27 лучших практик безопасности Office 365

Это главный справочник по лучшим практикам безопасности Office 365.

В этом руководстве я поделюсь своими рекомендациями по улучшению безопасности Office 365, настройкам политики и параметрам конфигурации, которые необходимо изменить.

Безопасность вашего арендатора Office 365 всегда является проблемой. Некоторые функции безопасности включены по умолчанию, а некоторые необходимо включить вручную.

Некоторые из этих рекомендаций требуют дополнительных покупок лицензий.

Предупреждение: Я рекомендую получить надлежащее одобрение вашей организации перед внесением этих изменений в безопасность. Вам необходимо внимательно ознакомиться с рекомендациями и определить потенциальное воздействие каждого изменения.

1. Включите многофакторную аутентификацию (MFA) для вашего арендатора

Первый шаг, который вы должны сделать после настройки вашего тенанта, это включить MFA для Office 365. Многофакторная аутентификация (MFA) позволяет защитить входы пользователей, добавляя несколько методов аутентификации. В наши дни просто пароль не является самым безопасным, даже с сложными паролями. Всегда хорошая идея иметь более одного метода аутентификации для любой платформы, которую вы используете.

Вы можете включить многофакторную аутентификацию (MFA) для вашего арендатора в Azure Active Directory на основе каждого пользователя, включив стандартные параметры безопасности или с помощью политик условного доступа.

Опции для многофакторной аутентификации (MFA) включают использование приложения Microsoft Authentication, отправку кода на номер телефона и аппаратные токены OATH. Если вы хотите использовать аппаратные токены OATH, вам нужно будет купить лицензию Azure Active Directory Premium P1 или P2 для каждого пользователя, которому вы назначаете токен.

Чтобы увидеть, у каких пользователей включена многофакторная аутентификация, а у каких нет, обратитесь к моей статье "Получение статуса MFA с помощью PowerShell". Я покажу вам, как легко экспортировать отчет в CSV.

2. Блокировать наследуемые протоколы аутентификации

Наследственная аутентификация просто относится к приложению или клиенту, который использует только базовую аутентификацию или просто передает имя пользователя и пароль. Оставление наследственной аутентификации открывает двери для всех типов атак на учетные данные. Кроме того, наследственная аутентификация не поддерживает многофакторную аутентификацию (MFA), что означает, что вы не можете заставить использовать MFA для приложений или клиентов, которые используют только базовую аутентификацию. Это должно быть относительно легко, поскольку большинство приложений или клиентов в наши дни поддерживают современную аутентификацию. Вы можете использовать политики условного доступа, включить стандартные параметры безопасности или отключить протоколы базовой аутентификации в настройках организации в центре администрирования, чтобы заблокировать наследственную аутентификацию для вашего арендатора.

Прежде чем отключить устаревшую аутентификацию, я рекомендую вам просмотреть журналы входа Azure AD, чтобы обнаружить любые устаревшие входы.

Войдите в Azure AD, перейдя по адресу https://aad.portal.azure.com/, затем выберите Azure Active Directory и затем Журналы входа. Выберите Добавить фильтры вверху. Выберите Клиентское приложение и выберите все опции под Устаревшими клиентами аутентификации.

3. Настройки безопасности по умолчанию в Azure Active Directory

Если у вас есть арендатор, созданный после 21 октября 2019 года, то параметры безопасности включены по умолчанию в Azure. Вам не нужно приобретать дополнительные лицензии для использования этой функции.

Чтобы проверить, включены ли параметры безопасности по умолчанию в вашем арендаторе, войдите в вашу Azure Active Directory, перейдя по адресу https://aad.portal.azure.com, затем щелкните на 'Свойства', а затем 'Управление параметрами безопасности по умолчанию' внизу.

Если установлено значение "Да", то это включено для вашего арендатора.

Я бы не включал стандартные настройки безопасности, если вы планируете внедрение или уже имеете политики условного доступа для вашего арендатора. Также, если вы платите за лицензии Azure Active Directory P1 или P2, то использование политик условного доступа дает вам больше гибкости в ваших политиках безопасности.

При включении стандартных настроек безопасности пользователи и администраторы должны зарегистрироваться для многофакторной аутентификации с использованием приложения Microsoft Authenticator в течение 14 дней, иначе они рискуют быть заблокированными в арендаторе. Также это блокирует устаревшие протоколы аутентификации.

4. Создать учетные записи для экстренного доступа

Всегда разумно иметь запасные учетные записи, которые вы исключаете из условного доступа и многофакторной аутентификации. Есть несколько причин, почему вы хотите это сделать:

• Технические проблемы МИД
• Перебои у поставщиков
• Вы испортили политику условного доступа
• Ваш домен Active Directory скомпрометирован, или существуют проблемы с административным сотрудником.

Вы всегда должны иметь способ попасть к своему арендатору.

Чрезвычайный аккаунт не должен использоваться, кроме как в случае необходимости. Вы хотите создать аккаунт(ы) в вашем аренде Office 365. Если вы синхронизируете ваш локальный домен Active Directory, не создавайте аккаунт в вашем локальном AD. Убедитесь, что вы назначили этому(им) аккаунту(ам) роль Глобального администратора. Также убедитесь, что у аккаунта(ов) есть очень сложный и длинный пароль. Всегда полезно менять этот пароль несколько раз в год и часто отслеживать входы в этот аккаунт(ы). Храните информацию об этом(их) аккаунте(ах) в очень безопасном месте, чтобы к ней имели доступ несколько административных сотрудников.

5. Ограничить доступ администратора

Ограничьте доступ администратора ТОЛЬКО тем, что необходимо для выполнения роли в вашей организации.

Роль глобального администратора не следует предоставлять всем, кто управляет вашим арендатором Office 365. У вас должно быть только несколько глобальных администраторов, если возможно. Microsoft рекомендует иметь менее 5. Это правило безопасности - минимальный доступ для выполнения функциональных задач. Например, если у вас есть администратор, который поддерживает только Exchange, то предоставьте этому администратору только роль администратора Exchange.

Рассмотрите возможность проведения проверки доступа для тех, у кого есть роли Azure AD. Если они не используют имеющийся доступ, удалите его. Вам потребуется лицензия Azure AD Premium P2 или E5 для использования Управления Идентификацией в Azure AD.

Также используйте общие учетные записи при настройке конфигураций в Office 365. Вы никогда не должны использовать имя пользователя сотрудника на случай, если он покинет компанию. Это может вызвать админскую проблему.

См. статью Microsoft «О ролях администратора в центре администрирования Microsoft 365» для получения дополнительной информации.

6. Политики паролей пользователей

Всегда очень хорошая идея иметь политику паролей для пользователей. Может быть сложно объяснить важность хорошего пароля нашим пользователям. Даже с включенной многофакторной аутентификацией, пароли все равно должны быть сильными и сложными.

Если у вас есть локальный домен Active Directory, который синхронизирован с Azure Active Directory, то Azure AD будет использовать политику паролей, которую вы настроили в своем локальном домене, если вы не включите настройку EnforceCloudPasswordPolicyForPasswordSyncedUsers. Настройте политики паролей, которые требуют числовые, алфавитно-цифровые и специальные символы. Они должны, по меньшей мере, содержать 8 символов. Пароль следует менять часто, как минимум, каждые 90 дней. Я рекомендую делать это даже чаще, хотя это может раздражать ваших пользователей. Также не позволяйте вашим пользователям повторять пароли, установив требование о истории паролей.

Если у вас есть учетные записи только в вашем Azure Active Directory, эти учетные записи должны использовать политику паролей по умолчанию Azure AD. Не все настройки в политике паролей по умолчанию Azure AD могут быть изменены, поэтому вы не можете полностью настроить политику так, как вам нужно. Политика паролей по умолчанию Azure AD приведена ниже и перечисляет, какие параметры могут быть изменены.

Обратитесь к статье "Парольные политики и ограничения учетных записей в Azure AD" для получения дополнительной информации.

7. Настройки пользователя

Отключите возможность для пользователей регистрировать пользовательские приложения, получать доступ к админ-порталу Azure AD и использовать свою учетную запись для доступа к LinkedIn. Обычному пользователю не понадобится регистрировать пользовательские приложения и получать доступ к админ-порталу Azure AD. Кроме того, когда вы подключаетесь к LinkedIn, он делится данными компании от их имени, что может включать данные их профиля и список контактов.

Войдите на https://aad.portal.azure.com и нажмите на Azure Active Directory, а затем на Настройки пользователей.

В разделе Регистрация приложений измените "Пользователи могут регистрировать приложения" на "Нет". В разделе Портал администрирования измените "Ограничить доступ к порталу администрирования Azure AD" на "Да". В разделе Связанные учетные записи LinkedIn измените "Разрешить пользователям подключать свою рабочую или учебную учетную запись к LinkedIn" на "Нет".

8. Согласие пользователя на приложения

Отключение согласия пользователя предотвращает возможность обмена данными с приложениями. Чем меньше данных вы делитесь с другими приложениями, тем безопаснее будут ваши данные. Обмен данными с любым приложением небезопасен. Также, когда вы даете пользователям возможность согласиться на обмен данными компании, это открывает дверь для пользователя, который может предоставить разрешения, которые могут поставить под угрозу всю организацию.

Войдите на https://admin.microsoft.com. Перейдите в Настройки, затем в Организационные настройки, затем в Согласие пользователей на приложения. Отключите возможность предоставления согласия пользователями, когда приложения запрашивают доступ к данным вашей организации от их имени.

Теперь вы можете установить политику согласия пользователей, чтобы помочь вашим пользователям получать приложения, которые помогут им, но просто убедитесь, что это легитимные приложения.

Перейдите на https://aad.portal.azure.com и выберите Azure Active Directory, затем Корпоративные приложения, затем Согласие и разрешения. Выберите Разрешить согласие пользователей для приложений от проверенных поставщиков и нажмите Сохранить.

Теперь мы хотим проверить, какие разрешения мы готовы предоставить нашим пользователям для приложений. Нажмите на "Выбрать разрешения", чтобы классифицировать их как низкозначимые. Microsoft предложит разрешения приложений с низким риском. Выберите их, а затем нажмите "Да, добавить выбранные разрешения".

Теперь вернитесь к корпоративным приложениям и выберите параметры пользователя. Выберите "Пользователи могут запрашивать согласие администратора на приложения, на которые они не могут согласиться". Затем выберите администратора, который может рассматривать и утверждать эти запросы.

9. Управление настройками внешнего сотрудничества

Эти настройки определяют, какой доступ имеют пользователи-гости на уровнях каталога, арендатора и приложения. Пользователи-гости не должны иметь возможность приглашать других пользователей-гостей в ваш арендатор. В разделе "Настройки приглашения гостей" измените это на "Пользователи-члены", чтобы пользователи, назначенные на определенные администраторские роли, могли приглашать пользователей-гостей, включая гостей с правами членов.

Чтобы просмотреть эти настройки, войдите на https://aad.portal.azure.com и нажмите на Azure Active Directory, внешние идентичности, а затем настройки внешнего сотрудничества.

10. Настроить страницу входа

Чтобы помочь вашим пользователям убедиться, что они не попали в ловушку фишинга, вы можете настроить страницу входа в портал Office. Вы можете изменить логотип и текст на странице входа. Всё, что вы можете добавить здесь, чтобы сделать её наиболее узнаваемой для ваших пользователей, будет полезно. Если вы сможете добавить какой-либо текст или брендинг, который невозможно легко скопировать, это будет лучшим вариантом. Хакерам легко скопировать логотип вашей компании с вашего сайта и сделать так, чтобы он выглядел как страница входа в Office 365.

Войдите на https://aad.portal.azure.com и нажмите на Azure Active Directory, затем выберите Брендинг компании. Нажмите Настроить в верхней части.

11. Включить тайм-аут портала

Хотя вам следует ограничить доступ пользователей к порталу Azure AD, включение тайм-аута портала — это неплохая идея. По умолчанию он установлен на "Никогда не выходить". Это просто страховка на случай, если администратор не защитит свой компьютер.

Перейдите на https://aad.portal.azure.com и выберите значок настроек, затем выйдите из системы + уведомления.

12. Тайм-аут бездействия

Если вы позволяете своим пользователям получать доступ к Microsoft 365 с любого компьютера, вы можете рассмотреть возможность использования политики таймАута для неактивной сессии в качестве дополнительной меры безопасности. Будьте осторожны с этим, так как это может вызвать недовольство у ваших пользователей. Пользователи будут уведомлены о том, что их сессия истекает, но если они надолго отойдут от своих столов, система автоматически выведет их из веб-приложений.

Перейдите на https://admin.microsoft.com и выберите Настройки, затем Организационные настройки, затем вкладку Безопасность и конфиденциальность, затем Время ожидания неактивной сессии.

13. Обзор политик аудита

Аудит в Office 365 включен по умолчанию. Наличие журналов активности - это ваше самое большое преимущество, когда речь идет о отслеживании возможного инцидента безопасности. Вы можете просматривать действия пользователей и администраторов. Вы также можете создать свои собственные политики аудита, если хотите отслеживать определенные действия или хранить журналы более 90 дней.

Чтобы проверить, включен ли аудит, войдите в портал администратора Compliance, перейдя по адресу https://compliance.microsoft.com и нажмите на Аудит.

Если аудит не включен, по экрану будет отображаться баннер с надписью "Начать запись пользовательской и административной активности." Нажмите на баннер, чтобы включить аудит.

14. Управление совместным доступом в SharePoint и OneDrive

С началом обмена сайтами и файлами, начинайте с самых строгих ограничений и ослабляйте их только в случае необходимости.

Например, если большинство пользователей не нуждаются в совместном использовании файлов OneDrive за пределами вашей организации, отключите внешнее совместное использование и предоставляйте его пользователям по мере необходимости. Если вы обнаружите, что ваши пользователи делятся файлами только с теми же доменами, вы можете ограничить совместное использование только этими доменами.

В SharePoint каждый сайт имеет свои собственные настройки общего доступа. Убедитесь, что настройки общего доступа вашего арендатора и сайта совпадают или настройки вашего сайта более ограничительны, чем настройки вашего арендатора.

В конечном итоге, вы должны делать то, что лучше для вашей организации, чтобы это не стало адской головной болью для администраторов.

По крайней мере, вам следует изменить настройки общего доступа, так как по умолчанию они установлены на самый разрешительный уровень.

Чтобы изменить настройки общего доступа, войдите на сайт https://admin.microsoft.com, выберите SharePoint, затем Политики, и затем Общий доступ.

Для настройки общих ссылок на файлы и папки выберите «Только люди в вашей организации» и «Просмотр», чтобы заставить пользователей более внимательно относиться к тому, кому они предоставляют доступ и какой тип доступа.

15. Контроль доступа к SharePoint

Контроль доступа в SharePoint позволяет устанавливать дополнительные функции безопасности для доступа к вашим сайтам SharePoint и OneDrive. Вы можете установить время ожидания бездействия, ограничить его только определенными IP-адресами, заблокировать устаревшую аутентификацию и управлять доступом устройств. Как минимум, вы хотите заблокировать устаревшую аутентификацию, поскольку устаревшая аутентификация не поддерживает многофакторную аутентификацию.

Перейдите на https://admin.microsoft.com и выберите SharePoint, затем выберите Политики, затем Управление доступом. Нажмите на Приложения, которые не используют современную аутентификацию, и выберите Заблокировать доступ.

16. Ограничьте типы файлов в SharePoint и OneDrive

OneDrive имеет несколько мер безопасности для предотвращения программ-вымогателей, но он все еще уязвим. Для дополнительной защиты вы можете указать файлы, которые не хотите синхронизировать из вашего клиента OneDrive в OneDrive онлайн, а также файлы, которые не хотите загружать на сайты SharePoint. Могут быть множество разных причин, по которым вы хотите заблокировать определенные файлы от синхронизации с OneDrive онлайн и сайтами SharePoint: например, файлы, которые вы никогда не хотите делиться с внешними источниками, файлы, которые могут быть очень большими по размеру и могут повлиять на пропускную способность, общие расширения программ-вымогателей, исполняемые файлы или музыкальные файлы.

Еще одной мерой безопасности, которую вы можете рассмотреть, является разрешение синхронизации только с доверенными доменами.

Чтобы изменить настройки совместного использования, войдите на https://admin.microsoft.com, выберите SharePoint, затем нажмите на Настройки, затем на Синхронизацию OneDrive.

Выберите блокировку загрузки конкретных типов файлов. Затем добавьте типы файлов, которые вы хотите заблокировать для синхронизации.

17. Реализовать политики условного доступа

Политики условного доступа упрощают защиту вашего арендатора. Существует множество различных способов сделать это, и есть много возможностей, чтобы помочь сохранить безопасность вашего арендатора. Например, один из способов защитить вашего арендатора с помощью политики условного доступа - это заблокировать доступ из определенных стран, чтобы они не могли получить доступ к вашему арендатору.

Политики условного доступа могут быть довольно мощными, поэтому обязательно исключите хотя бы одного глобального администратора из политики, чтобы избежать блокировки доступа к вашему арендатору.

Вы можете создавать политики, если купите лицензию Azure AD Premium P1 или имеете лицензии Microsoft 365 Business Premium.

18. Просмотр политик оповещений

Существует множество предупреждений, которые Microsoft включил по умолчанию. Существуют несколько различных типов предупреждений, и они варьируются от информационных до высокосерьезных. Ознакомьтесь с этими предупреждениями. Когда предупреждение срабатывает, на адреса электронной почты администраторов будут отправлены уведомления для рассмотрения.

Вы можете добавить уведомление или изменить существующие уведомления. Перейдите на https://compliance.microsoft.com, затем в раздел Политики и под разделом Уведомления нажмите на Политики уведомлений.

Чтобы просмотреть активные предупреждения, перейдите на https://compliance.microsoft.com и выберите "Предупреждения". Вы можете использовать фильтры для просмотра конкретных событий.

Вы также можете просмотреть и создать оповещения о потоке почты в Центре администрирования Exchange. Перейдите на https://admin.exchange.microsoft.com и нажмите на Политики оповещений. Чтобы просмотреть активные оповещения, нажмите на Оповещения.

19. Политики предотвращения потери данных

Рассмотрите возможность создания политик DLP для защиты чувствительных данных от их распространения или компрометации. Я предлагаю создать политику, чтобы предотвратить хранение и обмен персонально идентифицируемой информацией и защищенной медицинской информацией. Политики DLP должны применяться к Teams, так как очень легко делиться данными внутри Teams, особенно если вы разрешаете внешний доступ.

Для тех из нас, кто должен платить за страховку кибербезопасности, чем меньше данных вы храните, тем дешевле будет ваша страховка. Это дает спокойствие, так как вы не должны беспокоиться о том, что аудит найдет эту информацию на вашем сайте SharePoint, в OneDrive или Teams.

Метки чувствительности - это отличная функция в политиках DLP, а также локальный сканер. Однако некоторые функции в DLP потребуют от вас наличия лицензии на Microsoft Purview, если у вас нет лицензии E5.

Если PII или PHI необходимо сохранить, это должно быть сделано в среде с высоким уровнем безопасности и контролем доступа, и очищаться как можно чаще.

Обратитесь к статье Microsoft о создании политики предотвращения потери данных для получения дополнительной информации.

20. Настройки команды

Вы можете установить основные настройки в Teams, которые вы хотите, чтобы ваши пользователи имели. Одно из предложений, которое у меня есть, касается обмена файлами. Мне не нравится идея, что мои пользователи могут использовать несколько различных платформ для обмена файлами, потому что вы не можете контролировать, какие файлы находятся на сторонних приложениях для обмена файлами. Я отключаю их, просто потому что это открывает еще одну дверь для вредоносных файлов, попадающих в вашу сеть.

Перейдите на https://admin.teams.microsoft.com и выберите настройки команд. Перейдите в файлы и отключите все опции.

21. Заблокировать анонимных пользователей от присоединения к встречам в Teams

Любой, у кого есть ссылка на встречу, может присоединиться к встрече и не обязан представляться. Для пользователя это просто отобразится как гость встречи.

Перейдите на https://admin.teams.microsoft.com и выберите Встречи, затем Настройки встречи.

22. Управление приложениями для команд

Когда вы предоставляете пользователям доступ к добавлению приложений, вы позволяете им делиться данными с этим приложением от их имени и предоставляете приложению разрешения на доступ к вашему клиенту. По умолчанию все приложения разрешены. Как минимум, я бы ограничил сторонние приложения и пользовательские приложения, если вы не одобрите их.

Перейдите на https://admin.teams.microsoft.com, затем перейдите в раздел Приложения Teams и затем Политики разрешений. Нажмите на настройки приложений для всей организации, чтобы ограничить доступ третьих лиц.

Вы также можете прокрутить список, чтобы просмотреть, какие разрешения имеют приложения, перейдя в Управление приложениями и щелкнув на приложение, затем Разрешения.

23. Настроить DKIM, DMARC и SPF в Exchange

Электронная почта является самым распространенным инструментом в вашей организации, поэтому, конечно, это будет самой большой угрозой безопасности. Настройка DKIM, DMARC и SPF поможет защитить вашу электронную почту. Эти протоколы являются методами аутентификации, которые проверят законность вашего домена электронной почты, проверяя заголовки в почтовых сообщениях. Вы создаете запись SPF в вашем DNS, где указываете IP-адреса, которым разрешено отправлять электронные письма от имени вашего домена.

DKIM — это дигитальная подпись ваших почтовых доменов. DMARC — это дополнительная безопасность при использовании с SPF и DKIM, чтобы гарантировать, что почта, отправляемая с вашего домена, безопасна. Все организации должны внедрять эти методы аутентификации в борьбе с спамом и фишингом. В великой схеме электронной почты достаточно одного клика в одном письме, чтобы оборвать работу сети. Все, что мы можем сделать для повышения безопасности электронной почты, имеет значение.

24. Отключить авто-перенаправление на внешние домены в Exchange

Одним из лучших способов защиты является блокировка пересылки электронных писем за пределы вашего домена. Если электронная почта пользователя была скомпрометирована, это предотвратит пересылку письма внешнему источнику. Вы можете сделать это с помощью простой транспортной политики.

Перейдите на https://admin.exchange.microsoft.com, затем в раздел 'Потоки почты', нажмите на 'Правила'. Добавьте правило, и оно должно выглядеть как на изображении ниже.

25. Укажите отказ от ответственности в электронной почте от внешних доменов

Чтобы помочь вашим пользователям быть более осторожными перед кликом по ссылкам и открытием вложений от внешних отправителей, вы можете добавить сообщение вверху писем из-за пределов вашей организации с помощью простого транспортного правила.

Текст будет отображаться вверху пользовательских электронных писем, как показано ниже.

Смотрите статью о добавлении отказа от ответственности в электронные письма Office 365 для получения подробной информации и пошаговых инструкций.

26. Рассмотрите возможность блокировки файлов, которые могут исполнять код.

Старые файлы, такие как .doc и .xls, могут запускать код, но они все еще являются популярным форматом, используемым многими организациями. Это распространенные файлы в атаках вредоносного ПО и программ-вымогателей. Рассмотрите возможность блокировки этих файлов. Заставьте ваших пользователей конвертировать эти старые файлы в новые форматы. Убедитесь, что ваш анти-вредоносный фильтр для распространенных типов файлов включен.

Перейдите на https://security.microsoft.com и выберите Политики и правила, затем Политики угроз, а затем Антивирусная защита. Измените политику по умолчанию.

27. Включите предустановленные политики безопасности в Exchange

В Exchange Online Protection существуют предустановленные политики безопасности, которые не включены по умолчанию, если вы не оплачиваете Defender for Office 365. Эти политики применяют все рекомендованные Microsoft настройки безопасности от спама, вредоносного ПО и фишинга. Вы не можете настраивать эти параметры, кроме как исключая получателей. Эти политики не защищают исходящие письма. Имейте в виду, что эти политики имеют приоритет над всеми пользовательскими и стандартными политиками. Если вы хотите использовать безопасные ссылки и безопасные вложения, вам необходимо оплатить Defender for Office 365.

Чтобы включить предустановленные настройки безопасности, перейдите по адресу https://security.microsoft.com и выберите Политики и правила, затем Политики угроз, а затем выберите Предустановленные политики безопасности.

Затем нажмите на управление настройками защиты для политики защиты, которую вы хотите включить.

Укажите, к кому применяется защита, и нажмите далее. Выберите режим политики и нажмите далее. Затем нажмите подтвердить.

28. Разрешенные домены с помощью правил транспорта

Рекомендуется добавлять домены и электронные адреса в белый список с помощью транспортного правила, а не с помощью политики защиты от спама. Это связано с тем, что такое правило позволяет домену обходить фильтрацию спама, что дает возможность злоумышленникам подделывать доверенные домены.

Смотрите мой гид по белому списку доменов Office 365 для пошаговых инструкций.

Надеюсь, вам понравилась эта статья. Я также рекомендую прочитать мои советы о том, как обеспечить безопасность Active Directory.