Microsoft 365 / Entra ID
Conditional Access, MFA, Privileged Identity Management, DLP, Defender, SharePoint/OneDrive sharing, legacy protocols.
M365 · AWS · Azure · GCP · CIS Benchmarks v3.0
Ζητήστε baseline →
Cloud security · CIS Benchmarks · M365 · AWS · Azure
Ασφάλεια cloud: λάθος ρύθμιση, όχι εξωτικό exploit.
Σχεδόν κάθε cloud παραβίαση ξεκινά από κάτι που θα έπρεπε να είναι κλειστό. Ένα bucket, ένας ρόλος, ένας conditional access που λείπει. Ελέγχουμε το σύνολο των ρυθμίσεων κατά CIS Benchmark — όχι μόνο ό,τι βγάζει το Secure Score. Και κλείνουμε πρώτα ό,τι έχει νόημα να κλείσει πρώτα.
Οι περισσότερες παραβιάσεις στο cloud ξεκινούν από λάθος ρύθμιση, όχι από εξωτικό exploit. Η KodeX GRC ελέγχει Microsoft 365, AWS, Azure και GCP κατά τα CIS Benchmarks, παραδίδει quick wins εντός 48 ωρών και πλήρη αναφορά με αποκατάσταση σε 3–4 εβδομάδες.
Τι καλύπτει
Έξι κατηγορίες ελέγχου. Δεν κάνουμε «cloud security» γενικά — ελέγχουμε συγκεκριμένες ρυθμίσεις με συγκεκριμένα τεκμήρια, αντιστοιχισμένες σε CIS Benchmarks.
Amazon Web Services
IAM policies, S3, CloudTrail, GuardDuty, Security Hub, VPC networking, KMS, Organizations, SCPs.
Microsoft Azure
Entra ID, RBAC, Key Vault, NSGs, Defender for Cloud, Azure Policy, logging, subscription governance.
Ταυτότητα & πρόσβαση
Federation, SSO, privileged roles, service accounts, break-glass accounts, credential lifetimes.
Δεδομένα & κρυπτογράφηση
Κατηγοριοποίηση, κρυπτογράφηση σε ανάπαυση και κίνηση, διαχείριση κλειδιών, εξωτερικός διαμοιρασμός.
Καταγραφή & ανίχνευση
Τι logs, πόσο κρατούνται, ποιος τα βλέπει, alerting rules, SIEM integration, retention policy.
Σε ποιους απευθύνεται
Απευθύνεται σε οργανισμούς που έχουν μεταφερθεί στο cloud — ή είναι σε μετάβαση — και δεν έχουν ελέγξει αν οι ρυθμίσεις ασφάλειας ανταποκρίνονται στην πραγματική έκθεση.
Ο κανόνας: αν δεν έχετε ελέγξει τις ρυθμίσεις cloud από την ημέρα που τις ενεργοποιήσατε, υπάρχουν αποκλίσεις από το baseline. Δεν είναι θέμα ικανότητας της ομάδας σας — είναι θέμα κλίμακας. Το M365 έχει πάνω από 3.000 ρυθμίσεις ασφάλειας. Το AWS ακόμη περισσότερες.
Το Secure Score της Microsoft είναι χρήσιμο σημείο εκκίνησης αλλά όχι επαρκές. Καλύπτει το 60% των CIS ελέγχων, με διαφορετικό βάθος, και δεν εξετάζει καθόλου ρυθμίσεις εκτός του tenant σας.
M365-heavy οργανισμοί — email, SharePoint, Teams, OneDrive
AWS ή Azure με workload σε παραγωγή
Migration σε εξέλιξη — πριν ανοίξει το παραγωγικό περιβάλλον
Hybrid με σύνδεση on-prem και cloud, με Entra Connect
Όσοι πέρασαν επιθεώρηση με εύρημα σε A.8 cloud ελέγχους ή σε NIS2 Art. 21.2.e
Πώς δουλεύουμε
Τέσσερις φάσεις. Το scoping περιλαμβάνει read-only πρόσβαση σε όλα τα tenants και subscriptions — χωρίς αυτό, ο έλεγχος είναι επιφανειακός.
Discovery
Τι έχετε και τι είναι εκτεθειμένο
Καταγραφή tenants, subscriptions, ρόλων, service principals, εκτεθειμένων πόρων. Χαρτογράφηση του πραγματικού αποτυπώματος — όχι ό,τι λέει το CMDB.
3 ημέρεςΈλεγχος κατά CIS
Όχι μόνο Secure Score
Έλεγχος κάθε ελέγχου CIS Benchmark ανά πλατφόρμα. Gap analysis με ιδιοκτήτες, αιτιολόγηση, και επίπεδο έκθεσης ανά εύρημα.
1–2 εβδομάδεςΠροτεραιοποίηση
Τι να κλείσει πρώτα
Κατά έκθεση και ευκολία. Διαχωρισμός quick wins (48 ώρες) από δομικά (4 εβδομάδες). Κάθε εύρημα έχει συγκεκριμένη ενέργεια.
2 ημέρεςΥποστήριξη διόρθωσης
Όχι απλώς αναφορά
Καθόμαστε μαζί σας και διορθώνουμε, ή σας δίνουμε βήματα βήμα-βήμα — όπως θέλετε. Σε κάθε περίπτωση, δεν παραδίδουμε PDF και φεύγουμε.
ΠροαιρετικόΜοντέλο κοινής ευθύνης
Πού σταματά η ευθύνη του παρόχου και πού αρχίζει η δική σας. Είναι το πιο συχνά παρεξηγημένο σημείο στο cloud — και το σημείο όπου κρύβονται οι περισσότερες παραβιάσεις.
Επίπεδο
SaaS · M365
PaaS · Azure App Service
IaaS · AWS EC2 / Azure VM
Δεδομένα & ταυτότητεςΚατηγοριοποίηση · Δικαιώματα · MFA
Εσύ
Εσύ
Εσύ
ΕφαρμογήΚώδικας · Διαμόρφωση · Vulnerabilities
Εσύ
Εσύ
Εσύ
Runtime & MiddlewareFrameworks · Containers · Φόρτωση
Πάροχος
Κοινό
Εσύ
Λειτουργικό σύστημαPatching · Hardening · Antivirus
Πάροχος
Πάροχος
Εσύ
ΔίκτυοFirewalls · NSGs · Segmentation
Πάροχος
Κοινό
Κοινό
Φυσική ασφάλειαDatacenters · Hardware · Περίμετρος
Πάροχος
Πάροχος
Πάροχος
Γιατί έχει σημασία: στη SaaS χρησιμοποιείτε το 100% των ελέγχων
ταυτότητας και δεδομένων — αυτό είναι το 80% της έκθεσής σας. Σε IaaS
προσθέτετε και το λειτουργικό σύστημα. Σε κάθε περίπτωση,
ο πάροχος δεν ασφαλίζει τα δεδομένα σας — ασφαλίζει την υποδομή
πάνω στην οποία τα τοποθετείτε.
Δείγμα ευρήματος
Δύο πραγματικά ευρήματα από αναφορά μας — ανωνυμοποιημένα. Το ένα κλείνει σε 48 ώρες, το άλλο θέλει δομική αλλαγή. Και τα δύο έχουν συγκεκριμένη ενέργεια.
- Περιγραφή
- Ο tenant έχει ενεργές πολιτικές Conditional Access που απαιτούν MFA — αλλά το
AllowLegacyAuthείναι ακόμη ενεργό σε επίπεδο tenant και σε 3 mailbox policies. Το legacy authentication δεν υποστηρίζει MFA και παρακάμπτει όλες τις πολιτικές. Αποτέλεσμα: ένα credential stuffing attack με κλεμμένο password πετυχαίνει χωρίς δεύτερο παράγοντα. - Απόδειξη
- Sign-in logs δείχνουν 247 επιτυχείς συνδέσεις μέσω IMAP/POP3 τους τελευταίους 90 μήνες από 14 διαφορετικές IP — καμία με MFA challenge. Οι IP δεν ανήκουν στον οργανισμό.
- Επίπτωση
- Πλήρης παράκαμψη MFA. Οποιοδήποτε κλεμμένο credential — από phishing, credential stuffing, ή διαρροή τρίτου — δίνει άμεση πρόσβαση σε email, SharePoint, Teams. Ενεργοποιεί υποχρέωση αναφοράς κατά GDPR αν έχει συμβεί.
- Διόρθωση
- Quick win · 48h Απενεργοποίηση legacy authentication σε επίπεδο tenant, ενημέρωση των 3 mailbox policies, ενεργοποίηση Authentication Policy στο Entra ID. Έλεγχος για ενεργούς clients που ακόμη χρησιμοποιούν IMAP/POP3 — συνήθως είναι παλιά scanners ή scripts που αντικαθίστανται με modern auth.
- Παραπομπές
- CIS Microsoft 365 v3.1 · 5.2.2 · Microsoft Entra ID · CA-EX-001
- Περιγραφή
- Service principal
sp-deploy-prodέχει Owner role στο production subscription και client secret με λήξη σε 2 χρόνια. Το secret είναι αποθηκευμένο σε Azure DevOps variable group με πρόσβαση σε 14 άτομα. Δεν υπάρχει rotation policy. - Επίπτωση
- Ένα διέρρευσε secret = πλήρης έλεγχος του production subscription. Δεν απαιτείται εκμετάλλευση ευπάθειας — απλή χρήση του secret. Αυτή είναι η πιο συνηθισμένη cloud παραβίαση: identity compromise, όχι software exploit.
- Διόρθωση
- Δομικό · 3 εβδ. Μετάβαση σε workload identity federation (OIDC) αντί για client secret — εξαλείφει το secret τελείως. Αν αυτό δεν είναι εφικτό, ελάχιστο δικαίωμα (Contributor σε resource group, όχι Owner σε subscription), μηνιαίο rotation, Key Vault αντί για DevOps variables, break-glass monitoring σε κάθε χρήση.
- Παραπομπές
- CIS Microsoft Azure Foundations v2.0 · 1.21 · 1.22 · Microsoft Cloud Security Benchmark IM-3
Τι παραδίδεται
Έξι παραδοτέα που καλύπτουν τη διόρθωση, όχι μόνο την αναφορά. Κανένα δεν είναι αρχείο που θα συντάξετε μόνοι σας μετά.
Έκθεση gap analysis κατά CISΚάθε CIS έλεγχος με κατάσταση, επίπεδο έκθεσης, αιτιολόγηση και προτεινόμενη ενέργεια.
Ιεραρχημένη λίστα διορθώσεωνQuick wins (48 ώρες), μεσοπρόθεσμα (2 εβδομάδες), δομικά (4 εβδομάδες) — με εκτίμηση χρόνου και ρίσκου.
Αρχιτεκτονική σύστασηΌπου υπάρχει θεμελιώδες λάθος, όχι μόνο ρύθμιση — π.χ. ένα subscription που πρέπει να διασπαστεί.
Πολιτικές & baselinesΈτοιμες για εφαρμογή σε νέα subscriptions/tenants — ώστε η ίδια έκθεση να μην ξαναεμφανιστεί.
Dashboard παρακολούθησηςΠοια ευρήματα κλείνουν, ποια μένουν ανοιχτά, σε ποιον — με SLA ανά επίπεδο έκθεσης.
Debrief με τεχνική ομάδαΌχι απλώς PDF — εξήγηση, απαντήσεις σε ερωτήσεις, συζήτηση για τις διορθώσεις.
Χρονοδιάγραμμα 3–4 εβδομάδων
Τυπικό έργο για ένα M365 tenant + ένα AWS ή Azure subscription. Πολλαπλά tenants ή μεγαλύτερο footprint προσθέτουν χρόνο ανάλογα.
ΕΒΔ. 01
Discovery
Καταγραφή, read-only πρόσβαση, χαρτογράφηση tenants/subscriptions/ρόλων.
ΕΒΔ. 02–03
Έλεγχος κατά CIS
Κάθε έλεγχος ανά πλατφόρμα, τεκμηρίωση ευρημάτων, εκτίμηση έκθεσης.
ΕΒΔ. 03
Προτεραιοποίηση
Ιεράρχηση, σχέδιο δράσης, διαχωρισμός quick wins από δομικά, debrief.
+2–4 εβδ.
Υποστήριξη
Προαιρετικά — διορθώσεις μαζί σας, επαλήθευση, retest ρυθμίσεων.
Συχνές ερωτήσεις
Οι ερωτήσεις που ακούμε πριν αναλάβουμε έλεγχο ρυθμίσεων cloud.
Έχουμε ήδη Microsoft Secure Score. Χρειάζεται έλεγχος κατά CIS;
Το Secure Score είναι χρήσιμο σημείο εκκίνησης, αλλά δεν καλύπτει τα πάντα. Καλύπτει περίπου το 60% των CIS ελέγχων, με διαφορετικό βάθος, και δεν εξετάζει καθόλου ρυθμίσεις εκτός του tenant (για παράδειγμα, third-party SaaS apps με access σε M365 δεδομένα). Επίσης, το score δεν σας λέει ποια ευρήματα έχουν πραγματική έκθεση — αυτό είναι το triage που κάνουμε εμείς.
Πόση πρόσβαση χρειάζεστε για τον έλεγχο cloud;
Read-only σε επίπεδο tenant/subscription για τον έλεγχο. Στο M365: Global Reader role. Στο AWS/Azure: SecurityAudit ή αντίστοιχο custom role με μόνο read permissions. Αν αναλάβουμε διορθώσεις, συζητάμε ξεχωριστά ρόλο με συγκεκριμένο εύρος — και συνήθως γίνονται από εσάς με οδηγίες μας. Δεν ζητάμε ποτέ κάτι περισσότερο από αυτό που χρειάζεται.
Θα σπάσουμε κάτι αν εφαρμόσουμε τις διορθώσεις;
Όχι αν γίνει με τη σειρά. Τα quick wins είναι ασφαλή — απενεργοποίηση legacy auth, ενεργοποίηση logging, MFA σε privileged accounts. Τα δομικά αλλάζουν συμπεριφορά και θέλουν δοκιμή — γι' αυτό τα ξεχωρίζουμε. Και για κάθε εύρημα δίνουμε συγκεκριμένη ενέργεια και αναμενόμενη επίπτωση, όχι γενική σύσταση.
Καλύπτεται ο έλεγχος cloud από το ISO 27001;
Εν μέρει. Το A.8.1 (υπεύθυνος χρήσης) και A.8.9 (διαμόρφωση) καλύπτουν τον έλεγχο ρυθμίσεων σε επίπεδο αρχής, αλλά στην πράξη οι επιθεωρητές ζητούν συγκεκριμένα τεκμήρια ρυθμίσεων cloud. Η αναφορά CIS είναι το ιδανικό τεκμήριο — δείχνει μέτρηση, απόκλιση, διορθωτική ενέργεια. Αν έχετε ISO 27001, το cloud assessment γεμίζει ένα κενό που συχνά μένει ανοιχτό.
Πόσο κοστίζει ο έλεγχος ρυθμίσεων cloud;
Εξαρτάται από τον αριθμό των tenants/subscriptions και το εύρος (M365 μόνο, ή και AWS/Azure). Τυπικό έργο M365 + ένα cloud subscription είναι σταθερή τιμή μετά το scoping. Μεγαλύτερα αποτυπώματα κοστολογούνται κατά subscription. Δεν δίνουμε τιμή πριν δούμε το πραγματικό footprint — γιατί το «cloud assessment» μπορεί να σημαίνει πέντε ή πενήντα ώρες δουλειάς.
Σχετικές υπηρεσίες
Το cloud assessment σπάνια στέκεται μόνο του. Συνήθως συνδυάζεται με τα παρακάτω, γιατί μοιράζεται ευρήματα, τεκμήρια και τεχνικό επίπεδο.
05 · Pentest
Cloud pentest
Ο έλεγχος διείσδυσης στο cloud εξετάζει τη ρύθμιση από τη σκοπιά του επιτιθέμενου — με απόπειρα εκμετάλλευσης, όχι θεωρία.
06 · VAΣυνεχής παρακολούθηση
Μετά τη διόρθωση, η συνεχής σάρωση διατηρεί την κατάσταση — και η ιεράρχηση κατά εκμεταλλευσιμότητα δίνει προτεραιότητες.
01 · ISO 27001A.8.1 · A.8.9
Τα τεκμήρια ρύθμισης που ζητά ο επιθεωρητής — μέτρηση, απόκλιση, διόρθωση, επαλήθευση.
Ξεκινήστε
Πείτε μας το cloud αποτύπωμά σας.
Σε μία σύντομη κλήση — 10 λεπτά — ορίζουμε μαζί το εύρος, ποια tenants και subscriptions μπαίνουν στον έλεγχο, και το χρονοδιάγραμμα. Παίρνετε baseline έκθεση με quick wins σε 48 ώρες, μετά την ολοκλήρωση του ελέγχου. Χωρίς δέσμευση.
Χωρίς δέσμευση
Εμπιστευτικά
Read-only πρόσβαση