איך מאתרים ומבקרים דיירי Shadow IT ב-Microsoft Entra ID

By Mirko Peters · 2026-10-25

למדו כיצד לאתר ולבקר דיירי Shadow IT נשכחים ב-Microsoft Entra ID באמצעות אותות גילוי אוטומטיים ואסטרטגיות ממשל רב-דיירי.

Automatically translated with AI from the original post. Read the English original

גלו כיצד לזהות, לעקוב ולאבטח דיירי Shadow IT נשכחים של Microsoft Entra, שהארגון שלכם יצר בשוגג. מדריך זה בוחן את אותות הגילוי האוטומטיים, את ניתוח הדיירים הקשורים ואת שלבי הממשל הנדרשים כדי למפות סביבות ענן לא מנוהלות ולהעביר אותן לשליטה מרכזית.

עיקרי הדברים

• ארגונים צוברים לא פעם מספר דיירי Microsoft Entra באמצעות מיזוגים, חברות בנות, סביבות בדיקה ו-Shadow IT מחלקתי.
• דיירים לא מנוהלים הפועלים מחוץ לפיקוח מרכז ה-IT יוצרים נקודות עיוורון קריטיות באבטחה וסיכוני ציות.
• Microsoft Entra משתמש בפעילות business-to-business, ברישומי אפליקציות רב-דיירי ובחשבונות חיוב משותפים כדי לחשוף דיירים קשורים באופן אוטומטי.
• הקמת מערכות יחסי ממשל רשמיות מאפשרת לארגוני אם לאבטח דיירים נפרדים, מבלי לכפות העברות מורכבות מיידיות.
• ניטור תצורה מבטיח שסביבת הרב-דיירי שלכם תשמור על קווי בסיס אבטחה בכלל יותר מ-200 סוגי משאבים.

הסיכון הנסתר של דיירי Shadow IT

בכמעט כל הקמה גדולה של Microsoft 365 מסתתר סיכון שכמעט לא נדון בבדיקות אבטחה רגילות. ארגונים נוטים להניח שטביעת הרגל שלהם בענן מוגבלת בצורה מסודרת לספרייה אחת. במציאות, ארגונים מוצאים את עצמם, כמעט בשקט, כבעלים של כמה דיירי Microsoft Entra מבלי שתכננו זאת מראש. כאשר מחלקות, עובדים בודדים או צוותי פרויקט חיצוניים מקימים פיילוט מהיר, הדגמת מוצר או סביבת בדיקה באמצעות כרטיס אשראי של החברה, נולד דייר חדש לגמרי.

Microsoft מסווגת סביבות מבודדות אלה כדיירי Shadow IT מכיוון שמרכז ה-IT אינו מנהל אותן ולעיתים קרובות אינו יודע כלל על קיומן. בזמן שצוותי אבטחה מוציאים מיליונים להגנה על הכניסה הראשית מפני תוקפים חיצוניים, סיסמאות שנגנבו וקמפייני פישינג מתוחכמים, פתח צדדי עלול להישאר פתוח לרווחה דרך דייר בדיקה שנשכח ונוצר לפני שנתיים. תוקף אינו צריך לפרוץ הגנות מנוטרות היטב כאשר דייר Shadow לא מעודכן ולא מנוטר פועל ברקע ללא כל פיקוח ניהולי.

הסכנה אינה תיאורטית בלבד. דייר שאיש אינו מנהל עלול בנקל להיות מוגדר באופן שגוי, ולחשוף נתונים רגישים של החברה לגורמים בלתי מורשים. מכיוון שסביבות אלה נמצאות מחוץ לתהליכי ההקצאה והביקורת הרגילים, הן לעולם לא יופיעו בסקירות הגישה הרבעוניות שלכם. כאשר מבקר חיצוני שואל מי יכול לגשת לקבוצה מסוימת של קבצים ארגוניים, משיכת כתפיים לא תספק את דרישות הרגולציה. ניתן לאבטח רק מה שניתן לראות, וכרגע, רשימת הנכסים שלכם כנראה אינה שלמה.

כיצד Microsoft Entra חושף דיירים נשכחים

למרבה המזל, Microsoft מספקת מנגנונים מובנים לאיתור הסביבות הנסתרות הללו, באמצעות ניתוח אותות החיבור שהמערכת האקולוגית שלכם יצרה לאורך כל הזמן. יכולת זו נשענת על גילוי דיירים קשורים, במקום לאלץ מנהלים לערוך ידנית רשימה בלתי אפשרית של כל נכס דיגיטלי שנרשם אי פעם על ידי עובדים.

אותות פעילות Business-to-Business

האות הראשון המשמש לאיתור דיירים הוא פעילות בין-ארגונית (B2B). Microsoft Entra סורק ללא הרף כניסות של אורחים, רישומי אורחים חיצוניים ותהליכי גישה מנהלתיים שנעים הלוך ושוב בין הספרייה הראשית שלכם לבין סביבות חיצוניות. אם משתמשים בארגון שלכם משתפים פעולה באופן פעיל עם דייר לא מוכר, החיבור הזה נרשם כקשר מדיד.

רישומי יישומים מרובי-דיירים

ארכיטקטורות ענן מודרניות נשענות במידה רבה על יישומים החוצים גבולות ארגוניים. אות הגילוי השני עוקב אחר רישומי יישומים מרובי-דיירים. הוא כולל יישומים מותאמים אישית או מסחריים שנרשמו בדייר הראשי שלכם ומתחברים לספריות חיצוניות, וכן יישומי צד שלישי מדיירים חיצוניים שמחזיקים בהרשאות פעילות ובאסימוני API בתוך הסביבה שלכם. הגשרים התוכנתיים האלה משאירים שובל ביקורת ברור.

חשבונות חיוב משותפים

אולי מקור הגילוי המפתיע ביותר הוא החיוב. שני דיירים נפרדים של Microsoft Entra יכולים להיות מחוברים מבחינה מבנית רק בשל חשבון חיוב Azure משותף או מבנה הסכם ארגוני משותף. אף אחד לא צריך לשלוח הזמנה, ואף משתמש לא צריך להתחבר ידנית מעבר לגבולות. אם דייר לא מנוהל משלם על שירותי Azure דרך פרופיל החיוב הארגוני שלכם, או להפך, החיבור נראה מיד למסגרת הממשל.

הכנסת דיירים לא מנוהלים לממשל מרכזי

לאחר שהגילוי מציג רשימה של דיירים קשורים, על מנהלי המערכת להחליט אילו סביבות לשמור, אילו לפרוש, וכיצד לנהל את אלה שנשארו. במקום לעבור פרויקט הגירה משבש של מספר שנים, ארגונים יכולים לבסס קשר ממשל רשמי.

קשר ממשל הוא קישור כיווני שבו דייר הורה מנהל, ודייר הבן מנוהל. חשוב לציין שמדובר במיזוג טכני לא מלא; הדייר המנוהל שומר על המשתמשים, הנתונים ועומסי העבודה המקומיים שלו. ההקמה כוללת לחיצת יד מאובטחת בת שלושה שלבים:

• הדייר שצריך להיות מנוהל שולח הזמנה מנהלתית לדייר ההורה.
• דייר ההורה משיב בבקשה הכוללת תבנית מדיניות ספציפית המפרטת את ההרשאות המנהליות המותרות.
• דייר הבן בוחן ומקבל את תבנית המדיניות, וקישור הניהול המאובטח נכנס לתוקף.

מבנה זה מאפשר למנהלי IT לנהל סביבות מרובות ממסך מרכזי אחד, באמצעות חשבונות בדייר המנהל. הוא מבטל את הסיוט האבטחתי של תחזוקת אישורי מנהל נפרדים ולא מחוברים בין עשרות פורטלי דיירים בודדים.

ניטור ואבטחת מערכת האקולוגיה מרובת הדיירים שלכם

קשרי גילוי וממשל הם רק ההתחלה. כדי לוודא ש-Shadow IT לא יחלחל בחזרה לארגון, עליכם ליישם ניטור תצורה פעיל ובקרות יצירה מאובטחות.

ניטור תצורה מאפשר למנהלים להגדיר קו בסיס של הגדרות צפויות וליצור תמונת מצב רציפה של סביבת הענן בפועל. צג אוטומטי משווה ביניהם כל שש שעות, על פני יותר מ-200 סוגי משאבים שנעים בין Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview ו-Microsoft Defender. אם מתרחשת סטייה, צוותי האבטחה מקבלים התראה מיידית.

בנוסף, בקרות יצירת דיירים מאובטחות מאפשרות לארגונים להגביל מי רשאי בכלל להקים דייר חדש של Microsoft Entra. כל דייר חדש שאושר יכול להיקשר אוטומטית לקשר ממשל ברגע היווצרותו, כך שאף סביבת ענן חדשה לא תתחיל את מחזור חייה ללא ממשל.

סיכום

דיירי Shadow IT לא מנוהלים מהווים איום שקט על האבטחה הארגונית, על פרטיות הנתונים ועל מצב הציות. על ידי מינוף אותות הגילוי המובנים של Microsoft Entra, הקמת קשרי ממשל רשמיים ואכיפת ניטור תצורה רציף, מנהיגי IT יוכלו סוף סוף לקבל שליטה מלאה על טביעת הרגל העננית המפוזרת של הארגון. כדי להעמיק בנושא ולשמוע תובנות מומחים על ניהול ענן מודרני, הקפידו להאזין לפרק המלא של פודקאסט M365 FM.

שאלות נפוצות

מהו דייר Shadow IT ב-Microsoft Entra?

טננט Shadow IT הוא סביבה לא מנוהלת של Microsoft Entra, שנוצרה על ידי עובדים, מחלקות או צוותי פרויקט ללא ידיעתה או פיקוחה של מחלקת ה-IT המרכזית. סביבות אלה מריצות לעיתים קרובות עומסי עבודה לבדיקות, פיילוטים או הדגמות, מחוץ לבסיסי האבטחה הארגוניים.

כיצד Microsoft Entra מאתר דיירים לא מוכרים?

Microsoft Entra מאתר דיירים קשורים על ידי ניתוח אותות חיבור קיימים, ובהם פעילות של אורחים מסוג business-to-business, הרשאות של יישומים רב-דיירים, וחשבונות חיוב משותפים או הסכמים ארגוניים משותפים.

האם קשר ניהולי דורש מעבר מלא של טננט?

לא. קשר ניהולי מקים קישור ניהולי מאובטח וחד-כיווני בין דייר הורה לדייר צאצא, מבלי לדרוש העברה של משתמשים, תיבות דואר או נתונים לספרייה אחת.

באיזו תדירות ניטור תצורה בודק את הגדרות הדייר?

ניטור תצורה משווה באופן אוטומטי את סביבת הענן בפועל מול מדיניות הבסיס שהגדרתם, כל שש שעות, על פני מאות סוגי משאבים.