Κάθε εβδομάδα διαβάζω, γράφω ή σχολιάζω κάτι καινούργιο στο Microsoft security ecosystem. Ένα νέο session control στο Conditional Access, ένα feature που πέρασε σε GA, ένα capability που μόλις μπήκε σε Public Preview. Το κάνω με ευχαρίστηση, είναι κομμάτι της δουλειάς μου ως CISO και το λόγο που κρατάω αυτό το blog. Πριν από λίγες μέρες όμως, σε μια συζήτηση με έναν junior μηχανικό που μόλις μπήκε στην ομάδα, μου έκανε μια ερώτηση που με έβαλε σε σκέψεις: «Καλά, το Entra είναι μέσα στο Azure ή είναι ξεχωριστό προϊόν; Και το M365 πού κολλάει σε όλο αυτό;»
Σταμάτησα. Και συνειδητοποίησα ότι έχω γράψει άρθρα για Tenant Governance, για Token Protection, για MCP Firewall στο Global Secure Access, αλλά ποτέ δεν έγραψα το άρθρο που θα έπρεπε λογικά να προηγείται όλων αυτών: τι είναι, στην πραγματικότητα, το καθένα από αυτά τα κομμάτια, και πώς δένουν μεταξύ τους. Δεν είναι ερώτηση μόνο για juniors. Έχω δει πολύ έμπειρους IT professionals να μπερδεύουν το Entra ID με «το Active Directory στο cloud» και τίποτα παραπάνω, ή να θεωρούν το Microsoft 365 «μέρος του Azure» επειδή και τα δύο ξεκινούν από Microsoft account. Ας το ξεκαθαρίσουμε μια φορά, σωστά.
Από τον διακομιστή στην αρχιτεκτονική cloud
Για να καταλάβουμε γιατί υπάρχει αυτή η σύγχυση, χρειάζεται μια μικρή αναδρομή. Ο παλιός μας κόσμος βασιζόταν σε φυσικά σύνορα: ένα datacenter, ένα firewall στην είσοδο, ένα τοπικό δίκτυο που θεωρούσαμε «έμπιστο» επειδή απλά βρισκόταν μέσα στο κτίριο. Η ασφάλεια ήταν συνώνυμο της περιμετρικής άμυνας, και η διαχείριση γινόταν εργαλείο-εργαλείο, ξεχωριστά και αποσπασματικά.
📷 Εικόνα 1: Το παλιό μοντέλο perimeter security απέναντι στο σύγχρονο cloud, όπου η ταυτότητα γίνεται το νέο firewall.
Στο σύγχρονο cloud, τα φυσικά σύνορα ουσιαστικά καταργούνται. Οι χρήστες δουλεύουν από παντού, σε οποιαδήποτε συσκευή, μέσα από οποιοδήποτε δίκτυο. Αυτό που παίρνει τη θέση του firewall δεν είναι πια ένα κουτί στην είσοδο του κτιρίου, είναι η ταυτότητα του χρήστη και της συσκευής. Και αυτή η μετατόπιση, από «προστάτεψε το κτίριο» σε «προστάτεψε την ταυτότητα», είναι ακριβώς το σημείο όπου μπερδεύονται οι ρόλοι του Azure και του Entra, γιατί πολύς κόσμος συνεχίζει να σκέφτεται με όρους παλιάς υποδομής ενώ η αρχιτεκτονική έχει αλλάξει ριζικά από κάτω.
Το ψηφιακό κτίριο: μια αναλογία που δουλεύει
Το πιο εύκολο τρόπο που έχω βρει να εξηγήσω αυτή τη σχέση, τόσο σε juniors όσο και σε senior στελέχη σε ένα board meeting, είναι μέσα από την αναλογία ενός σύγχρονου ψηφιακού κτιρίου.
📷 Εικόνα 2: Azure το οικόπεδο και το θεμέλιο, Entra η πύλη και ο έλεγχος, M365 ο χώρος εργασίας, Defender η ομάδα ασφαλείας.
Σκεφτείτε το έτσι:
- Azure είναι το οικόπεδο και το θεμέλιο. Η υποδομή, το δίκτυο, η επεξεργαστική ισχύς πάνω στην οποία χτίζεται οτιδήποτε άλλο.
- Entra είναι η πύλη εισόδου και ο φύλακας στο ισόγειο. Το σημείο όπου ελέγχεται ποιος μπαίνει, με ποια διαπιστευτήρια, και ποιες πόρτες μέσα στο κτίριο έχει δικαίωμα να ανοίξει.
- Microsoft 365 είναι τα γραφεία, οι αίθουσες συναντήσεων, οι χώροι συνεργασίας. Εκεί μέσα γίνεται η πραγματική δουλειά.
- Defender είναι η ομάδα ασφαλείας του κτιρίου. Οι κάμερες, οι φύλακες περιπολίας, η ομάδα άμεσης επέμβασης αν κάτι πάει στραβά.
Η αναλογία δεν είναι τέλεια, καμία αναλογία δεν είναι, αλλά λύνει αμέσως το βασικό μπέρδεμα: αυτά δεν είναι τέσσερα ανταγωνιστικά ή αλληλοεπικαλυπτόμενα προϊόντα. Είναι τέσσερα διαφορετικά επίπεδα ενός ενιαίου κτιρίου, και το καθένα έχει δουλειά που τα άλλα δεν κάνουν.
Τι είναι πραγματικά το Microsoft Azure
Ας ξεκινήσουμε από τη βάση. Το Azure είναι η cloud computing πλατφόρμα της Microsoft: υπολογιστική ισχύς, αποθήκευση, δίκτυο, AI infrastructure. Είναι η «γη και τα τούβλα» πάνω στα οποία χτίζονται εφαρμογές, βάσεις δεδομένων, ολόκληρα συστήματα.
📷 Εικόνα 3: Παγκόσμια κλίμακα, υπολογιστική ισχύς και enterprise εμπιστοσύνη πάνω στην υποδομή του Azure.
Δεν χρειάζεται να αποστηθίσουμε αριθμούς datacenter για να καταλάβουμε τη λογική. Αυτό που έχει σημασία είναι το εξής: το Azure είναι το επίπεδο υποδομής. Και σε αυτό το επίπεδο, η Microsoft προσφέρει τρία διαφορετικά μοντέλα παροχής υπηρεσιών, με διαφορετική κατανομή ευθύνης ανάμεσα στον πελάτη και τη Microsoft.
📷 Εικόνα 4: IaaS, PaaS και SaaS: πού σταματάει η ευθύνη του πελάτη και πού ξεκινάει αυτή της Microsoft.
Σε IaaS (Infrastructure as a Service), όπως μια εικονική μηχανή στο Azure, ο πελάτης ελέγχει το λειτουργικό σύστημα και τις εφαρμογές, η Microsoft το φυσικό υλικό και το δίκτυο. Σε PaaS (Platform as a Service), όπως μια Azure SQL Database ή ένα App Service, ο πελάτης εστιάζει μόνο στον κώδικα και τα δεδομένα του. Σε SaaS (Software as a Service), όπου ανήκει και το Microsoft 365 όπως θα δούμε παρακάτω, ο πελάτης ελέγχει ουσιαστικά μόνο την πρόσβαση και τα δεδομένα, όλα τα υπόλοιπα τα διαχειρίζεται η Microsoft. Αυτή η κατανομή ευθύνης δεν είναι ακαδημαϊκή λεπτομέρεια, είναι κάτι που θα σας ζητήσει να τεκμηριώσετε ο κάθε auditor που θα δει ένα shared responsibility μοντέλο σε ένα ISO 27001 ή NIS2 πλαίσιο.
Τι είναι πραγματικά το Microsoft Entra
Αν το Azure είναι το «πού», το Entra είναι το «ποιος». Το Microsoft Entra δεν είναι απλά «το Active Directory στο cloud», είναι η ολοκληρωμένη οικογένεια προϊόντων ταυτότητας και πρόσβασης της Microsoft, χτισμένη γύρω από τις αρχές του Zero Trust.
📷 Εικόνα 5: Οι τρεις αρχές του Zero Trust όπως εφαρμόζονται μέσα από το Entra: Verify Explicitly, Least Privilege, Assume Breach.
Τρεις αρχές διέπουν όλη τη λογική:
- Επαλήθευση με κάθε βήμα (Verify Explicitly): δεν εμπιστευόμαστε κανέναν χρήστη ή συσκευή από προεπιλογή, ακόμα και αν «βρίσκεται» μέσα στο εταιρικό δίκτυο.
- Ελάχιστα προνόμια (Least Privilege): παρέχουμε ακριβώς τα δικαιώματα που χρειάζονται, μόνο για όσο χρόνο απαιτείται.
- Υπόθεση παραβίασης (Assume Breach): σχεδιάζουμε την άμυνα με το σκεπτικό ότι η παραβίαση είναι ήδη γεγονός, με segmentation και κρυπτογράφηση δεδομένων.
Και το Entra ID, που είναι το πιο γνωστό κομμάτι αυτής της οικογένειας, είναι πολύ περισσότερο από ένα απλό directory.
📷 Εικόνα 6: Το Entra ID ως κεντρικός κατάλογος, αλλά με governance, protection και secure access ενσωματωμένα.
Γύρω από τον κεντρικό κατάλογο ταυτοτήτων βρίσκουμε το Entra ID Governance (ποιος έχει πρόσβαση, πού και για πόσο, με αυτοματοποίηση κύκλου ζωής), το Entra ID Protection (εντοπισμός ρίσκου σε πραγματικό χρόνο μέσω AI, π.χ. leaked credentials ή risky sign-ins), το Verified ID (αποκεντρωμένη ταυτοποίηση χωρίς συγκεντρωτική αποθήκευση προσωπικών δεδομένων), και το Private & Internet Access (ασφαλής πρόσβαση σε εσωτερικές εφαρμογές και στο internet μέσω Secure Service Edge). Το Entra δεν «ζει μέσα» στο Azure ως ένα ακόμα resource. Είναι το επίπεδο ταυτότητας που ελέγχει την πρόσβαση σε όλα τα υπόλοιπα επίπεδα, Azure resources, M365 workloads, ακόμα και εφαρμογές τρίτων.
Η κρίσιμη σύνδεση: πού κάθεται το Microsoft 365
Εδώ φτάνουμε στο σημείο που μπερδεύει τους περισσότερους, γιατί πολλοί χρήστες γνωρίζουν το Microsoft 365 (πρώην Office 365) πολύ καλύτερα από όσο γνωρίζουν το Azure ή το Entra, αφού είναι αυτό που ανοίγουν κάθε πρωί.
📷 Εικόνα 7: Το Microsoft 365 δεν έχει δικό του σύστημα κωδικών, η αποκλειστική πύλη εισόδου είναι το Entra ID.
Το Microsoft 365 είναι η σουίτα παραγωγικότητας και συνεργασίας, Word, Outlook, Teams, SharePoint και τα υπόλοιπα, και είναι στην ουσία του ένα SaaS προϊόν χτισμένο πάνω στην υποδομή του Azure. Αυτό όμως που έχει πραγματική σημασία είναι η κρίσιμη σύνδεση: το Microsoft 365 δεν έχει δικό του, ανεξάρτητο σύστημα κωδικών. Δεν λειτουργεί ως αυτόνομος Identity Provider. Η αποκλειστική πύλη εισόδου του είναι το Entra ID. Χωρίς μια ταυτότητα καταχωρημένη και επαληθευμένη στο Entra ID, δεν υπάρχει καμία πρόσβαση στο M365, ανεξάρτητα από το πόσο ισχυρό password θα έβαζε κάποιος σε ένα υποθετικό δικό του σύστημα.
Αυτό σημαίνει πρακτικά ότι κάθε πολιτική ασφαλείας που φτιάχνετε στο Entra, Conditional Access, MFA requirements, session controls, ισχύει αυτόματα και για το M365, γιατί το M365 περνάει πάντα μέσα από την ίδια πύλη. Δεν φτιάχνετε ξεχωριστά «πολιτικές Outlook» και «πολιτικές Teams». Φτιάχνετε πολιτικές ταυτότητας στο Entra, και αυτές ισχύουν παντού όπου το Entra είναι η πύλη, που είναι, ουσιαστικά, παντού.
Πού μπαίνει το Defender στην εξίσωση
Αν το Azure είναι το θεμέλιο, το Entra η πύλη και το M365 ο χώρος εργασίας, το Defender είναι η ομάδα ασφαλείας που παρακολουθεί ολόκληρο το κτίριο, όχι μόνο μια πόρτα.
📷 Εικόνα 8: Extended Detection and Response: το Defender συλλέγει σήματα από ολόκληρο το ψηφιακό οικοσύστημα, όχι μόνο από ένα antivirus.
Το Defender δεν είναι απλά antivirus, είναι Extended Detection and Response (XDR): συλλέγει σήματα από ολόκληρο το ψηφιακό οικοσύστημα, τα συνθέτει σε πλήρη περιστατικά αντί για μεμονωμένα alerts, και διαθέτει δυνατότητες αυτόματης αντίδρασης όπως το Attack Disruption. Και επειδή είναι ένα ομπρέλα προϊόν, χωρίζεται σε συγκεκριμένα workloads ανάλογα με το τι προστατεύει το καθένα.
📷 Εικόνα 9: Τέσσερα διαφορετικά workloads του Defender, το καθένα με το δικό του πεδίο προστασίας.
Το Defender for Endpoint προστατεύει συσκευές, laptops, servers, mobile. Το Defender for Office 365 προστατεύει το M365, phishing emails, κακόβουλα αρχεία σε Teams ή SharePoint. Το Defender for Identity προστατεύει το on-premise Active Directory, εντοπίζοντας κινήσεις hacking στο τοπικό ή υβριδικό δίκτυο. Και το Defender for Cloud προστατεύει Azure και multicloud workloads, τις υποδομές IaaS και PaaS που είδαμε παραπάνω. Παρατηρήστε κάτι σημαντικό: το Defender δεν αντικαθιστά ούτε το Azure, ούτε το Entra, ούτε το M365. Επικάθεται πάνω τους, παρακολουθώντας τι συμβαίνει σε κάθε επίπεδο ταυτόχρονα.
Η μεγάλη εικόνα: πού, ποιος, τι, πώς
Αν χρειαστεί να το εξηγήσετε σε τριάντα δευτερόλεπτα σε κάποιον, αυτό είναι το slide που θα χρησιμοποιούσα.
📷 Εικόνα 10: Azure το «πού», Entra το «ποιος», M365 το «τι», Defender το «πώς».
- Azure = Το «Πού». Η υποδομή, ο ψηφιακός χώρος που φιλοξενεί και τρέχει τα συστήματα.
- Entra = Το «Ποιος». Η ταυτότητα και η πρόσβαση, ποιος είσαι, από πού μπαίνεις, τι δικαιώματα έχεις.
- M365 = Το «Τι». Η παραγωγικότητα, τι κάνεις, πού εργάζεσαι και πώς συνεργάζεσαι.
- Defender = Το «Πώς». Η ασφάλεια, πώς αποτρέπουμε, εντοπίζουμε και αντιδράμε στις απειλές.
Τέσσερα ερωτήματα, τέσσερα διαφορετικά προϊόντα, ένα ενιαίο οικοσύστημα. Και το βέλος που διατρέχει και τα τέσσερα δεν είναι διακοσμητικό, είναι η ουσία: η ροή πληροφορίας ανάμεσά τους είναι αυτή που κάνει τη διαφορά ανάμεσα σε τέσσερα ξεχωριστά εργαλεία και σε μια πραγματική αρχιτεκτονική ασφαλείας.
Δύο σενάρια που δείχνουν γιατί έχει σημασία
Η θεωρία είναι χρήσιμη, αλλά η αξία φαίνεται στην πράξη. Ας δούμε δύο απλά σενάρια.
Σενάριο 1: Ένα απλό αίτημα πρόσβασης.
📷 Εικόνα 11: Πώς ένα απλό sign-in στο Office 365 περνάει πάντα μέσα από το Entra πριν φτάσει στα δεδομένα.
Ένας χρήστης προσπαθεί να ανοίξει το Office 365 από άγνωστο Wi-Fi, εκτός γραφείου. Το M365 δεν αποφασίζει μόνο του, προωθεί το αίτημα στο Entra ID. Εκεί, το Conditional Access αξιολογεί το σήμα, τοποθεσία, κατάσταση συσκευής, ρίσκο χρήστη, και επειδή κάτι δεν ταιριάζει με τα συνηθισμένα, απαιτεί MFA. Ο χρήστης εγκρίνει την ειδοποίηση στο κινητό, και μόνο τότε η πύλη του M365 ανοίγει με ασφάλεια. Πέντε βήματα, ένα ενιαίο ταξίδι, δύο προϊόντα που συνεργάζονται χωρίς να το βλέπει καν ο χρήστης.
Σενάριο 2: Αυτόματη διακοπή επίθεσης.
📷 Εικόνα 12: Πώς το Defender και το Entra συνεργάζονται αυτόματα, χωρίς ανθρώπινη παρέμβαση, για να σταματήσουν μια επίθεση σε εξέλιξη.
Το Defender for Endpoint εντοπίζει διεργασία ransomware σε laptop ενός χρήστη. Στέλνει άμεσα σήμα κρίσιμου «User Risk» στο Entra ID. Το Entra ID αντιδρά αυτόματα, ανακαλώντας τα session tokens του χρήστη, το γνωστό Attack Disruption, χωρίς να χρειαστεί κανείς να πατήσει κουμπί. Ο hacker χάνει ακαριαία την πρόσβαση στο M365 και στο Azure. Η εξάπλωση σταματά πριν προλάβει να γίνει incident μεγάλης κλίμακας.
Και τα δύο σενάρια δείχνουν το ίδιο πράγμα: η αξία δεν βρίσκεται σε κάθε προϊόν μεμονωμένα, βρίσκεται στην ταχύτητα και την ποιότητα της επικοινωνίας μεταξύ τους.
Το mindset που πρέπει να έχει κάθε σύγχρονος μηχανικός
📷 Εικόνα 13: Τρεις αρχές που αλλάζουν τον τρόπο που βλέπουμε το Microsoft ecosystem.
Αν κρατήσετε κάτι από όλο αυτό, ας είναι τα εξής τρία:
Μην βλέπετε μεμονωμένα προϊόντα, δείτε λύσεις. Azure, Entra, M365 και Defender είναι σχεδιασμένα να λειτουργούν σαν ένας ζωντανός οργανισμός, όχι σαν τέσσερα ασύνδετα εργαλεία που τυχαίνει να ανήκουν στην ίδια εταιρεία.
Identity is King. Στο σύγχρονο τοπίο, κάθε έλεγχος ασφαλείας και κάθε αρχιτεκτονική απόφαση ξεκινάει από την ταυτότητα. Αν δεν καταλάβετε καλά το Entra, δεν θα καταλάβετε ποτέ πλήρως ούτε το Azure ούτε το M365, γιατί όλα περνάνε από εκεί.
Επενδύστε στην αυτοματοποίηση. Η ταχύτητα επικοινωνίας μεταξύ Defender και Entra, όπως είδαμε στο σενάριο 2, κάνει τη διαφορά ανάμεσα σε ένα απλό alert που κλείνει σε λεπτά και μια εταιρική καταστροφή που μαθαίνουμε τα ξημερώματα.
Η οπτική NIS2 και ISO 27001
Ως CISO, αυτό το θεμέλιο δεν είναι μόνο τεχνική γνώση, είναι προϋπόθεση για σωστή τεκμηρίωση.
Ακρίβεια στο asset inventory και στην αρχιτεκτονική τεκμηρίωση. Το ISO 27001, ιδιαίτερα η λογική πίσω από τα A.5 και A.8 controls, απαιτεί σαφή κατανόηση του πού βρίσκεται κάθε asset και ποιος διαχειρίζεται τι. Αν στο risk register σας το Azure, το Entra και το M365 εμφανίζονται ως ένα αδιαφοροποίητο «Microsoft cloud», δεν έχετε πραγματικό inventory, έχετε μια ετικέτα. Η κατανομή ευθύνης IaaS/PaaS/SaaS που είδαμε παραπάνω είναι ακριβώς το επίπεδο λεπτομέρειας που θα σας ζητήσει ένας auditor.
Τεκμηρίωση shared responsibility για NIS2. Ένα από τα πιο συχνά κενά που βλέπω σε risk assessments είναι η σύγχυση ανάμεσα σε «τι διαχειρίζεται η Microsoft» και «τι διαχειρίζομαι εγώ ως οργανισμός». Στο πλαίσιο ενός NIS2 risk-based προγράμματος, η σαφής κατανόηση ότι το Entra είναι το ενιαίο σημείο ελέγχου πρόσβασης για όλα τα SaaS workloads, συμπεριλαμβανομένου του M365, σας επιτρέπει να τεκμηριώσετε σωστά πού εφαρμόζονται τα technical measures κατά μη εξουσιοδοτημένης πρόσβασης, αντί να τα περιγράφετε γενικόλογα ανά εργαλείο.
Θεμέλιο για κάθε μελλοντικό audit trail. Κάθε άρθρο που έχω γράψει μέχρι σήμερα για συγκεκριμένα features, Tenant Governance, Token Protection, MCP Firewall, προϋποθέτει ότι ο αναγνώστης καταλαβαίνει αυτή τη βασική αρχιτεκτονική. Χωρίς αυτό το θεμέλιο, ένα compliance dashboard δείχνει «πράσινο» χωρίς κανείς να καταλαβαίνει πραγματικά τι μετράει.
Το συμπέρασμα
Δεν είναι τυχαίο που αυτό το άρθρο δεν έχει την τυπική δομή «τι νέο ανακοίνωσε η Microsoft». Είναι κάτι πιο βασικό, και ακριβώς γι’ αυτό πιο σημαντικό. Έχουμε περάσει μήνες μιλώντας για το επόμενο feature, το επόμενο GA, το επόμενο Preview, χωρίς να σταθούμε ποτέ αρκετά στο θεμέλιο πάνω στο οποίο χτίζονται όλα αυτά. Αν κάποιος νέος συνάδελφος, ή ακόμα και ένα στέλεχος με χρόνια εμπειρίας σε παρόμοιο περιβάλλον, σας ρωτήσει «τι είναι το Azure και τι είναι το Entra», ελπίζω αυτό το άρθρο να είναι το σημείο αναφοράς που θα του δώσετε.
Το επόμενο άρθρο θα επιστρέψει στη συνηθισμένη ροή, νέα features, GA ανακοινώσεις, τεχνικές λεπτομέρειες. Αλλά ήθελα πρώτα να βάλω αυτό το θεμέλιο δημόσια, γραπτά, ώστε να μπορώ να παραπέμπω σε αυτό όποτε χρειαστεί, και ελπίζω να κάνει το ίδιο και για εσάς.
Αν βλέπετε τη σχέση Azure/Entra/M365/Defender διαφορετικά, ή αν έχετε μια δική σας αναλογία που δουλεύει καλύτερα σε παρουσιάσεις, χαίρομαι πάντα να το συζητήσουμε στα σχόλια ή στο LinkedIn.
