщо інтервал повторної автентифікації не перевищує 7 днів. Наприклад, a
політика, застосована до всіх користувачів, яка потребує повторної автентифікації кожні 20 годин, все одно буде відповідати
вимога.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» перевірте, чи «Ресурси» (попередня назва «хмарні програми») містить усі ресурси (попередня назва «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Сеанс» виберіть «Частота входу» та встановіть «Періодична повторна автентифікація» на 7 днів або менше.
4. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. У розділі «Керувати» клацніть «Іменовані місця».
4. Для кожного названого розташування з типом діапазонів IP-адрес перевірте, чи існує одне з такими критеріями: o Довірений встановлено на Так. o Визначено принаймні один діапазон IP-адрес
5. Відповідність вважається виконаною, якщо принаймні одне назване місце відповідає всім перерахованим вище критеріям. Щоб перевірити за допомогою API Microsoft Graph:
6. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/namedLocations?$filter=isof(‘microsoft.graph. ipNamedLocation’)
7. Для кожного повернутого розташування перевірте такі критерії: o isTrusted має значення true o ipRanges містить принаймні один діапазон ipv4 або ipv6
8. Відповідність вважається виконаною, якщо принаймні одне назване місце відповідає всім перерахованим вище критеріям.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. У розділі «Керувати» клацніть «Іменовані місця».
4. Щоб додати нове розташування, клацніть розташування діапазонів IP-адрес.
5. Введіть назву цього параметра розташування в полі Ім’я.
6. Натисніть значок +.
7. Додайте лише надійний діапазон IP-адрес у нотації CIDR у текстове поле, що з’явиться.
8. Натисніть кнопку Додати.
9. Повторіть кроки 6–8 для кожного додаткового діапазону IP-адрес.
10. Установіть прапорець Позначити як надійне розташування.
11. Після завершення натисніть «Створити».

ℹ️ Примітка: Немає жодного встановленого методу для застосування іменованого розташування до a
Політика умовного доступу, оскільки правильна конфігурація залежить від конкретного доступу
вимоги до контролю. Виконавці повинні мати чітке розуміння того, як названо
розташування функціонують до того, як застосувати їх до виробничих політик.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Перевірте, чи існує політика з такими критеріями: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, що включено «Всі користувачі» o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно o У розділі «Цільові ресурси» перевірте, що вибрано «Усі ресурси» (раніше «Усі хмарні програми») o У розділі «Перевірка мережі» Включити> Вибрані мережі та розташування містять принаймні одне ненадійне розташування o У розділі «Перевірити мережу» Виключити містить надійні розташування через усі надійні мережі та розташування або Вибрані мережі та розташування o У розділі Надати перевірку вибрано Блокувати доступ
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Для кожної повернутої політики перевірте наступні критерії: o conditions.users.includeUsers — це All; o conditions.applications.includeApplications — це All; o conditions.locations.includeLocations містить принаймні один GUID принаймні одного ненадійного розташування. o conditions.locations.excludeLocations є AllTrusted АБО містить принаймні один GUID принаймні одного надійного розташування. o grantControls.builtInControls є блоком o стан увімкнено
7. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
8. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) включити «Усі користувачі» o У розділі «Цільові ресурси» включити «Усі ресурси» (раніше «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Мережа» встановіть «Конфігурація» на «Так»: ▪ Виберіть «Включити», а потім додайте записи для ненадійних місць, які слід заблокувати. ▪ Виберіть «Виключити», а потім додайте записи для надійних місць, які мають бути дозволені
4. У розділі «Керування доступом» виберіть «Надати» та «Заблокувати доступ».
5. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
6. Натисніть Створити.
7. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Переконайтеся, що політика існує за такими критеріями: o У розділі «Користувачі або агенти» (попередній перегляд) переконайтеся, що не вибрано «Жодного». o Переконайтеся, що існують лише задокументовані виключення та що вони переглядаються щороку o У розділі «Цільові ресурси» виберіть «Вибрати ресурси» та перевірте, чи позначено щонайменше таке: ▪ Office 365 Exchange Online ▪ Office 365 SharePoint Online ▪ Microsoft Teams Services
4. У розділі «Умови» > «Платформи пристроїв» переконайтеся, що для параметра «Налаштувати» встановлено значення «Так», а «Включити» вказує на платформи Windows.
5. У розділі «Умови» > «Клієнтські програми» переконайтеся, що для параметра «Налаштувати» встановлено значення «Так» і вибрано лише «Мобільні програми» та «Клієнти для настільних ПК».
6. У розділі «Керування доступом» > «Сеанс» переконайтеся, що вибрано «Потрібний захист маркерів для сеансів входу» (загалом доступний для Windows. Попередній перегляд для MacOS, iOS). Щоб перевірити за допомогою API Microsoft Graph:
7. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
8. Відфільтруйте політики, де sessionControls.secureSignInSession.isEnabled має значення true.
9. Для кожної повернутої політики перевірте такі критерії: o conditions.users.includeUsers не має значення None o conditions.applications.includeApplications містить принаймні такі GUID: ▪ 00000002-0000-0ff1-ce00-000000000000 (Office 365 Exchange Online) ▪ 00000003-0000-0ff1-ce00-000000000000 (Office 365 SharePoint Online) ▪ cc15fd57-2c6c-4117-a88c-83b1d56b4bbe (Microsoft Teams Services) o conditions.platforms.includePlatforms містить вікна o conditions.clientAppTypes is mobileAppsAndDesktopClients o sessionControls.secureSignInSession.isEnabled is true o State is enabled
10. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
11. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access і виберіть Policies.
3. Виберіть Нова політика.
4. Виберіть Користувачі або агенти (Попередній перегляд):
5. У розділі «Включити» виберіть користувачів або групи для застосування цієї політики.
6. У розділі Виключити виключіть будь-які облікові записи, що розбивають скло.
7. Виберіть Цільові ресурси > Ресурси > Включити > Вибрати ресурси
8. У розділі Вибрати певні ресурси виберіть такі програми:
9. Office 365 Exchange Online
10. Office 365 SharePoint Online
11. Служби Microsoft Teams
12. Виберіть Вибрати
13. Виберіть умови:
14. У розділі Платформи пристроїв
15. Встановіть параметр «Налаштувати» на «Так».
16. Включити > Виберіть платформи пристроїв > Windows.
17. Виберіть Готово.
18. У розділі «Клієнтські програми»:
19. Встановіть параметр «Налаштувати» на «Так».
20. У розділі «Сучасні клієнти автентифікації» виберіть лише «Мобільні програми та клієнти для настільних ПК».
21. Виберіть Готово
22. У розділі «Керування доступом» > «Сеанс» виберіть «Вимагати захисту маркерів для сеансів входу» (загалом доступно для Windows. Попередній перегляд для MacOS, iOS) і натисніть «Вибрати».
23. У розділі «Увімкнути політику» встановіть значення «Лише для звітів».
24. Натисніть Створити.
25. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access.
3. Перевірте, чи існує політика за такими критеріями: o У розділі «Користувачі або агенти» (попередній перегляд) перевірте, чи вибрано «Усі користувачі». o Переконайтеся, що існують лише задокументовані виключення користувачів і що вони переглядаються щорічно. o У розділі «Цільові ресурси» перевірте, що «Ресурси» (попередня назва «хмарні програми») містить «Усі ресурси» (попередня назва «Усі хмарні програми») o У розділі «Умови» > «Потоки автентифікації» переконайтеся, що для параметра «Конфігурація» встановлено значення «Так» і позначено «Передача автентифікації». o У розділі «Надати перевірку» вибрано «Блокувати доступ».
4. Переконайтеся, що для параметра «Увімкнути політику» встановлено значення «Увімк.». Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identity/conditionalAccess/policies
6. Відфільтруйте правила, у яких умови.authenticationFlows.transferMethods містять authenticationTransfer.
7. Для кожної повернутої політики перевірте такі критерії: o conditions.users.includeUsers — це All o conditions.applications.includeApplications — це All o conditions.authenticationFlows.transferMethods містить authenticationTransfer o grantControls.builtInControls — це блок o стан увімкнено
8. Відповідність вважається дотриманою, якщо принаймні одна політика відповідає всім перерахованим вище критеріям.
9. Переконайтеся, що будь-які виключення задокументовані та переглядаються щорічно.

ℹ️ Примітка: Облікові записи розбитого скла слід виключити з усіх політик умовного доступу.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Conditional Access.
3. Створіть нову політику, вибравши Нова політика. o У розділі «Користувачі або агенти» (попередній перегляд) укажіть «Усі користувачі». o У розділі «Цільові ресурси» > «Ресурси» (попередня назва «хмарні програми») виберіть «Усі ресурси» (попередня назва «Усі хмарні програми»). ▪ У розділі Виключити виключіть будь-які облікові записи, що розбивають скло. o У розділі «Умови» > «Потоки автентифікації» встановіть «Конфігурація» на «Так» і поставте прапорець «Передача автентифікації». ▪ Натисніть Зберегти. o У розділі «Надати» виберіть «Заблокувати доступ» і натисніть «Вибрати».
4. У полі «Увімкнути політику» встановіть для нього значення «Лише для звітів», доки організація не буде готова його ввімкнути.
5. Натисніть Створити.
6. Після того, як політика буде працювати в режимі лише звітування протягом принаймні одного тижня, перегляньте журнали входу на наявність несподіваного впливу, потім поверніться до політики та встановіть для параметра «Увімкнути політику» значення «Увімк.».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. У розділі «Метод» виберіть Microsoft Authenticator.
4. Переконайтеся, що в розділі «Увімкнути та ціль» встановлено значення «Увімкнути».
5. Переконайтеся, що на вкладці «Включити» вибрано «Усі користувачі».
6. Переконайтеся, що на вкладці «Виключення» присутні лише дійсні групи (наприклад, облікові записи Break Glass).
7. Виберіть Налаштувати
8. Перевірте наступні параметри Microsoft Authenticator: o Показувати ім’я програми в push-повідомленнях і сповіщеннях без пароля. Для статусу встановлено значення Enabled, Target All users o Показувати географічне розташування в push-сповіщеннях і сповіщеннях без пароля. Статус встановлено як Enabled, Target All users
9. У кожному параметрі виберіть Виключити та переконайтеся, що присутні лише дійсні групи (тобто облікові записи Break Glass). Щоб перевірити за допомогою API Microsoft Graph:
10. Виконайте запит GET до такого відносного URI: v1.0/policies/authenticationMethodsPolicy/authenticationMethodConfigurations/ microsoftAuthenticator
11. Переконайтеся, що стан увімкнено.
12. Переконайтеся, що includeTargets.id має значення all_users.
13. Переконайтеся, що excludeTargets містить лише дійсні групи (тобто облікові записи Break Glass).
14. У розділі FeaturSettings перевірте наступні налаштування: o displayAppInformationRequiredState.state увімкнено o displayAppInformationRequiredState.includeTarget.id — це all_users o displayLocationInformationRequiredState.state увімкнено o displayLocationInformationRequiredState.includeTarget.id — це all_users
15. У кожному налаштуванні excludeTarget містить лише дійсну групу (тобто облікові записи Break Glass) або цільовий ідентифікатор 00000000-0000-0000-0000-000000000000

ℹ️ Примітка: Відповідність не можна легко перевірити для виключень, тому додайте їх до звіту
для ручного перегляду людиною рекомендується. Їх слід переглядати щорічно.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Натисніть, щоб розгорнути Entra ID > Методи автентифікації та виберіть Політики.
3. Виберіть Microsoft Authenticator
4. У розділі «Увімкнути та ціль» переконайтеся, що для параметра встановлено значення «Увімкнути».
5. Виберіть Налаштувати
6. Установіть наступні параметри Microsoft Authenticator: o Показувати ім’я програми в push-сповіщеннях і сповіщеннях без пароля. Для статусу встановлено значення Enabled, Target All users o Показувати географічне розташування в push-сповіщеннях і сповіщеннях без пароля. Статус встановлено як Enabled, Target All users

ℹ️ Примітка: Дійсні групи, наприклад облікові записи розбитого скла, можна виключити для кожної організації
політики.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Переконайтеся, що для параметра Enforce custom list встановлено значення Yes
4. Переконайтеся, що спеціальний список заборонених паролів містить записи, характерні для організації, або відповідає попередньо визначеному списку.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Directory.Read.All"

2. Виконайте такі команди:

   $PwRuleSettings = '5cf42378-d67d-4f36-ba46-e8b86229381d'
   Get-MgGroupSetting | Where-Object TemplateId -eq $PwRuleSettings |
       Select-Object -ExpandProperty Values

3. Переконайтеся, що EnableBannedPasswordCheck має значення True і BannedPasswordList заповнено.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Установіть для параметра «Застосувати спеціальний список» значення «Так».
4. У спеціальному списку заборонених паролів створіть список, використовуючи пропозиції, викладені в цьому документі.
5. Натисніть Зберегти

ℹ️ Примітка: Нижче наведено список прикладів, які можна використовувати як відправну точку. Посилання
розділ містить більше пропозицій.
•
Торгові марки
•
Назви продуктів
•
Розташування, наприклад штаб-квартира компанії
•
Внутрішні умови компанії
•
Абревіатури, які мають специфічне для компанії значення

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Переконайтеся, що для параметра «Увімкнути захист паролем у Windows Server Active Directory» встановлено значення «Так», а для режиму встановлено значення «Примусовий».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Directory.Read.All"

2. Виконайте таку команду:

   (Get-MgGroupSetting | ? { $_.TemplateId -eq '5cf42378-d67d-4f36-ba46-
   e8b86229381d' }).Values

3. Переконайтеся, що для параметра EnableBannedPasswordCheckOnPremises встановлено значення True, а для параметра BannedPasswordCheckOnPremisesMode — значення Enforce.

⚙️ Виправлення (Remediation / Налаштування)

• Завантажте та встановіть проксі-сервер паролів Azure AD і агенти DC із такого розташування: https://www.microsoft.com/download/details.aspx?id=57071 Після встановлення виконайте наведені нижче дії.

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Установіть для параметра «Увімкнути захист паролем у Windows Server Active Directory» значення «Так», а для режиму — «Примусово».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Деталі реєстрації користувача.
3. Встановіть параметр фільтра Можливість багатофакторної автентифікації на Неможливо.
4. Перегляньте не-гостьових користувачів у цьому списку.
5. Виключення будь-яких винятків користувачів, знайдених у цьому звіті, може потребувати виправлення.

1. Підключіться до Graph:

   Connect-MgGraph -Scopes "UserAuthenticationMethod.Read.All,AuditLog.Read.All"

2. Виконайте наступне:

   Get-MgReportAuthenticationMethodUserRegistrationDetail `
       -Filter "IsMfaCapable eq false and UserType eq 'Member'" |
           ft UserPrincipalName,IsMfaCapable,IsAdmin

3. Переконайтеся, що для IsMfaCapable встановлено значення True.
4. Виключення будь-яких винятків користувачів, знайдених у цьому звіті, може потребувати виправлення.

ℹ️ Примітка: Для успішного розгортання Multifactor має бути встановлено правило CA
Аутентифікація. Ця політика описана в розділі умовного доступу 5.2.2
Примітка 2. Можливі винятки включають локальні облікові записи синхронізації.

⚙️ Виправлення (Remediation / Налаштування)

ℹ️ Примітка: Умовний доступ крок за кроком описано в розділі 5.2.2

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. Переконайтеся, що для наступних методів у стовпці «Увімкнено» встановлено значення «Ні». o Метод: SMS o Метод: Голосовий виклик

1. Підключіться до Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте наступне:

   (Get-MgPolicyAuthenticationMethodPolicy).AuthenticationMethodConfigurations

3. Переконайтеся, що SMS і Voice вимкнено.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. Перевірте кожен метод, який не відповідає вимогам, і виправте його: o Натисніть на метод, щоб відкрити його. o Переведіть перемикач «Увімкнути» у положення «Вимкнено». o Натисніть Зберегти.

1. Підключіться до Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"

2. Виконайте наступне, щоб вимкнути обидва методи автентифікації:

   $params = @(
   @{ Id = "Sms"; State = "disabled" },
   @{ Id = "Voice"; State = "disabled" }
   )
   Update-MgPolicyAuthenticationMethodPolicy -AuthenticationMethodConfigurations
   $params

ℹ️ Примітка: Якщо після вимкнення методу кнопка збереження залишається сірою, спочатку вимкніть її
знову ввімкніть, а потім змініть положення вибору цілі (всі користувачі або виберіть
групи). Знову вимкніть метод і збережіть. Було помічено, що це помилка в інтерфейсі користувача
на момент публікації цього документа.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Налаштування.
3. Переконайтеся, що для параметра System-preferred multifactor authentication State встановлено значення Enabled і All users включено.
4. Переконайтеся, що існують лише задокументовані винятки та що вони переглядаються щорічно

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.AuthenticationMethod"

2. Виконайте такі команди:

   $Uri =
   'https://graph.microsoft.com/beta/policies/authenticationMethodsPolicy'
   (Invoke-MgGraphRequest -Method GET -Uri $Uri).systemCredentialPreferences

3. Переконайтеся, що для параметра includeTargets встановлено значення all_users, а для стану — увімкнено.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Налаштування.
3. Установіть для параметра System-preferred multifactor authentication State значення Enabled і включіть усіх користувачів.
4. Будь-які виключення користувачів слід документувати та переглядати щорічно.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. Переконайтеся, що OTP електронної пошти встановлено на Ні у стовпці Увімкнено.

1. Підключіться до Graph:

   Connect-MgGraph -Scopes "Policy.Read.All"

2. Виконайте наступне:

   (Get-MgPolicyAuthenticationMethodPolicy).AuthenticationMethodConfigurations

3. Переконайтеся, що тип ідентифікатора Email вимкнено.

   Verify the id type Email is set to disabled.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. Натисніть Email OTP.
4. Змініть перемикач «Увімкнути» у вимкнене положення\
5. Натисніть Зберегти.

1. Підключіться до Graph:

   Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"

2. Виконайте наступне:

   $params = @(
   @{ Id = "Email"; State = "disabled" }
   )
   Update-MgPolicyAuthenticationMethodPolicy -AuthenticationMethodConfigurations
   $params

ℹ️ Примітка: Якщо після вимкнення методу кнопка збереження залишається сірою, спочатку вимкніть її
знову ввімкніть, а потім змініть положення вибору цілі (всі користувачі або виберіть
групи). Знову вимкніть метод і збережіть. Було помічено, що це помилка в інтерфейсі користувача
на момент публікації цього документа.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Переконайтеся, що поріг блокування встановлено на 10 або менше. Щоб перевірити за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: v1.0/groupSettings
5. Відфільтрувати параметри правила пароля, де templateId — 5cf42378-d67d-4f36-ba46-e8b86229381d
6. Переконайтеся, що LockoutThreshold становить 10 або менше.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Встановіть поріг блокування до 10 або менше.

ℹ️ Примітка: У гібридних середовищах із використанням наскрізної автентифікації (PTA), Microsoft
рекомендує налаштувати порогове значення блокування облікового запису AD DS принаймні від двох до
у три рази більше встановленого тут значення, щоб забезпечити активацію інтелектуального блокування Entra
перед блокуванням AD DS.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Переконайтеся, що для тривалості блокування в секундах встановлено значення 60 або вище. Щоб перевірити за допомогою API Microsoft Graph:
4. Виконайте запит GET до такого відносного URI: v1.0/groupSettings
5. Відфільтрувати параметри правила пароля, де templateId — 5cf42378-d67d-4f36-ba46-e8b86229381d
6. Переконайтеся, що значення LockoutDurationInSeconds більше або дорівнює 60.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Захист паролем.
3. Встановіть тривалість блокування в секундах на 60 або вище.
4. Натисніть Зберегти.

ℹ️ Примітка: У гібридних середовищах із використанням наскрізної автентифікації (PTA) переконайтеся, що AD
Тривалість блокування облікового запису DS коротша за встановлене тут значення. Блокування Entra
тривалість налаштовується в секундах, тоді як тривалість блокування AD DS налаштовується в хвилинах;
врахувати різницю одиниць при порівнянні двох значень.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. У розділі «Метод» виберіть Microsoft Authenticator.
4. Виберіть Налаштувати.
5. Переконайтеся, що Microsoft Authenticator у супутніх програмах: статус встановлено на Вимкнено. Щоб перевірити за допомогою API Microsoft Graph:
6. Виконайте запит GET до такого відносного URI: beta/policies/authenticationMethodsPolicy/authenticationMethodConfigurations/ microsoftAuthenticator
7. Переконайтеся, що featureSettings.companionAppAllowedState.state вимкнено.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com.
2. Розгорніть Entra ID > Методи автентифікації та виберіть Політика.
3. У розділі «Метод» виберіть Microsoft Authenticator.
4. Виберіть Налаштувати.
5. Встановіть програму Microsoft Authenticator для супутніх програм: статус вимкнено.
6. Виберіть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Властивості.
3. Переконайтеся, що для параметра Self service password reset enabled встановлено значення All

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Властивості.
3. Встановіть для параметра «Скидання пароля самообслуговування» значення «Усі».

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Методи автентифікації.
3. Переконайтеся, що кількість методів, необхідних для скидання, встановлено на 2

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Методи автентифікації.
3. Встановіть кількість методів, необхідних для скидання, на 2
4. Натисніть Зберегти

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Реєстрація.
3. Переконайтеся, що Вимагати від користувачів реєстрації під час входу? встановлено на Так.
4. Переконайтеся, що кількість днів до того, як користувачам буде запропоновано повторно підтвердити свою інформацію автентифікації, не встановлено на 0.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Реєстрація.
3. Установити Вимагати від користувачів реєстрації під час входу? до Так.
4. Встановіть кількість днів до того, як користувачам буде запропоновано повторно підтвердити свою інформацію автентифікації на будь-яке схвалене організацією значення, відмінне від 0.
5. Натисніть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Сповіщення.
3. Переконайтеся, що сповіщати користувачів про скидання пароля? встановлено на Так.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Сповіщення.
3. Установити сповіщення користувачів про скидання пароля? до Так
4. Натисніть Зберегти.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Сповіщення.
3. Переконайтеся, що сповіщати всіх адміністраторів, коли інші адміністратори скидають свій пароль? встановлено на Так

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Скидання пароля та виберіть Сповіщення.
3. Налаштувати Сповіщати всіх адміністраторів, коли інші адміністратори скидають свій пароль? до Так
4. Натисніть Зберегти

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Ролі та адміністратори та виберіть Усі ролі.
3. Виберіть «Додати фільтри» та застосуйте фільтр «Привілейовані», щоб охопити перегляд вбудованих і спеціальних привілейованих ролей.
4. Для кожної PRIVILEGED ролі, яка має одне або кілька призначень, виконайте наступний перегляд активних призначень:
5. Виберіть роль, щоб відкрити її.
6. Відкрийте вкладку «Активні завдання».
7. Для кожного призначення, де Тип є Користувачем або Групою, переконайтеся, що Стан активовано. ▪ Призначений стан дозволено лише для схвалених облікових записів, яким призначено роль глобального адміністратора, і не більше ніж 2 такі облікові записи можуть мати це постійне призначення.
8. Для кожного призначення, де Тип є принципалом служби, переконайтеся, що стан призначений і вказано час закінчення.
9. Відповідність досягнуто, якщо всі призначення привілейованих ролей відповідають вимогам перевірки на кроці 4. Використання PIM для керування іншими ролями адміністратора рекомендовано, але не є обов’язковим для відповідності. Для перевірки за допомогою Microsoft Graph API:
10. Виконайте запит GET до наступного відносного URI, щоб отримати привілейовані ролі (спеціальні або вбудовані): beta/roleManagement/directory/roleDefinitions?$filter=isPrivileged eq true&$select=id,displayName,isPrivileged,isBuiltIn,isEnabled
11. Виконайте запит GET до такого відносного URI, щоб отримати всі екземпляри активних призначень ролей: v1.0/roleManagement/directory/roleAssignmentScheduleInstances?$expand=princip al
12. Співвіднесіть roleDefinitionId кожного екземпляра призначення з ідентифікатором списку привілейованих ролей, щоб отримати список екземплярів призначення привілейованих ролей.
13. Для кожного екземпляра призначення привілейованої ролі перевірте відповідність умови для основного типу: o Для користувачів і груп ([email protected] — це #microsoft.graph.user або #microsoft.graph.group) переконайтеся, що assignmentType має значення Activated. assignmentType Assigned дозволено лише для схвалених облікових записів, яким призначено роль глобального адміністратора, і не більше ніж 2 такі облікові записи можуть мати це постійне призначення. o Для принципалів служби ([email protected] — #microsoft.graph.servicePrincipal) переконайтеся, що assignmentType має значення Assigned і endDateTime визначено (призначення з прив’язкою до часу).
14. Відповідність досягнуто, якщо всі призначення привілейованих ролей відповідають вимогам перевірки на кроці 4. Використання PIM для керування іншими ролями адміністратора рекомендовано, але не є обов’язковим для відповідності.

ℹ️ Примітка: Немає програмного способу надійно визначити, чи принципал є a
призначений рахунок розбиття скла. Призначення глобального адміністратора вимагається вручну
перевірка та рішення, щоб підтвердити, що будь-які постійні призначення належать виключно
два затверджених рахунки організації.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Entra ID > Ролі та адміністратори та виберіть Усі ролі.
3. Для кожного призначення ролі користувача або групи, яке не відповідає: o Клацніть роль, щоб відкрити її в PIM. o Select the Active assignments tab. o Under action click Update or Remove. ▪ Якщо вибрано Оновлення, встановіть Тип призначення на Придатне та натисніть Зберегти. ▪ Якщо вибрано «Видалити», призначення буде видалено, а керівник більше не виконуватиме цю роль.
4. Для кожної привілейованої ролі з невідповідним активним призначенням принципала служби: 1. Відкрийте вкладку «Активні призначення». 2. Натисніть Оновити, щоб змінити призначення принципала служби. 3. Зніміть прапорець «Призначено назавжди» та встановіть відповідний час завершення, щоб створити призначення з обмеженим часом на основі бізнес-потреб. 4. Натисніть «Зберегти», щоб застосувати зміни.
5. Повторіть для будь-яких інших призначень привілейованих ролей, які не відповідають вимогам.

ℹ️ Примітка: CIS Safeguard 6.8, Визначення та підтримка контролю доступу на основі ролей,
рекомендує переглядати доступ за регулярним графіком, принаймні раз на рік і більше
frequently as needed. Ця практика наполегливо заохочується керівникам служб, коли
defining time-bound assignments.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть ID Governance та виберіть Access reviews
3. Перегляньте перевірки доступу та переконайтеся, що перевірка доступу створена за такими критеріями: o Огляд: область дії встановлено лише для користувачів-гостей, а статус перегляду – «Активний» o Рецензенти: призначено принаймні одного рецензента, який не є гостем. o Налаштування > Загальні: ▪ Сповіщення електронною поштою встановлено на Увімкнути ▪ Нагадування встановлено на Увімкнути o Налаштування > Рецензенти: ▪ Вимагати причину затвердження встановлено на Увімкнути o Налаштування > Планування: ▪ Частота встановлено на Щомісяця або частіше ▪ Тривалість (у днях) не перевищує 14 днів ▪ Кінець встановлено на Ніколи o Параметри > Після завершення: ▪ Автоматичне застосування результатів до ресурсу встановлено на Увімкнено ▪ Якщо рецензенти не відповідають встановлено на Вилучити доступ
4. Контроль є сумісним, якщо є принаймні один огляд доступу для гостей, який відповідає всім вищезазначеним критеріям. Щоб перевірити за допомогою API Microsoft Graph:
5. Виконайте запит GET до такого відносного URI: v1.0/identityGovernance/accessReviews/definitions
6. Застосуйте такі фільтри, щоб ідентифікувати огляди доступу, націлені на гостьових користувачів: o scope.resourceScopes.query відповідає шаблону userType eq ‘Guest’ АБО o scope.query відповідає шаблону userType eq ‘Guest’
7. Для кожного огляду, який проходить фільтри вище, перевірте наступні критерії: o Повторення налаштовано як щомісяця або частіше: ▪ recurrence.pattern.type має значення absoluteMonthly АБО ▪ recurrence.pattern.type є щотижня o reviewers не пусте o settings.mailNotificationsEnabled має значення true o settings.instanceDurationInDays становить 14 днів або менше o settings.reminderNotificationsEnabled має значення true o settings.justificationRequiredOnApproval має значення true o settings.autoApplyDecisionsEnabled має значення true o settings.defaultDecision має значення Deny o settings.recurrence.range.type має значення noEnd
8. Контроль є сумісним, якщо є принаймні один огляд доступу для гостей, який відповідає всім вищезазначеним критеріям.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть ID Governance та виберіть Access reviews
3. Натисніть Новий перегляд доступу.
4. У полі Перегляд ресурсу натисніть Вибрати.
5. У полі «Тип перегляду» встановіть наступне: o Виберіть, що переглядати, виберіть «Команди + групи». o Перегляньте область для всіх груп Microsoft 365 із гостьовими користувачами. o Охопіть лише користувачів-гостей, а потім натисніть Далі: Відгуки.
6. У розділі «Відгуки» встановіть наступне: o Виберіть рецензентів для «Членів групи» або «Вибрані користувачі та групи», переконавшись, що призначено принаймні одного рецензента та що гість не виконує самооцінку. o Тривалість (у днях) до 14 днів або менше. o Перегляньте повторення на Щомісяця або частіше. o Дата початку перевірки, яка гарантує, що перевірка стане активною до наступної дати перевірки. o Від кінця до Ніколи, потім натисніть Далі: Параметри.
7. У налаштуваннях встановіть наступне: o Автоматично застосовувати результати до ресурсу позначено. o Якщо рецензенти не відповідають на запит Вилучити доступ o Потрібне обґрунтування. o Повідомлення електронної пошти перевіряються. o Нагадування позначено. o Натисніть «Далі: переглянути + створити».
8. Натисніть Створити. Щоб виправити проблему за допомогою Microsoft Graph API: щоб створити новий перегляд доступу, виконайте запит POST до наступного відносного URI. Щоб оновити наявну рецензію, виконайте запит PATCH до того самого URI, до якого додано ідентифікатор рецензії: v1.0/identityGovernance/accessReviews/definitions Тіло запиту має включати властивості, які задовольняють наведеним вище критеріям аудиту. Документація Graph API містить повні зразки тіл запитів кількома мовами, включаючи HTTP, PowerShell і Python. Дивіться Посилання 3 для деталей.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Керування ідентифікаторами > Керування привілейованими ідентифікаторами.
3. У розділі «Керування» виберіть «Ролі Microsoft Entra».
4. Виберіть Доступ до оглядів
5. Для кожної привілейованої ролі, зазначеної в розділі «Додаткова інформація», переконайтеся, що існує перевірка доступу, яка відповідає таким критеріям: o Огляд: ▪ Тип призначення ролі встановлено на «Придатний і активний» ▪ Область дії встановлено на «Кожен» ▪ Статус перевірки «Активний» o Рецензенти: призначено принаймні одного рецензента, який не перевіряє самостійно. o Налаштування > Загальні: ▪ Сповіщення електронною поштою встановлено на Увімкнути ▪ Нагадування встановлено на Увімкнути o Налаштування > Рецензенти: ▪ Вимагати причину затвердження встановлено на Увімкнути o Налаштування > Планування: ▪ Частота встановлено на Щомісяця або частіше ▪ Тривалість (у днях) не перевищує 14 днів ▪ Кінець встановлено на Ніколи o Параметри > Після завершення: ▪ Автоматичне застосування результатів до ресурсу встановлено на Увімкнено ▪ Якщо рецензенти не відповідають, для параметра встановлено значення Без змін Для перевірки за допомогою API Microsoft Graph:
6. Виконайте запит GET до такого відносного URI: v1.0/identityGovernance/accessReviews/definitions
7. Застосуйте наступні фільтри, щоб визначити релевантні визначення перевірки доступу: o scope.resourceScopes.query відповідає шаблону /directory/roleDefinitions/ o scope.resourceScopes.query відповідає GUID однієї з 6 привілейованих ролей каталогу, описаних у розділі «Додаткова інформація».
8. Для кожного огляду, який проходить наведені вище фільтри, перевірте наступні критерії: o Придатні й активні призначення ролей: ▪ scope.principalScopes.query містить /v1.0/users ТА ▪ scope.principalScopes.query містить /v1.0/groups o Повторення налаштоване як щомісячне або частіше: ▪ recurrence.pattern.type має значення absoluteMonthly АБО ▪ recurrence.pattern.type є тижневим ▪ recurrence.range.startDate у минулому відносно дати перевірки o reviewers не пусте o settings.mailNotificationsEnabled має значення true o settings.reminderNotificationsEnabled має значення true o settings.justificationRequiredOnApproval має значення true o settings.instanceDurationInDays менше або дорівнює 14 o settings.autoApplyDecisionsEnabled має значення true o settings.defaultDecision має значення None
9. Контроль є сумісним, якщо всі 6 привілейованих ролей каталогу мають пов’язане визначення перегляду доступу, яке відповідає всім критеріям, перерахованим вище.

ℹ️ Примітка: 6 ролей, на які посилаються, і пов’язані з ними GUID можна знайти в
Розділ Додаткова інформація.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Керування ідентифікаторами > Керування привілейованими ідентифікаторами.
3. У розділі «Керування» виберіть «Ролі Microsoft Entra».
4. Виберіть Доступ до оглядів і натисніть Створити. o Введіть назву та опис. o Встановіть Частота на Щомісяця або частіше. o Встановіть для параметра Тривалість (у днях) значення не більше 14. o Встановіть для параметра Кінець значення Ніколи. o Встановіть для «Користувачів» значення «Усі користувачі та групи». o У «Роль» виберіть ролі каталогу, описані в розділі «Додаткова інформація». o Встановіть Тип призначення на Усі активні та прийнятні призначення. o Встановіть рецензентів для членів, відповідальних за цей тип рецензування, окрім себе.
5. У налаштуваннях Після завершення встановіть наступне: o Автоматичне застосування результатів до ресурсу для Увімкнути. o Якщо рецензенти не відповідають на «Без змін».
6. У розділі «Додаткові налаштування» встановіть наступне: o Вимагати причину схвалення, щоб увімкнути, o Сповіщення поштою, щоб увімкнути, o Нагадування, щоб увімкнути
7. Натисніть «Почати», щоб зберегти та розпочати серію перевірок. Попередження: слід бути обережним під час налаштування параметра «Якщо рецензенти не відповідають» для переглядів глобального адміністратора, якщо неправильно налаштовані облікові записи розбитого скла можуть автоматично скасувати ролі. Крім того, рецензенти повинні бути навчені щодо мети облікових записів, що розбивають скло, щоб запобігти випадковому видаленню ролей вручну. Щоб виправити проблему за допомогою Microsoft Graph API: щоб створити новий перегляд доступу, виконайте запит POST до наступного відносного URI. Щоб оновити наявну рецензію, виконайте запит PATCH до того самого URI, до якого додано ідентифікатор рецензії: v1.0/identityGovernance/accessReviews/definitions Тіло запиту має включати властивості, які задовольняють наведеним вище критеріям аудиту. Документація Graph API містить повні зразки тіл запитів кількома мовами, включаючи HTTP, PowerShell і Python. Дивіться Посилання 3 для деталей

ℹ️ Примітка: Огляд доступу створюється для кожної вибраної ролі після завершення процесу.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Керування ідентифікаторами > Керування привілейованими ідентифікаторами.
3. У розділі Керування виберіть Ролі Microsoft Entra.
4. У розділі Керування виберіть Ролі.
5. У списку виберіть Глобальний адміністратор.
6. Виберіть параметри ролі.
7. Переконайтеся, що для параметра Потрібне схвалення для активації встановлено значення Так.
8. Переконайтеся, що в списку є принаймні 1 схвалювач. Щоб перевірити за допомогою API Microsoft Graph:
9. Виконайте запит GET до такого відносного URI, щоб отримати ідентифікатор політики для ролі глобального адміністратора: v1.0/policies/roleManagementPolicyAssignments?$filter=scopeId eq ‘/’ і scopeType eq ‘DirectoryRole’ і roleDefinitionId eq ’62e90394-69f5-4237- 9190-012177145e10’&$select=policyId
10. Виконайте запит GET до наступного відносного URI, щоб отримати параметр затвердження політики за допомогою policyId із попереднього виклику: v1.0/policies/roleManagementPolicies/{policyID}/rules/Approval_EndUser_Assignment # Приклад https://graph.microsoft.com/v1.0/policies/roleManagementPolicies/DirectoryRol e_9c4d49a8-1f7a-4256-b1a2-b7cb0e7180f4_86522f3f-cfd0-4634-95a0- 38083127ca00/rules/Approval_EndUser_Assignment
11. Переконайтеся, що параметр isApprovalRequired має значення true.
12. Переконайтеся, що approvalStages.primaryApprovers містить одного або кількох дійсних користувачів.

ℹ️ Примітка: Особи, які затверджують, повинні регулярно перевірятися, щоб переконатися, що члени є такими
активний і дійсний.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Керування ідентифікаторами > Керування привілейованими ідентифікаторами.
3. У розділі Керування виберіть Ролі Microsoft Entra.
4. У розділі Керування виберіть Ролі.
5. У списку виберіть Глобальний адміністратор.
6. Виберіть параметри ролі та натисніть «Редагувати».
7. Поставте прапорець Потрібне схвалення для активації.
8. Додайте принаймні одного схвалювача.
9. Натисніть Оновити.

💡 Обґрунтування безпеки:

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Керування ідентифікаторами > Керування привілейованими ідентифікаторами.
3. У розділі Керування виберіть Ролі Microsoft Entra.
4. У розділі Керування виберіть Ролі.
5. У списку виберіть Привілейована роль Адміністратор.
6. Виберіть параметри ролі.
7. Для параметра Перевірити Потрібне схвалення для активації встановлено значення Так.
8. Переконайтеся, що в списку є принаймні один схвалювач. Щоб перевірити за допомогою API Microsoft Graph:
9. Виконайте запит GET до такого відносного URI, щоб отримати policyID для привілейованої ролі Administrator-role: v1.0/policies/roleManagementPolicyAssignments?$filter=scopeId eq ‘/’ і scopeType eq ‘DirectoryRole’ і roleDefinitionId eq ‘e8611ab8-c189-46e8- 94e1-60213ab1f814’&$select=policyId
10. Виконайте запит GET до наступного відносного URI, щоб отримати параметр затвердження політики за допомогою policyId із попереднього виклику: v1.0/policies/roleManagementPolicies/{policyID}/rules/Approval_EndUser_Assignment # Приклад https://graph.microsoft.com/v1.0/policies/roleManagementPolicies/DirectoryRol e_d1fdbf46-5729-4c53-a951-7ab677be380f_3679e0d0-412a-444d-b517- ab23973d6067/rules/Approval_EndUser_Assignment
11. Переконайтеся, що параметр isApprovalRequired має значення true.
12. Переконайтеся, що approvalStages.primaryApprovers містить одного або кількох дійсних користувачів.

ℹ️ Примітка: Особи, які затверджують, повинні регулярно перевірятися, щоб переконатися, що члени є такими
активний і дійсний.

⚙️ Виправлення (Remediation / Налаштування)

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Керування ідентифікаторами > Керування привілейованими ідентифікаторами.
3. У розділі Керування виберіть Ролі Microsoft Entra.
4. У розділі Керування виберіть Ролі.
5. У списку виберіть Привілейована роль Адміністратор.
6. Виберіть параметри ролі та натисніть «Редагувати».
7. Поставте прапорець Потрібне схвалення для активації.
8. Додайте принаймні одного схвалювача.
9. Натисніть Оновити.