SaaS 应用是现代企业的重要组成部分，它们可以提高工作效率、降低成本、促进协作和创新。然而，SaaS 应用也带来了一些安全挑战，例如：
- 影子 IT 的存在，可能导致未经授权或不受监控的应用访问和存储敏感数据。
- 数据丢失或泄露的风险，可能由于应用之间的不安全交互、用户的误操作、恶意攻击或合规违规而发生。
- 高级攻击的威胁，可能利用应用的漏洞、权限或信号来窃取或破坏数据。
在Microsoft企业应用安全服务中，有一款非常出色的安全服务产品，App Governance，它是一种安全和策略管理功能，用于监控和管理使用OAuth协议的应用程序，这些应用程序可以通过Microsoft Graph API访问Microsoft 365的数据。企业使用App Governance的原因和优势有以下几点：
- 提高数据安全性：App Governance可以帮助企业发现和阻止恶意或风险较高的应用程序，防止它们访问或泄露敏感数据，例如邮件、文档、日历等。
- 提高合规性：App Governance可以帮助企业制定和执行符合组织安全和合规姿态的应用程序行为策略，例如限制应用程序的权限范围、用户范围、数据范围等。
- 提高可见性和洞察力：App Governance可以帮助企业获取更深入的可见性和洞察力，了解访问Microsoft 365数据的应用程序的配置和行为，以及它们对数据、用户和其他应用程序的影响。
- 提高效率和便利性：App Governance是基于云的，无需部署额外的基础设施或服务，可以快速地在客户环境中部署。App Governance还可以与其他Microsoft服务共享数据，例如Azure Active Directory和Microsoft 365 Defender，以便跳转查看更多细节。
App Governance可以为企业带来更高的数据安全性、合规性、可见性和效率，是一种值得使用的功能。
App Governance是在Microsoft Defender for Cloud Apps中使用，在2023年6月份以前，它属于额外购买且单独付费的产品。好消息是，在今年的4月份微软宣布将作为Defender for Cloud Apps中的一部分，从6月份开始如果您是Microsoft Defender for Cloud Apps (独立)、企业移动性 & 安全性 E5/A5、Microsoft 365 安全 E5/A5/F5、Microsoft 365 E5/A5/F5、Microsoft Purview E5/A5/F5、Microsoft 365 F5 安全 & 合规性用户都可以直接使用该服务。
| Microsoft has announced that its App Governance add-on will soon be a part of the Microsoft Defender for Cloud Apps service. Starting on June 1, the feature will be available for all customers with an E5 Security/Microsoft 365 E5 or any other subscription at no additional cost. |
| “Because we are seeing a continued rise in app-based attacks, we believe this is a foundational capability for customers. That’s why today, we are excited to announce that going forward the App Governance add-on will be included in Defender for Cloud Apps at no additional cost. On June 1, 2023, new and existing customers will be able to start the opt-in process to begin using these capabilities,” Microsoft explained. |
要启用App Governance功能，你需要满足以下先决条件：
- 你必须拥有有效的 Defender for Cloud Apps 许可证，它可以作为独立产品或各种许可证包的一部分存在于你的帐户中。如果你还不是 Defender for Cloud Apps 客户，你可以
注册免费试用版。
- 你必须具有相应的角色之一才能启用App Governance并对其进行访问，比如全局管理员、安全管理员、合规性管理员等。
- 你的企业的帐单邮寄地址必须位于巴西、韩国、瑞士、挪威、南非或阿拉伯联合酋长国以外的区域。
- 你的企业必须使用商业云（即Microsoft运营的云数据中心），而不是政府云。App Governance在政府云中尚不可用。
如果你的公司满足先决条件，请转到”Microsoft 365 Defender“>设置”>“云应用应用”>治理”，然后选择使用”App Governance“。
等待长达 10 小时，直到你可以查看和使用App Governance功能。如果你在设置页面中看不到App Governance选项，可能是由于以下原因之一：
- 你的区域尚不支持App Governance。
- 你的组织位于政府云中。
- 由于容量限制，目前无法为你提供服务。
如果出现这种情况，你可以和微软发出申请并加入候补名单，以便在App Governance可供你使用时自动为你的组织启用App Governance。
启用App Governance后，最佳起点是仪表板。它概述了组织的已连接应用、权限级别和使用模式。仪表板标识已连接应用、高风险应用和特权过高的应用数。它还提供有关数据使用情况和访问的敏感标签的信息。通过”最新事件”部分，可以轻松且可操作地识别其环境中的最新威胁检测和基于策略的警报。
应用列表显示环境中向 Azure Active Directory 注册的 OAuth 应用的概述，以及它们的注册数据、权限级别和使用情况数据，以及丰富的应用见解，例如发布者名称和认证状态。
App Governance将提供有关异常行为、用户数、传输的数据量、应用访问的敏感度标签、权限和最新活动的见解。从所有应用中，选择一个应用以查看见解。
具体来看，如何借助App Governance保护你的 SaaS 应用呢？本文将详细介绍Defender for Cloud Apps 的App Governance功能，以帮助你实现以下目标：
- 发现并评估你的 SaaS 应用的风险和合规性。
- 保护你的 SaaS 应用中的数据和资源。
- 控制你的 SaaS 应用之间的交互方式。
- 使用你的 SaaS 应用中的信号抵御高级攻击。
要保护你的 SaaS 应用，首先你需要了解你使用了哪些应用，以及它们有多安全。Defender for Cloud Apps 可以帮助你发现并评估你的 SaaS 应用环境，提供以下功能：
- 自动检测并识别组织中使用的 SaaS 应用和服务，包括影子 IT 和 OAuth 代理应用。
- 为每个 SaaS 应用分配一个风险评分，基于多个维度，如安全性、合规性、法律性等。
- 提供每个 SaaS 应用的详细信息和建议，例如应用类型、类别、供应商、流量、用户数、权限范围等。
- 允许你创建并执行基于风险评分或其他条件的策略，以控制应用的可见性和可访问性。
要使用这些功能，请转到Microsoft 365 Defender 的“发现“页面，并查看“应用“和“OAuth 应用“选项卡。你可以在这里查看并管理你的 SaaS 应用清单，并根据需要创建策略。
要保护你的 SaaS 应用中的数据和资源，你需要确保它们不会被错误地访问、共享或传输。Defender for Cloud Apps 可以帮助你保护你的 SaaS 应用中的数据和资源，提供以下功能：
- 对静态、使用中和传输中的敏感信息进行分类和保护，基于预定义或自定义的敏感信息类型。
- 允许你创建并执行基于数据分类或其他条件的策略，以防止数据丢失或泄露，例如阻止下载、共享、剪切、复制、粘贴等操作。
- 使员工能够安全地访问和查看应用中的文件，通过使用加密、水印、PIN 码等技术。
- 提供每个 SaaS 应用中的数据和活动的详细信息和报告，例如文件清单、文件所有者、文件共享、文件下载、文件删除等。
要使用这些功能，请转到Microsoft 365 Defender的“云应用“页面，并查看“文件“和“策略“选项卡。你可以在这里查看并管理你的 SaaS 应用中的文件和策略，并根据需要创建新的策略。
要控制你的 SaaS 应用之间的交互方式，你需要了解并管理它们之间的 OAuth 权限，以防止潜在的应用到应用攻击。Defender for Cloud Apps 可以帮助你控制你的 SaaS 应用之间的交互方式，提供以下功能：
- 深入了解代表另一个应用程序访问敏感数据的特权、权限和应用，基于 Azure Active Directory 上注册的已启用 OAuth 的应用。
- 允许你创建并执行基于风险评分、信任级别、权限范围等条件的规则，以允许、阻止或限制 OAuth 权限。
- 检测并响应异常或可疑的 OAuth 活动，例如不寻常的客户端、服务提供商、位置、设备等。
要使用这些功能，请转到Microsoft 365 Defender 的“App Governance”页面，并查看“应用“和“策略“选项卡。你可以在这里查看并管理你的 SaaS 应用之间的 OAuth 权限和策略，并根据需要创建新的策略。
要使用你的 SaaS 应用中的信号抵御高级攻击，你需要利用 Defender for Cloud Apps 与 Microsoft 365 Defender 的集成，将 SaaS 应用中的数据和活动与其他域（如设备、身份、电子邮件等）中的数据和活动进行关联和分析。Defender for Cloud Apps 可以帮助你使用你的 SaaS 应用中的信号抵御高级攻击，提供以下功能：
- 将 SaaS 应用中的信号与其他域中的信号进行关联，以发现潜在的攻击链和根本原因。
- 在 Microsoft 365 Defender 的高级搜寻中使用 SaaS 应用中的信号，以进行跨域查询和调查。
- 基于 SaaS 应用中的信号触发或执行自动化响应操作，例如隔离设备、重置密码、撤销 OAuth 权限等。
要使用这些功能，请确保你已经启用了 Microsoft 365 Defender，并且已经将 Defender for Cloud Apps 连接到 Microsoft 365 Defender。如果您是新购买用户，默认情况下已经直接进行数据交互。
在本文中，我简单快速介绍了如何使用 Defender for Cloud Apps 的App Governance功能来保护你的 SaaS 应用，对于希望保护其 SaaS 应用程序并保持强大安全态势的企业来说，App Governance是必不可少的工具。凭借其易于部署、预定义策略和全面的仪表板，它使您能够检测和修复恶意 OAuth 应用程序
通过提供可见性、见解和自动修正功能，App Governance可确保您领先于潜在威胁并维护安全的环境。
希望你能从本文中受益，并尝试使用这个功能来提升你的 SaaS 应用的安全性和合规性。如果你有任何问题或反馈，请随时联系我。谢谢！
‘