Βασικό σύνολο πολιτικών Conditional Access: ποιες χρειάζεσαι, με ποια σειρά, έτοιμες σε JSON

Το Conditional Access είναι το «φανάρι» του Microsoft Entra ID: σε κάθε σύνδεση αποφασίζει αν ο χρήστης μπαίνει, αν του ζητείται κάτι επιπλέον, ή αν μπλοκάρεται. Η Microsoft έχει έτοιμα templates για τις πολιτικές που χρειάζεται κάθε οργανισμός. Το ερώτημα είναι ποιες ταιριάζουν στις δικές σου άδειες και στον τρόπο που δουλεύουν οι χρήστες σου, και με ποια σειρά τις ενεργοποιείς χωρίς να κλειδώσεις κανέναν έξω.

Εδώ απαντάς σε λίγες ερωτήσεις και παίρνεις το σύνολο πολιτικών σου: από 9 με Business Premium έως 24 με E5 και πρόσθετες δυνατότητες. Για κάθε πολιτική βλέπεις γιατί υπάρχει, τις ρυθμίσεις της, το JSON για upload στο Microsoft Entra admin center και ένα KQL για να δεις τι θα έκανε πριν την ενεργοποιήσεις. Χρειάζεσαι πέντε λεπτά. Δεν χρειάζεται εγγραφή.

Πόσες πολιτικές θα πάρεις

Η βάση είναι πάντα εννέα πολιτικές, πάνω στην κατηγορία «Secure foundation» της Microsoft: MFA για τους διαχειριστές και στα admin portals, MFA για όλους, μπλοκάρισμα του legacy authentication, προστασία της καταχώρισης MFA, MFA για τη διαχείριση του Azure, μία πολιτική συσκευών, μπλοκάρισμα του device code flow και MFA για την καταχώριση ή το join συσκευής. Αυτές θέλουν μόνο Microsoft Entra ID P1, που υπάρχει στο Business Premium, στο E3 και στο EMS E3.

Οι απαντήσεις σου προσθέτουν τις υπόλοιπες. Αν έχεις περισσότερες από μία άδειες, για παράδειγμα Microsoft 365 E3 μαζί με EMS E5, τις τσεκάρεις όλες, και το εργαλείο συνδυάζει όσα δίνει η καθεμία:

Το αν η πολιτική συσκευών είναι «compliant device» ή «compliant device ή MFA» εξαρτάται από το αν όλες οι συσκευές σου είναι στο Intune. Όταν είναι, οι πολιτικές για τις μη διαχειριζόμενες συσκευές δεν χρειάζονται και το σύνολο μικραίνει.

Γιατί σε κύματα

Όλες οι πολιτικές ξεκινούν σε Report-only. Σε αυτή την κατάσταση το Conditional Access αξιολογεί την πολιτική σε κάθε σύνδεση και γράφει στα sign-in logs τι θα έκανε, χωρίς να το κάνει. Έτσι βλέπεις ποιος θα μπλοκαριζόταν πριν συμβεί.

Τα κύματα βάζουν πρώτα ό,τι δεν αγγίζει την καθημερινή δουλειά των χρηστών: τους διαχειριστές, το legacy authentication και το device code flow. Ακολουθεί το MFA για όλους και οι επισκέπτες, μετά οι συσκευές, που θέλουν έτοιμο Intune, και στο τέλος τα προχωρημένα. Κάθε κύμα γυρίζει σε On αφού δεις τα αποτελέσματα του προηγούμενου.

Οι λογαριασμοί έκτακτης ανάγκης

Πριν από οποιαδήποτε πολιτική, φτιάξε δύο λογαριασμούς έκτακτης ανάγκης (break-glass): cloud-only, με Global Administrator, με πολύ μεγάλο κωδικό ή FIDO2 security key, και ειδοποίηση σε κάθε σύνδεσή τους. Βάλ’ τους σε μία ομάδα και εξαίρεσε την ομάδα από κάθε πολιτική. Αν ένα λάθος στο Conditional Access κλειδώσει έξω όλους τους διαχειριστές, είναι ο μόνος τρόπος να μπεις. Αν δώσεις το Object ID της ομάδας στο βήμα 2, το εργαλείο το βάζει μόνο του στο JSON κάθε πολιτικής.

Πώς ανεβάζεις τις πολιτικές

1. Κατέβασε το .zip από το εργαλείο. Έχει ένα αρχείο JSON ανά πολιτική και ένα αρχείο με οδηγίες.
2. Στο Microsoft Entra admin center πήγαινε Entra ID > Conditional Access > Policies.
3. Πάτα Upload policy file, διάλεξε ένα αρχείο JSON και πάτα Create. Επανάλαβε για κάθε αρχείο.
4. Όλες οι πολιτικές ανεβαίνουν σε Report-only. Άνοιξε κάθε μία και έλεγξε τις εξαιρέσεις.

Αν προτιμάς, φτιάχνεις κάθε πολιτική από το template της Microsoft (Create new policy from templates) και τη συγκρίνεις με τις ρυθμίσεις που δείχνει το εργαλείο. Το όνομα κάθε template είναι δίπλα στην πολιτική.

Πώς ελέγχεις το Report-only

Το KQL κάθε πολιτικής τρέχει στο Microsoft Defender portal > Investigation & response > Hunting > Advanced hunting και διαβάζει τον πίνακα EntraIdSignInEvents. Δείχνει ποιοι χρήστες, από ποιες εφαρμογές και πλατφόρμες, θα μπλοκάρονταν (reportOnlyFailure) ή θα τους ζητούνταν κάτι επιπλέον (reportOnlyInterrupted) τις τελευταίες επτά ημέρες. Ο πίνακας γεμίζει μόνο με Microsoft Entra ID P2. Με P1 βλέπεις τα ίδια στα Sign-in logs, στην καρτέλα Report-only κάθε σύνδεσης, και στο Policy impact κάθε πολιτικής.

Για περισσότερα queries πάνω στις συνδέσεις, όπως password spraying και συνδέσεις από το εξωτερικό, δες τη Βιβλιοθήκη KQL.

Τι τεκμηριώνει για τον έλεγχο

Η ΚΥΑ 1689/2025 ζητά στο άρθρο 13 ισχυρές μεθόδους αυθεντικοποίησης και MFA ανάλογα με την κρισιμότητα (13.στ, 13.ζ), και περιορισμό των προνομιούχων λογαριασμών (13.δ). Στο άρθρο 14 ζητά επιβολή ασφαλούς παραμετροποίησης, και στο άρθρο 19 αποτροπή σύνδεσης μη εξουσιοδοτημένων συσκευών (19.δ). Το Conditional Access είναι ο μηχανισμός που τα επιβάλλει στο Microsoft 365. Το ίδιο ισχύει για το άρθρο 21.2.ι της Οδηγίας NIS2, τους ελέγχους A.8.5 και A.8.2 του ISO/IEC 27001 και το άρθρο 32.1.β του GDPR. Το εργαλείο δείχνει για κάθε πολιτική ποια απαίτηση υλοποιεί, και ανά πλαίσιο ποιες πολιτικές καλύπτουν κάθε απαίτηση.

Ο ελεγκτής θα ζητήσει τρία πράγματα: την πολιτική ελέγχου πρόσβασης ως έγγραφο, εγκεκριμένη από τη διοίκηση, τις πολιτικές Conditional Access όπως είναι στο tenant, και απόδειξη ότι εφαρμόζονται, δηλαδή τα sign-in logs. Το .xlsx κρατά τις ημερομηνίες Report-only και On κάθε πολιτικής, ώστε να φαίνεται πότε επιβλήθηκε κάθε μέτρο. Για το έγγραφο της πολιτικής ελέγχου πρόσβασης, δες το Μητρώο υποχρεωτικών πολιτικών.

Οι πολιτικές και το MITRE ATT&CK

Κάθε πολιτική κλείνει μια συγκεκριμένη τεχνική επίθεσης. Το MFA για όλους και το μπλοκάρισμα του legacy authentication απαντούν στο T1110.003 Brute Force: Password Spraying και στο T1078.004 Valid Accounts: Cloud Accounts. Το μπλοκάρισμα του device code flow απαντά στο T1528 Steal Application Access Token μέσω T1566.002 Phishing: Spearphishing Link. Οι πολιτικές για τις μη διαχειριζόμενες συσκευές και το compliant network περιορίζουν το T1539 Steal Web Session Cookie και το T1550.004 Use Alternate Authentication Material: Web Session Cookie, που είναι ο στόχος ενός AiTM phishing. Το MFA για επισκέπτες απαντά στο T1199 Trusted Relationship. Όλες μαζί υλοποιούν το mitigation M1032 Multi-factor Authentication, και οι πολιτικές των διαχειριστών το M1026 Privileged Account Management.

Τι δεν καλύπτει το εργαλείο

• Τις υπάρχουσες πολιτικές σου. Το εργαλείο δεν συνδέεται στο tenant σου. Αν έχεις ήδη πολιτικές, σύγκρινε πριν ανεβάσεις, ώστε να μη διπλασιάσεις ή να μη συγκρούσεις κάποια. Όταν ισχύουν δύο πολιτικές σε μια σύνδεση, πρέπει να ικανοποιηθούν και οι δύο, και ένα Block υπερισχύει πάντα.
• Τα security defaults. Αν είναι ενεργά, πρέπει να τα απενεργοποιήσεις για να ενεργοποιήσεις πολιτικές Conditional Access. Κάν’ το αφού οι πολιτικές του πρώτου κύματος είναι έτοιμες σε Report-only.
• Το Intune. Οι πολιτικές συσκευών θέλουν compliance και app protection policies στο Intune. Το εργαλείο δεν τις φτιάχνει.
• Τοποθεσίες και χώρες. Ένα μπλοκάρισμα ανά χώρα εξαρτάται από το πού ταξιδεύουν και δουλεύουν οι χρήστες σου. Η Microsoft δεν το έχει στο Secure foundation και δεν το προσθέτει ούτε το εργαλείο.
• Τη νομική κρίση. Το εργαλείο είναι βοήθημα και δεν αποτελεί ελεγκτική γνώμη ούτε νομική συμβουλή.

Πηγές και επαλήθευση

Οι πολιτικές βασίζονται στα templates και στις οδηγίες της Microsoft. Το thecybersec.gr είναι προσωπικό blog και δεν εκπροσωπεί τη Microsoft ή την Εθνική Αρχή Κυβερνοασφάλειας.

🛠️ Δεν ξέρεις αν έχεις P2; Δες Ποια άδεια Microsoft 365 χρειάζομαι για όσα περιλαμβάνει κάθε πακέτο.