Firma kupuje Microsoft 365, migruje pocztę, pracownicy zaczynają pracę i wszyscy zakładają, że bezpieczeństwo jest zadbane. W końcu to Microsoft. To częściowo prawda: platforma ma wiele warstw ochrony. Ale spora część z nich jest wyłączona lub włączona tylko częściowo w nowym tenancie, ponieważ Microsoft nie może wiedzieć, jak działa Twoja firma, i zostawia decyzję administratorowi.
Z naszego doświadczenia wynika, że gdy przejmujemy administrację Microsoft 365, najczęstszym ustaleniem nie jest włamanie, ale tenant działający na ustawieniach domyślnych: MFA włączone tylko dla administratorów, otwarte starsze protokoły pocztowe, niewłączony dziennik audytu i kilku pracowników, którzy ustawili reguły przekazujące pocztę na prywatną skrzynkę. Nic z tego nie jest widoczne w codziennej pracy, dopóki nie dojdzie do incydentu.
Poniżej osiem ustawień, które sprawdzamy w pierwszej kolejności. Większość z nich nie wiąże się z dodatkowym kosztem i można je włączyć w godziny, a nie tygodnie.
MFA dla wszystkich, a nie tylko dla administratorów
Uwierzytelnianie wieloskładnikowe (MFA) to najważniejszy pojedynczy środek przeciwko przejęciu konta. Hasła wyciekają, są zgadywane i wyłudzane, a drugi składnik przerywa ten łańcuch. Microsoft włącza ustawienia domyślne zabezpieczeń w nowych tenantach, które wymagają MFA, ale w starszych tenantach często są wyłączone, a w firmach używających dostępu warunkowego odpowiedzialność przechodzi na polityki.
Co sprawdzić: czy rejestracja MFA jest wymagana od wszystkich użytkowników, w tym od skrzynek współdzielonych, do których loguje się bezpośrednio, oraz od kont usługowych. Czy używana jest aplikacja Microsoft Authenticator, a nie SMS, który jest najsłabszą formą. Czy włączona jest ochrona przed zmęczeniem MFA, gdy użytkownik klika „zatwierdź” tylko dlatego, że powiadomienia nie przestają przychodzić.
Dostęp warunkowy zamiast „wszyscy mają wszystko”
Dostęp warunkowy to funkcja Entra ID P1, którą zawierają plany Business Premium i Enterprise. Pozwala ustawić reguły: z jakich krajów mogą pochodzić logowania, czy urządzenie musi być zarządzane, kiedy ponownie pytać o MFA, które aplikacje blokować.
Najczęstsza sytuacja to firma, która ma Premium, ale ani jednej polityki dostępu warunkowego. Oznacza to płacenie za funkcję, która nie działa. Minimalny zestaw, który zalecamy:
- Blokuj logowania z krajów, w których firma nie działa.
- Wymagaj MFA dla wszystkich aplikacji w chmurze.
- Wymagaj zgodnego urządzenia dla kont administratorów.
- Blokuj starsze protokoły uwierzytelniania (więcej o nich niżej).
- Ogranicz czas trwania sesji na urządzeniach niezarządzanych.
Polityki włączamy najpierw w trybie tylko raportowania, aby zobaczyć, co zostałoby zablokowane, i dopiero potem je aktywujemy. Dzięki temu unikamy sytuacji, w której w poniedziałek rano połowa firmy nie może się zalogować.
Starsze protokoły, które omijają MFA
POP3, IMAP, SMTP AUTH i starsze wersje Outlooka używają tak zwanego starszego uwierzytelniania, które nie obsługuje MFA. Jeśli te protokoły są otwarte, atakującemu wystarczy hasło i nikt nie zapyta o drugi składnik. Większość ataków polegających na zgadywaniu haseł idzie właśnie przez te protokoły.
Microsoft wyłączył część z nich na poziomie platformy, ale SMTP AUTH nadal można włączyć dla pojedynczych skrzynek i często jest włączony dla urządzeń wielofunkcyjnych, skanerów lub starych aplikacji wysyłających pocztę. Rozwiązanie to sprawdzenie dzienników logowania, by zobaczyć, kto naprawdę używa starszych protokołów, przeniesienie urządzeń na nowoczesne uwierzytelnianie lub osobny konektor wysyłający, a następnie zablokowanie protokołów polityką dostępu warunkowego.
Kontrola reguł przekazywania poczty
To jedna z najcichszych i najbardziej niebezpiecznych rzeczy. Gdy atakujący przejmie konto, pierwszym ruchem często nie jest czytanie poczty, ale utworzenie reguły: przekazuj każdą wiadomość zawierającą słowa takie jak „faktura”, „płatność” czy „bank” na zewnętrzny adres i usuwaj ją ze skrzynki odbiorczej. Użytkownik niczego nie zauważa, a atakujący miesiącami śledzi korespondencję z klientami i czeka na właściwy moment, by zmienić dane bankowe na fakturze.
Co ustawić: w polityce spamu wychodzącego Exchange Online zablokuj automatyczne przekazywanie do domen zewnętrznych. Włącz alert o nowo utworzonych regułach przekazywania. Raz w miesiącu przeglądaj ustawienia przekazywania wszystkich skrzynek. Jeśli przekazywanie jest naprawdę potrzebne, zezwól na nie dla konkretnej skrzynki, a nie dla wszystkich.
Zapobieganie utracie danych (DLP)
Polityki DLP pozwalają wykrywać i zatrzymywać wysyłanie danych wrażliwych: numerów PESEL, rachunków bankowych, numerów kart, poufnych dokumentów. Microsoft Purview ma gotowe szablony, w tym jeden dla unijnego rozporządzenia RODO, ale żaden z nich nie jest domyślnie włączony.
Warto zacząć w trybie monitorowania: polityka rejestruje, kto i dokąd wysyła dane wrażliwe, ale niczego nie blokuje. Po miesiącu widać prawdziwy obraz. Zwykle okazuje się, że dane osobowe wędrują w czatach Teams i na prywatną pocztę znacznie częściej, niż ktokolwiek sądził. Wtedy zaostrza się polityki: ostrzeżenie dla użytkownika, blokada z możliwością podania uzasadnienia biznesowego, blokada bez wyjątków.
Dziennik audytu i czas jego przechowywania
Ujednolicony dziennik audytu rejestruje, kto się zalogował, kiedy i skąd, jakie pliki otwierał, jakie reguły utworzył i co usunął. Bez niego badanie incydentu to zgadywanie. W nowych tenantach zwykle jest włączony, ale starsze trzeba sprawdzić, a okres przechowywania zależy od planu: w planach Business i E3 zapisy są przechowywane 180 dni.
Jeśli Twoja firma podlega NIS2 lub DORA, 180 dni może nie wystarczyć. Wtedy potrzebny jest albo dodatek wydłużający retencję, albo eksport dzienników do systemu zewnętrznego. To jedna z rzeczy, które sprawdzamy podczas audytu bezpieczeństwa IT.
Ustawienia udostępniania w SharePoint i OneDrive
Domyślnie SharePoint i OneDrive pozwalają udostępniać pliki każdemu, także przez anonimowy link „każdy, kto ma link”. To wygodne, ale oznacza, że pracownik może przypadkowo upublicznić cały folder, a link pozostaje ważny bezterminowo.
Zalecamy: zezwalaj na udostępnianie zewnętrzne tylko konkretnym gościom, którzy logują się po weryfikacji tożsamości. Nadaj linkom anonimowym termin ważności i uprawnienia tylko do odczytu. Zmień domyślną opcję linku z „każdy” na „osoby w Twojej organizacji”. Włącz przeglądy dostępu gości, aby goście, z którymi już nie współpracujesz, byli usuwani automatycznie.
Konta administratorów: osobne i bez poczty
Częsta sytuacja: osoba odpowiedzialna za IT używa codziennego konta z uprawnieniami Global Administrator. Czyta pocztę, otwiera załączniki i przegląda strony, a wszystko to z uprawnieniami, które pozwalają usunąć cały tenant. Jedna skuteczna wiadomość phishingowa i atakujący ma wszystko.
Właściwy sposób: osobne konto do administracji, bez licencji i bez skrzynki, z obowiązkowym MFA i, jeśli to możliwe, kluczem sprzętowym. Nie więcej niż dwóch–trzech Global Administratorów, a pozostali dostają węższe role według funkcji (Exchange, SharePoint, administrator użytkowników). Jedno konto awaryjne (break-glass) z długim hasłem przechowywanym w sejfie, wyłączone z polityk dostępu warunkowego. Jeśli tenantem administruje zewnętrzny dostawca, powinien logować się przez własne, osobne konta, a nie przez wspólnego użytkownika „admin”.
Od czego zacząć
Żadne z tych ustawień nie wymaga projektu. Wymaga tylko konsekwencji.
- Otwórz w centrum administracyjnym raport Microsoft Secure Score. Pokazuje, których z powyższych elementów nie włączono w Twoim tenancie i ilu użytkowników nie ma MFA.
- Tydzień pierwszy: MFA dla wszystkich, blokada starszych protokołów, zakaz zewnętrznego przekazywania. Te trzy rzeczy powstrzymują większość przypadków przejęcia konta.
- Tydzień drugi: polityki dostępu warunkowego w trybie tylko raportowania, rozdzielenie kont administratorów, zaostrzenie ustawień udostępniania.
- W ciągu miesiąca: DLP w trybie monitorowania, sprawdzenie okresu przechowywania dziennika audytu.
- Co kwartał: przegląd Secure Score i kontrola reguł przekazywania.
Jeśli chcesz, żebyśmy to skonfigurowali i utrzymywali, nasza usługa bezpieczeństwo Microsoft 365 obejmuje wszystkie osiem punktów jako początkowe uporządkowanie i stały monitoring. Razem z administracją Microsoft 365 oznacza to, że ustawienia nie wrócą do stanu domyślnego, gdy ktoś „tymczasowo” wyłączy politykę i zapomni ją włączyć.
