Share via

Portal klasyczny: ochrona aplikacji za pomocą kontroli dostępu warunkowego aplikacji Microsoft Defender dla Chmury

  • Artykuł

Uwaga

Microsoft Defender dla Chmury Apps jest teraz częścią Usługa Microsoft Defender XDR, która koreluje sygnały z całego pakietu Microsoft Defender i zapewnia wykrywanie, badanie i zaawansowane możliwości reagowania na poziomie zdarzeń. Aby uzyskać więcej informacji, zobacz Microsoft Defender dla Chmury Apps in Microsoft Defender XDR (Aplikacje Microsoft Defender dla Chmury w usłudze Microsoft Defender XDR).

W dzisiejszym miejscu pracy często nie wystarczy wiedzieć, co dzieje się w środowisku chmury po fakcie. Chcesz zatrzymać naruszenia i wycieki w czasie rzeczywistym, zanim pracownicy celowo lub przypadkowo narażają dane i organizację na niebezpieczeństwo. Ważne jest, aby umożliwić użytkownikom w organizacji udostępnianie większości usług i narzędzi w aplikacjach w chmurze oraz umożliwienie im pracy własnych urządzeń. Jednocześnie potrzebne są narzędzia ułatwiające ochronę organizacji przed wyciekami danych i kradzieżą danych w czasie rzeczywistym. Microsoft Defender dla Chmury Apps integruje się z dowolnym dostawcą tożsamości (IdP), aby dostarczać te możliwości z mechanizmami kontroli dostępu i sesji. Jeśli używasz identyfikatora Entra firmy Microsoft jako dostawcy tożsamości, te kontrolki są zintegrowane i usprawnione w celu prostszego i bardziej dostosowanego wdrożenia opartego na narzędziu dostępu warunkowego identyfikatora Entra firmy Microsoft.

Uwaga

Jak to działa

Kontrola dostępu warunkowego aplikacji używa architektury zwrotnego serwera proxy i integruje się z dostawcą tożsamości. Podczas integracji z dostępem warunkowym firmy Microsoft Entra można skonfigurować aplikacje do pracy z kontrolą aplikacji dostępu warunkowego za pomocą zaledwie kilku kliknięć, co pozwala na łatwe i selektywne wymuszanie kontroli dostępu i sesji w aplikacjach organizacji na podstawie dowolnego warunku w dostępie warunkowym. Warunki określają, kto (użytkownik lub grupa użytkowników) oraz co (które aplikacje w chmurze) i gdzie (lokalizacje i sieci) są stosowane zasady dostępu warunkowego. Po określeniu warunków można kierować użytkowników do aplikacji Defender dla Chmury, w których można chronić dane za pomocą kontroli dostępu warunkowego aplikacji, stosując kontrolę dostępu i sesji.

Kontrola dostępu warunkowego aplikacji umożliwia monitorowanie i kontrolowanie sesji aplikacji użytkownika w czasie rzeczywistym na podstawie zasad dostępu i sesji. Zasady dostępu i sesji są używane w portalu Defender dla Chmury Apps w celu dalszego uściślinia filtrów i ustawiania akcji do wykonania dla użytkownika. Za pomocą zasad dostępu i sesji można wykonywać następujące czynności:

  • Zapobiegaj eksfiltracji danych: możesz zablokować pobieranie, wycinanie, kopiowanie i drukowanie poufnych dokumentów na urządzeniach niezarządzanych.

  • Wymagaj kontekstu uwierzytelniania: można ponownie walidować zasady dostępu warunkowego firmy Microsoft w przypadku wystąpienia poufnej akcji w sesji. Na przykład wymagaj uwierzytelniania wieloskładnikowego podczas pobierania wysoce poufnego pliku.

  • Ochrona podczas pobierania: zamiast blokowania pobierania poufnych dokumentów można wymagać, aby dokumenty zostały oznaczone etykietą i zaszyfrowane podczas integracji z usługą Microsoft Purview Information Protection. Ta akcja gwarantuje, że dokument jest chroniony, a dostęp użytkowników jest ograniczony w potencjalnie ryzykownej sesji.

  • Zapobiegaj przekazaniu nieoznakowanych plików: przed przekazaniem, rozpowszechnianiem i korzystaniem przez inne osoby poufnego pliku należy upewnić się, że poufny plik ma etykietę zdefiniowaną przez zasady organizacji. Możesz mieć pewność, że nieoznaczone pliki z zawartością wrażliwą nie będą przekazywane, dopóki użytkownik nie klasyfikuje zawartości.

  • Blokuj potencjalne złośliwe oprogramowanie: możesz chronić środowisko przed złośliwym oprogramowaniem, blokując przekazywanie potencjalnie złośliwych plików. Każdy plik przekazany lub pobrany może być skanowany pod kątem analizy zagrożeń firmy Microsoft i blokowany natychmiast.

  • Monitorowanie sesji użytkowników pod kątem zgodności: Ryzykowni użytkownicy są monitorowani podczas logowania się do aplikacji, a ich akcje są rejestrowane z poziomu sesji. Możesz zbadać i przeanalizować zachowanie użytkownika, aby zrozumieć, gdzie i w jakich warunkach zasady sesji powinny być stosowane w przyszłości.

  • Blokuj dostęp: w zależności od kilku czynników ryzyka można szczegółowo zablokować dostęp dla określonych aplikacji i użytkowników. Możesz na przykład zablokować je, jeśli używają certyfikatów klienta jako formy zarządzania urządzeniami.

  • Blokuj działania niestandardowe: niektóre aplikacje mają unikatowe scenariusze, które niosą ze sobą ryzyko, na przykład wysyłanie wiadomości z zawartością wrażliwą w aplikacjach, takich jak Microsoft Teams lub Slack. W takich scenariuszach można skanować komunikaty pod kątem poufnej zawartości i blokować je w czasie rzeczywistym.

Jak działa kontrola sesji

Tworzenie zasad sesji za pomocą kontroli dostępu warunkowego aplikacji umożliwia kontrolowanie sesji użytkowników przez przekierowanie użytkownika za pośrednictwem zwrotnego serwera proxy zamiast bezpośrednio do aplikacji. Od tego momentu żądania użytkowników i odpowiedzi przechodzą przez Defender dla Chmury Aplikacje, a nie bezpośrednio do aplikacji.

Gdy sesja jest chroniona przez serwer proxy, wszystkie odpowiednie adresy URL i pliki cookie są zastępowane przez aplikacje Defender dla Chmury. Jeśli na przykład aplikacja zwraca stronę z linkami, których domeny kończą się ciągiem myapp.com, domena łącza ma sufiks podobny *.mcas.msdo następującego:

Adres URL aplikacji Zamieniono adres URL
myapp.com myapp.com.mcas.ms

Ta metoda nie wymaga zainstalowania niczego na urządzeniu, co czyni go idealnym rozwiązaniem podczas monitorowania lub kontrolowania sesji z niezarządzanych urządzeń lub użytkowników partnerskich.

Uwaga

  • Nasza technologia używa najlepiej opatentowanych heurystyki do identyfikowania i kontrolowania działań wykonywanych przez użytkownika w aplikacji docelowej. Nasze heurystyki zostały zaprojektowane pod kątem optymalizacji i zrównoważenia bezpieczeństwa z użytecznością. W niektórych rzadkich scenariuszach blokowanie działań po stronie serwera powoduje, że aplikacja jest bezużyteczna, zabezpieczamy te działania tylko po stronie klienta, co sprawia, że potencjalnie podatne na wykorzystywanie przez złośliwych testerów.
  • Defender dla Chmury Apps korzysta z centrów danych platformy Azure na całym świecie w celu zapewnienia zoptymalizowanej wydajności za pośrednictwem geolokalizacji. Oznacza to, że sesja użytkownika może być hostowana poza określonym regionem, w zależności od wzorców ruchu i ich lokalizacji. Jednak w celu ochrony prywatności żadne dane sesji nie są przechowywane w tych centrach danych.
  • Nasze serwery proxy nie przechowują danych magazynowanych. Podczas buforowania zawartości przestrzegamy wymagań określonych w dokumentach RFC 7234 (buforowanie HTTP) i buforujemy tylko zawartość publiczną.

Identyfikacja urządzeń zarządzanych

Kontrola dostępu warunkowego aplikacji umożliwia tworzenie zasad uwzględniających to, czy urządzenie jest zarządzane, czy też nie. Aby rozpoznać stan urządzenia, można skonfigurować zasady dostępu i sesji, wykrywające:

  • Urządzenia zgodne z usługą Microsoft Intune [dostępne tylko z usługą Microsoft Entra ID]
  • Urządzenia dołączone hybrydo do usługi Microsoft Entra [dostępne tylko z usługą Microsoft Entra ID]
  • obecność certyfikatów klienta w zaufanym łańcuchu.

Zgodne z usługą Intune i urządzenia dołączone hybrydo do firmy Microsoft Entra

Dostęp warunkowy firmy Microsoft Entra umożliwia przekazywanie informacji o urządzeniu dołączonym hybrydą do usługi Intune w usłudze Microsoft Entra bezpośrednio do aplikacji Defender dla Chmury. Z tego miejsca można utworzyć zasady dostępu lub zasady sesji, które używają stanu urządzenia jako filtru. Aby uzyskać więcej informacji, zobacz Wprowadzenie do zarządzania urządzeniami w usłudze Microsoft Entra ID.

Uwaga

Niektóre przeglądarki mogą wymagać dodatkowej konfiguracji, takiej jak instalowanie rozszerzenia. Aby uzyskać więcej informacji, zobacz Obsługa przeglądarki dostępu warunkowego.

Urządzenia uwierzytelnione za pomocą certyfikatu klienta

Mechanizm identyfikacji urządzenia może żądać uwierzytelniania z odpowiednich urządzeń przy użyciu certyfikatów klienta. Możesz użyć istniejących certyfikatów klienta już wdrożonych w organizacji lub wdrożyć nowe certyfikaty klienta na zarządzanych urządzeniach. Upewnij się, że certyfikat klienta jest zainstalowany w magazynie użytkownika, a nie w magazynie komputerów. Następnie użyjesz obecności tych certyfikatów, aby ustawić zasady dostępu i sesji.

Certyfikaty klienta SSL są weryfikowane za pośrednictwem łańcucha zaufania. Można przekazać certyfikat główny X.509 lub pośredni urząd certyfikacji sformatowany w formacie certyfikatu PEM. Te certyfikaty muszą zawierać klucz publiczny urzędu certyfikacji, który jest następnie używany do podpisywania certyfikatów klienta przedstawionych podczas sesji.

Po przekazaniu certyfikatu i skonfigurowaniu odpowiednich zasad, gdy odpowiednia sesja przechodzi przez kontrolę dostępu warunkowego aplikacji, punkt końcowy Defender dla Chmury Apps żąda przeglądarki przedstawienia certyfikatów klienta SSL. Przeglądarka obsługuje certyfikaty klienta SSL zainstalowane przy użyciu klucza prywatnego. Ta kombinacja certyfikatu i klucza prywatnego odbywa się przy użyciu formatu pliku PKCS #12, zazwyczaj .p12 lub pfx.

Po zakończeniu sprawdzania certyfikatu klienta Defender dla Chmury Apps sprawdza następujące warunki:

  1. Wybrany certyfikat klienta jest prawidłowy i znajduje się w prawidłowym głównym lub pośrednim urzędzie certyfikacji.
  2. Certyfikat nie jest odwołany (jeśli lista CRL jest włączona).

Uwaga

Większość głównych przeglądarek obsługuje sprawdzanie certyfikatu klienta. Jednak aplikacje mobilne i klasyczne często korzystają z wbudowanych przeglądarek, które mogą nie obsługiwać tego sprawdzania i w związku z tym mają wpływ na uwierzytelnianie tych aplikacji.

Aby skonfigurować zasady do wykorzystania zarządzania urządzeniami za pośrednictwem certyfikatów klienta:

  1. Na pasku menu Defender dla Chmury Aplikacje wybierz koła zębatego settings icon. ustawienia i wybierz pozycję Ustawienia.

  2. Wybierz kartę Identyfikacja urządzenia.

  3. Przekaż dowolną liczbę certyfikatów głównych lub pośrednich zgodnie z wymaganiami.

    Napiwek

    Aby przetestować, jak to działa, możesz użyć naszego przykładowego głównego urzędu certyfikacji i certyfikatu klienta w następujący sposób:

    1. Pobierz przykładowy główny urząd certyfikacji i certyfikat klienta.
    2. Przekaż główny urząd certyfikacji do aplikacji Defender dla Chmury.
    3. Zainstaluj certyfikat klienta (password=Microsoft) na odpowiednich urządzeniach.

Po przekazaniu certyfikatów można utworzyć zasady dostępu i sesji na podstawie tagu urządzenia i prawidłowego certyfikatu klienta.

Obsługiwane aplikacje i klienci

Kontrole sesji i dostępu można stosować do dowolnego interakcyjnego logowania jednokrotnego przy użyciu protokołu uwierzytelniania SAML 2.0 lub, jeśli używasz identyfikatora Microsoft Entra, również protokołu uwierzytelniania OpenID Połączenie. Ponadto jeśli aplikacje są skonfigurowane przy użyciu identyfikatora Entra firmy Microsoft, możesz również zastosować te kontrolki do aplikacji hostowanych lokalnie za pomocą serwera proxy aplikacji Firmy Microsoft Entra. Ponadto mechanizmy kontroli dostępu można stosować do natywnych aplikacji mobilnych i klasycznych klienckich.

Defender dla Chmury Apps identyfikuje aplikacje przy użyciu informacji dostępnych w katalogu aplikacji w chmurze. Niektóre organizacje i użytkownicy dostosowują aplikacje, dodając wtyczki. Jednak aby kontrolki sesji działały poprawnie z tymi wtyczkami, skojarzone domeny niestandardowe muszą zostać dodane do odpowiedniej aplikacji w wykazie.

Uwaga

aplikacja Authenticator, wśród innych przepływów logowania natywnych aplikacji klienckich, używa nieinteraktywnego przepływu logowania i nie może być używana z kontrolami dostępu.

Kontrole dostępu

Wiele organizacji, które decydują się używać kontrolek sesji dla aplikacji w chmurze do kontrolowania działań w sesji, stosuje również mechanizmy kontroli dostępu, aby zablokować ten sam zestaw natywnych aplikacji mobilnych i klasycznych, zapewniając w ten sposób kompleksowe zabezpieczenia aplikacji.

Dostęp do natywnych aplikacji klienckich dla urządzeń przenośnych i klasycznych można zablokować przy użyciu zasad dostępu, ustawiając filtr aplikacji klienckiej na aplikacje mobilne i klasyczne. Niektóre natywne aplikacje klienckie mogą być rozpoznawane indywidualnie, podczas gdy inne, które są częścią pakietu aplikacji, można zidentyfikować tylko jako aplikację najwyższego poziomu. Na przykład aplikacje, takie jak SharePoint Online, mogą być rozpoznawane tylko przez utworzenie zasad dostępu zastosowanych do aplikacji platformy Microsoft 365.

Uwaga

Jeśli filtr aplikacji klienckiej nie zostanie specjalnie ustawiony na mobile i desktop, wynikowe zasady dostępu będą stosowane tylko do sesji przeglądarki. Przyczyną tego jest zapobieganie niezamierzonemu serwerowi proxy sesji użytkowników, które mogą być produktem ubocznym korzystania z tego filtru. Podczas gdy większość głównych przeglądarek obsługuje sprawdzanie certyfikatu klienta, niektóre aplikacje mobilne i klasyczne używają wbudowanych przeglądarek, które mogą nie obsługiwać tego sprawdzania. W związku z tym użycie tego filtru może mieć wpływ na uwierzytelnianie tych aplikacji.

Kontrolki sesji

Chociaż kontrolki sesji są tworzone do pracy z dowolną przeglądarką na dowolnej platformie głównej w dowolnym systemie operacyjnym, obsługujemy przeglądarkę Microsoft Edge (najnowsza wersja), Google Chrome (najnowsza wersja), Mozilla Firefox (najnowsza wersja) lub Apple Safari (najnowsza wersja). Dostęp do aplikacji mobilnych i klasycznych można również zablokować lub zezwolić.

Uwaga

  • Defender dla Chmury Apps używa protokołów Transport Layer Security (TLS) 1.2+ w celu zapewnienia najlepszego szyfrowania w klasie. Natywne aplikacje klienckie i przeglądarki, które nie obsługują protokołu TLS 1.2 lub nowszego, nie będą dostępne po skonfigurowaniu z kontrolą sesji. Jednak aplikacje SaaS korzystające z protokołu TLS 1.1 lub starszego będą wyświetlane w przeglądarce jako korzystające z protokołu TLS 1.2 lub nowszego podczas konfigurowania z aplikacjami Defender dla Chmury.
  • Aby zastosować kontrolki sesji do portal.office.com, należy dołączyć Centrum administracyjne platformy Microsoft 365. Aby uzyskać więcej informacji na temat dołączania aplikacji, zobacz Dołączanie i wdrażanie kontroli aplikacji dostępu warunkowego dla dowolnej aplikacji.

Aplikacje wstępnie dołączone

Każda aplikacja internetowa skonfigurowana przy użyciu wcześniej wymienionych protokołów uwierzytelniania może być dołączona do pracy z mechanizmami kontroli dostępu i sesji. Ponadto następujące aplikacje są już dołączane przy użyciu kontroli dostępu i sesji dla usługi Azure Access Directory.

Uwaga

Wymagane jest kierowanie żądanych aplikacji w celu uzyskania dostępu do kontrolek sesji i przeprowadzenia pierwszego logowania.

  • AWS
  • Box
  • Concur
  • CornerStone on Demand
  • DocuSign
  • Dropbox
  • Egnyte
  • GitHub
  • Obszar roboczy Google
  • HighQ
  • JIRA/Confluence
  • LinkedIn Learning
  • Microsoft Azure DevOps (Visual Studio Team Services)
  • Portal Microsoft Azure
  • Microsoft Dynamics 365 CRM
  • Microsoft Exchange Online
  • Microsoft OneDrive dla biznesu
  • Microsoft Power BI
  • Microsoft SharePoint Online
  • Microsoft Teams
  • Microsoft Yammer
  • Salesforce
  • Slack
  • Tableau
  • Dzień roboczy
  • Workiva
  • Miejsce pracy z meta

Jeśli interesuje Cię wstępnie dołączona określona aplikacja, wyślij nam szczegółowe informacje o aplikacji. Pamiętaj, aby wysłać przypadek użycia, który cię interesuje, aby dołączyć go.

Znane ograniczenia

  • Serwer proxy można pominąć przy użyciu tokenu sesji osadzonej
    Istnieje możliwość obejścia serwera proxy w przypadkach, gdy sama aplikacja osadza token w linkach. Użytkownik końcowy może skopiować link i uzyskać bezpośredni dostęp do zasobu w tym przypadku.

  • Zasady kopiowania/wycinania można pominąć przy użyciu narzędzi deweloperskich
    Można pominąć zdefiniowane zasady kopiowania/wycinania przy użyciu narzędzi deweloperskich przeglądarki. Na przykład w zasadach, które uniemożliwiają kopiowanie zawartości z programu Microsoft Word, można wyświetlić zawartość przy użyciu narzędzi deweloperskich, skopiować zawartość z tego miejsca, a następnie pominąć serwer proxy.

  • Serwer proxy można pominąć przez zmianę parametru
    Można pominąć zdefiniowane zasady sesji, modyfikując parametry. Na przykład można zmienić parametry adresu URL i wprowadzić w błąd usługę w sposób pomijający serwer proxy i umożliwiający pobranie poufnego pliku.

  • Ograniczenie wtyczki przeglądarki
    Nasze bieżące rozwiązanie wymuszania ograniczeń sesji kontroli dostępu warunkowego nie obsługuje aplikacji natywnych, ponieważ wymaga modyfikacji bazowego kodu aplikacji. Rozszerzenia przeglądarki, podobnie jak aplikacje natywne, są wstępnie zainstalowane w przeglądarce, dlatego nie zezwalają nam na modyfikowanie kodu w razie potrzeby i przerywają przekierowywanie tokenów za pośrednictwem naszego rozwiązania serwera proxy. Jako administrator możesz zdefiniować domyślne zachowanie systemu, gdy nie można wymusić zasad i wybrać między zezwoleniem na dostęp lub całkowitym zablokowaniem go.

  • Utrata kontekstu
    W poniższych aplikacjach napotkaliśmy scenariusze, w których przejście do linku może spowodować utratę pełnej ścieżki linku i zazwyczaj użytkownik ląduje na stronie głównej aplikacji.

    • ArcGIS
    • GitHub
    • Microsoft Dynamics 365 CRM
    • Microsoft Power Automate
    • Microsoft Power Apps
    • Microsoft Power BI
    • Microsoft Yammer
    • Miejsce pracy z meta

  • Zasady sesji są prawidłowe dla plików o rozmiarze do 50 MB
    Pliki o rozmiarze do 50 MB podlegają zasadom sesji. Na przykład administrator może zdefiniować jedną z następujących zasad sesji:

    • Monitorowanie pobierania plików dla aplikacji OneDrive
    • Blokuj przekazywanie plików
    • Blokuj pobieranie\przekazywanie plików złośliwego oprogramowania

    Plik o rozmiarze do 50 MB będzie obsługiwany na podstawie zasad sesji w tym przypadku. W przypadku większego pliku ustawienia dzierżawy (Ustawienia > domyślne zachowanie kontroli > dostępu warunkowego aplikacji) określają, czy plik jest dozwolony lub zablokowany, niezależnie od pasujących zasad.

  • Zasady inspekcji ochrony informacji są prawidłowe dla plików o rozmiarze do 30 MB i 1 milion znaków
    Gdy są stosowane zasady sesji blokujące przekazywanie lub pobieranie plików na podstawie inspekcji zawartości ochrony informacji, inspekcja jest wykonywana na plikach mniejszych niż 30 MB i mniejszych niż 1 milion znaków. Na przykład administrator może zdefiniować jedną z następujących zasad sesji:

    • Blokuj przekazywanie plików dla plików zawierających numer ubezpieczenia społecznego (SSN)
    • Ochrona pobierania plików dla plików zawierających informacje o ochronie zdrowia (chronione informacje o kondycji)
    • Blokuj pobieranie plików dla elementu z etykietą poufności "bardzo wrażliwe"

    W takich przypadkach pliki większe niż 30 MB lub 1 milion znaków nie są skanowane i są traktowane zgodnie z ustawieniem zasad Zawsze zastosuj wybraną akcję, nawet jeśli nie można skanować danych. Oto kilka przykładów:

    • plik TXT, rozmiar 1 MB i 1 milion znaków: zostanie przeskanowany
    • plik TXT, rozmiar 2 MB i 2 miliony znaków: nie zostanie przeskanowany
    • plik programu Word składający się z obrazów i tekstu, rozmiar 4 MB i 400 K znaków: zostanie przeskanowany
    • plik programu Word składający się z obrazów i tekstu, rozmiar 4 MB i 2 miliony znaków: nie zostanie przeskanowany
    • plik programu Word składający się z obrazów i tekstu o rozmiarze 40 MB i 400 K znaków: nie będzie skanowany

  • Ograniczenie przekazywania plików

    Jeśli zastosowano zasady sesji blokujące lub monitorowane przekazywanie poufnych plików, w tych scenariuszach użytkownik próbuje przekazać pliki lub foldery za pomocą przeciągania i upuszczania spowoduje zablokowanie całej listy plików i folderów:

    • folder zawierający co najmniej jeden plik i co najmniej jeden podfolder

    • folder zawierający wiele podfolderów

    • wybór co najmniej jednego pliku i co najmniej jednego folderu

    • wybór wielu folderów

      Oto kilka przykładów:

    Administrator zabezpieczeń definiuje następujące zasady: Blokuj przekazywanie plików zawierających dane osobowe do usługi OneDrive.

    • Użytkownik próbuje przekazać wybór 200 niewrażliwych plików przy użyciu okna dialogowego przekazywania plików. Wynik: pliki są przekazywane
    • Użytkownik próbuje przekazać wybór 200 niewrażliwych plików przy użyciu przeciągania i upuszczania. Wynik: pliki są blokowane
    • Użytkownik próbuje przekazać wybór 200 plików, niektóre są poufne, a niektóre nie, korzystając z okna dialogowego przekazywania plików. Wynik: przekazywane są niewrażliwe pliki, a poufne pliki są blokowane
    • Użytkownik próbuje przekazać wybór 200 plików, niektóre są wrażliwe, a niektóre nie, używając przeciągania i upuszczania. Wynik: cały zestaw plików jest zablokowany

Następne kroki

Aby uzyskać instrukcje dotyczące dołączania aplikacji, zobacz odpowiedni dokument poniżej:

Jeśli napotkasz jakiekolwiek problemy, jesteśmy tutaj, aby pomóc. Aby uzyskać pomoc lub pomoc techniczną dotyczącą problemu z produktem, otwórz bilet pomocy technicznej.