Ihr Sicherheitsteam muss Folgendes tun: Datenexfiltration aus sanktionierten SaaS-Anwendungen (Salesforce und Box) auf nicht verwalteten Geräten mit Echtzeit-Sitzungssteuerungen verhindern; Shadow IT aus Netzwerk- und Endpunktsignalen erkennen; und riskante OAuth-Anwendungen in Microsoft 365 überwachen/beheben, die übermäßige Berechtigungen anfordern. Was sollten Sie implementieren?

Die Aktivierung von Conditional Access App Control mit Sitzungsrichtlinien in Microsoft Defender for Cloud Apps ist die korrekte Lösung, um Datenexfiltration aus sanktionierten SaaS-Anwendungen auf nicht verwalteten Geräten zu verhindern, da es Echtzeit-Sitzungssteuerungen bietet. Die Integration von Cloud Discovery mit Microsoft Defender for Endpoint (und/oder Netzwerkprotokollen) ermöglicht die Erkennung von Shadow IT. Das App Governance Add-on ist speziell dafür konzipiert, riskante OAuth-Anwendungen in Microsoft 365 zu überwachen und zu beheben. Azure AD Application Proxy ist für die Veröffentlichung interner Anwendungen gedacht, nicht für die Sitzungssteuerung von SaaS-Apps. Endpoint DLP-Richtlinien allein reichen nicht aus, um Shadow IT zu erkennen oder Sitzungssteuerungen für SaaS-Anwendungen zu implementieren. API-Konnektoren bieten keine Echtzeit-Sitzungssteuerung. Intune App Protection Policies sind für mobile Anwendungen gedacht und decken den browserbasierten Zugriff auf SaaS-Anwendungen auf nicht verwalteten Geräten nicht umfassend ab.