Microsoft daje adminom przycisk bez cofania. Kliknąłeś? No to gratulacje

Microsoft wprowadza do Entra ID nietypową funkcję bezpieczeństwa. Pozwala ona zabezpieczyć ważne konta przed natychmiastowym, nieodwracalnym usunięciem. Najciekawszy jest jednak pewien szczegół: po aktywowaniu ochrony nie będzie można jej wyłączyć. Nawet administrator z odpowiednimi uprawnieniami pozostanie bezradny.

Nowe rozwiązanie nosi nazwę Hard Deletion Protection i jest już dostępne w publicznej wersji zapoznawczej. Microsoft chce w ten sposób ograniczyć szkody wynikające z błędów administratorów oraz celowych działań cyberprzestępców.

Microsoft daje firmom siedem dni na ratowanie kont

Microsoft Entra ID, wcześniej znany jako Azure Active Directory, odpowiada za zarządzanie tożsamością i dostępem do zasobów organizacji. Usunięcie ważnego konta może mieć poważne konsekwencje dla funkcjonowania przedsiębiorstwa.

Standardowo skasowane konto pozostaje możliwe do odzyskania przez 30 dni. Mechanizm ten nazywany jest miękkim usunięciem (soft delete). Administratorzy mogą jednak pominąć okres oczekiwania i trwale pozbyć się obiektu.

Nowa funkcja blokuje tę możliwość przez pierwszych siedem dni od usunięcia chronionego konta. Organizacja zyskuje dodatkowy czas na wykrycie incydentu i przywrócenie danych, zanim ich odzyskanie stanie się niemożliwe.

Zabezpieczenie może okazać się szczególnie przydatne podczas ataków, w których cyberprzestępcy przejmują konta z wysokimi uprawnieniami i próbują utrudnić przywrócenie infrastruktury informatycznej.

Administrator włączy ochronę, ale już jej nie wyłączy

Microsoft zdecydował się na wyjątkowo restrykcyjne podejście. Aktywacja Hard Deletion Protection jest nieodwracalna dla danego obiektu. Ochrona pozostaje aktywna nawet po przywróceniu wcześniej usuniętego konta.

Nie przewidziano również specjalnego wyjątku dla administratorów. Jeśli ktoś przez pomyłkę zabezpieczy niewłaściwy obiekt, musi zaakceptować konsekwencje swojej decyzji. Jego trwałe usunięcie będzie możliwe dopiero po upływie tygodnia od miękkiego usunięcia. Brak możliwości dezaktywacji nie jest przypadkowym ograniczeniem. Gdyby administrator mógł natychmiast wyłączyć zabezpieczenie, napastnik dysponujący przejętymi uprawnieniami mógłby zrobić dokładnie to samo.

Microsoft świadomie ogranicza więc swobodę zarządzania kontami na rzecz odporności systemu na nadużycia.

Microsoft ostrzega przed pochopnym włączaniem funkcji

Nowe zabezpieczenie można skonfigurować w sekcji „Kopia zapasowa i odzyskiwanie” centrum administracyjnego Microsoft Entra. Wymagana jest co najmniej rola administratora kopii zapasowych Entra. Podczas jednej operacji można wybrać maksymalnie 20 obiektów danego typu. Przed zapisaniem konfiguracji system wyświetla ostrzeżenie informujące o nieodwracalnym charakterze ochrony. Bezrefleksyjne objęcie nim wszystkich dostępnych obiektów może utrudnić późniejsze prace administracyjne.

Hard Deletion Protection pozostaje obecnie w fazie publicznych testów. Microsoft nie ujawnił jeszcze terminu udostępnienia finalnej wersji funkcji.