Раскрываем хаос: как найти Shadow IT в Microsoft 365

By Mirko Peters · 2026-08-11

Добро пожаловать обратно в подкаст и в наш продолжающийся разбор того, как обеспечивать безопасность, управляемость и максимальную производительность ваших сред. Если вы управляете Micr…

Automatically translated with AI from the original post. Read the English original

Titelbild: Uncovering the Chaos: How to Find Shadow IT in Microsoft 365

Добро пожаловать обратно в подкаст и в наше продолжающееся глубокое погружение в то, как сделать ваши среды безопасными, управляемыми и работающими на полную мощность. Если вы управляете клиентом Microsoft 365, вы уже знаете, что абсолютный контроль — движущаяся цель. Какими бы жёсткими ни были ваши базовые линии безопасности, пользователи найдут способы закрыть пробелы, оптимизировать свою повседневную работу и подключить сторонние инструменты. Эта находчивость пользователей повышает продуктивность, но одновременно создаёт серьёзный источник риска: Shadow IT. Чтобы глубже разобрать эту тему и послушать живое обсуждение того, как справиться с беспорядком внутри вашего клиента, обязательно послушайте наш связанный выпуск: Detect Shadow IT in Microsoft 365.

В этой сопутствующей статье мы развиваем тему подкаста. Мы покажем комплексную стратегию поиска неизвестных приложений, рискованных разрешений OAuth и неуправляемых коннекторов, которые скрываются на виду. Используя встроенные инструменты Microsoft, вы сможете перейти от реактивной паники к проактивному управлению, не парализуя при этом продуктивность организации.

Как выглядит хаос

Прежде чем решать проблему, нужно понять, что именно вы ищете. Shadow IT в Microsoft 365 редко выглядит как злоумышленник, взламывающий парадную дверь. Чаще это выглядит как удобство: отдел маркетинга запускает быструю автоматизацию или руководитель выдаёт широкие разрешения новому модному приложению для календаря.

Типичные проявления хаоса в клиенте:

Неожиданные боты Teams и коннекторы Power Automate, привязанные к личным сервисам.
Чрезмерно открытые ссылки SharePoint (доступ «любому пользователю») и неизвестные внешние гости, которые остаются в системе długo после завершения проекта.
Широкие области действия OAuth, например приложения, которым предоставлено разрешение «Read all mailboxes» (читать все почтовые ящики), одобренные добросовестными сотрудниками, которые просто хотели, чтобы инструмент синхронизации календаря заработал.
Бесхозные приложения, принадлежащие бывшим сотрудникам, которые по-прежнему тихо синхронизируют конфиденциальные данные организации.

Охота: встроенные инструменты, которые выявляют Shadow IT

Вам не нужно покупать дорогие сторонние пакеты, чтобы получить видимость своего клиента. Microsoft предоставляет мощный набор встроенных средств диагностики и безопасности, которые, скорее всего, уже входят в ваш уровень лицензирования. Ключ в том, чтобы знать, где искать и что запрашивать.

Shadow IT discovery в Microsoft Defender for Cloud Apps (MCAS): анализируйте шаблоны трафика, оценки рисков приложений и тенденции использования в вашей сети.
Журналы входа и аудита Entra ID (Azure AD): выясните, кто и когда дал согласие на приложение, откуда это было сделано и на какие конкретные области действия.
Enterprise Apps > Permissions: составьте перечень приложений с согласием администратора и с согласием пользователя, которые сейчас активны в вашем клиенте.
Центр администрирования Power Platform: обнаруживайте неуправляемые коннекторы Power Automate и несанкционированные автоматизированные потоки.
Отчёты SharePoint/OneDrive: выявляйте анонимные ссылки и очаги внешнего общего доступа до того, как они превратятся в утечки данных.

Совет от практика: начните расследование с приложений, которые запрашивают разрешения на уровне всего клиента, такие как Mail.Read, Files.Read.All, Sites.Read.All и offline_access, а также с приложений, установленных внешними гостями.

Проводим черту (не ломая рабочие процессы)

Как только вы увидите масштаб проблемы, первым порывом может быть переключить каждый выключатель в положение «Block» и полностью заблокировать клиент. Сдержите этот порыв. Если построить слишком высокую стену, пользователи просто найдут обходные пути, и проблема Shadow IT уйдёт ещё глубже в подполье. Вместо этого нужно провести разумные операционные границы.

App Consent Policies: по умолчанию блокируйте согласие пользователей, но разрешайте исключения для проверенных издателей с низкоуровневыми областями действия. Запросы с более высоким риском направляйте напрямую в рабочий процесс согласования ИТ через ServiceNow или Power Automate.
Conditional Access for Apps: требуйте многофакторную аутентификацию, соответствующие требованиям устройства и доверенные местоположения для любого рискованного доступа приложений. Блокируйте устаревшие или не поддерживаемые типы клиентов, при этом корректно исключая комнаты для собраний и сервисные учётные записи.
Управление Power Platform: внедрите политики предотвращения потери данных (DLP), чтобы строго разделить коннекторы для бизнеса и не для бизнеса. Включите потоки с учётом решений и ограничьте создание пользовательских коннекторов.
Ограничения для внешнего совместного доступа: по умолчанию устанавливайте ссылки общего доступа на «людей в вашей организации», требуйте обязательных сроков истечения для гостевых ссылок и применяйте строгую модель спонсорства для внешних гостей.

Недельный спринт устранения рисков (практическое руководство)

Наведение порядка в клиенте не обязательно должно быть многолетним ИT-проектом. Вы можете значительно снизить риски всего за пять-семь дней, если будете следовать структурированному поэтапному спринту по устранению рисков.

День 1–2: обнаружение

Выгрузите отчёт MCAS о теневых ИТ и экспорт разрешений приложений Entra ID.
Отметьте все приложения с согласием администратора, области действия на уровне клиента и приложения, принадлежащие гостям.

День 3: сдерживание

Отключите пользовательское согласие (или строго ограничьте его проверенными издателями с областями действия низкого риска).
Создайте политики условного доступа для каждого приложения, требующие MFA и совместимые устройства для рискованных областей действия.

День 4: очистка

Отзовите неиспользуемые или бесхозные приложения. Свяжитесь с исходными владельцами критически важных потоков и при необходимости переведите их на сервисные учётные записи.
Ужесточите параметры по умолчанию для внешнего общего доступа SharePoint и сроки действия ссылок.

День 5: управление

Внедрите автоматизированный рабочий процесс запросов и утверждения для новых приложений.
Опубликуйте каталог разрешённых приложений вместе с понятной формой «запросить исключение».

День 6–7: мониторинг и коммуникация

Включите оповещения о аномалиях для новых высокорисковых согласий и необычного поведения при входе.
Разошлите сотрудникам понятное руководство «Как запросить приложение», где чётко перечислены заблокированные действия и одобренные альтернативы.

Шаблоны политик (быстрый старт)

Чтобы ускорить настройку, вот два шаблона политик для быстрого старта, которые можно внедрить в вашей среде Microsoft 365 уже сегодня.

Политика согласия для приложений:
- Разрешить: проверенный издатель и области действия из строгого базового списка (только openid, profile, email и offline_access).
- Требовать одобрения: любые запросы на Mail.Read*, Files.Read*, Sites.Read*, Chat.Read*, Calendars.ReadWrite или Directory.Read.All.
- Запретить без исключений: Mail.ReadWrite, Files.ReadWrite.All и full_access_as_app.
Условный доступ (для каждого приложения):
- Назначьте облачные приложения, включающие рискованные приложения OAuth.
- Предоставляйте доступ только при наличии MFA и совместимого устройства; полностью блокируйте доступ при входах с высоким риском или из неизвестных стран.

KPI, которые подтверждают эффективность

Службы безопасности любят метрики, но руководству нужны доказательства того, что усилия окупаются. Используйте эти ключевые показатели эффективности, чтобы отслеживать прогресс и демонстрировать реальное снижение рисков:

Соотношение обнаруженных теневых приложений к согласованным или заблокированным (цель: более 80% устранены в течение 30 дней).
Новые приложения с пользовательским согласием в месяц (цель: близко к нулю, все новые приложения проходят через официальный рабочий процесс).
Выданные области действия высокого риска (цель: абсолютно ноль).
Ссылки внешнего общего доступа с режимом «все пользователи» (цель: снижение на 90% в течение 60 дней).
Инциденты безопасности, напрямую связанные со сторонними приложениями (цель: снижение на 40% квартал к кварталу).

График проверок (поддерживаем порядок)

Выявление и устранение теневых ИТ — не разовый проект, а постоянная практика гигиены. Настройте регулярный график проверок, чтобы клиент не скатился обратно к хаосу.

Ежемесячно: проверяйте новые согласия, ищите области действия высокого риска, аудируйте бесхозных владельцев и проверяйте установки гостевых приложений.
Ежеквартально: проверяйте отклонения в политиках DLP, аудируйте среды Power Platform и изучайте отчёты о внешнем общем доступе.
После организационных изменений: своевременно переназначайте владельцев приложений и заново проверяйте назначение и области действия приложений, когда сотрудники уходят или меняют роли.

Карта быстрого устранения неполадок

Когда что-то ломается или срабатывает оповещение безопасности, нужны быстрые ответы. Держите эту карту под рукой для службы поддержки и команд сетевых операций безопасности:

«Откуда взялось это приложение?» Проверьте Entra ID > Корпоративные приложения > Журналы аудита на события ConsentGranted.
«Почему внезапно утекла почта?» Проверьте области действия приложений для Mail.* и изучите журналы аудита на события MailItemsAccessed.
«Подключил ли внешний гость непроверенный инструмент?» Отфильтруйте корпоративные приложения по владельцу «Равно Guest», отзовите приложение и настройте путь запроса через спонсора.
«Обращается ли поток Power Automate к личным сервисам?» Ищите нарушения политик DLP, которые перехватывают коннекторы категории Non-Business; переведите их на одобренные бизнес-альтернативы.

Управление изменениями, которое пользователи не отвергают

Успех программы управления теневыми ИТ практически полностью зависит от того, как её воспринимают пользователи. Если вы будете действовать как «полиция безопасности», принятие упадёт, а обходные пути вырастут многократно. Вместо этого сосредоточьтесь на поддержке пользователей.

Опубликуйте доступный каталог приложений с перечнем одобренных инструментов и границами их работы с данными.
Предлагайте безопасные поддерживаемые альтернативы до того, как блокировать популярные пользовательские приложения.
Держите руководство по запросам простым: одной страницы с перечнем нужных сведений и ожидаемым SLA достаточно, чтобы многое изменить.
Публично отмечайте успехи в рамках одобренных решений, например замену рискованного коннектора теневых ИТ на безопасный официально поддерживаемый бизнес-процесс.

Главное для руководства

Когда вы будете доносить эти стратегии до своей команды или представлять их руководству, держите в центре внимания четыре ключевых вывода:

Теневые ИТ полностью неизбежны, а неуправляемый организационный риск — полностью необязателен.
Большую часть обнаружения и контроля (около 80%) можно обеспечить встроенными средствами Microsoft, которые, скорее всего, у вас уже есть.
Рабочие процессы всегда выигрывают у глухих стен: продуманные процессы согласования сохраняют высокую продуктивность и одновременно снижают риски.
Отслеживайте несколько значимых KPI, чтобы наглядно показывать руководству снижение рисков от квартала к кварталу.

Спасибо, что дочитали и слушали подкаст. Не забудьте посмотреть полный выпуск Detect Shadow IT in Microsoft 365, где эти тактики разобраны ещё глубже. Оставайтесь в безопасности, держите свои клиенты в порядке, и до встречи в следующем выпуске!