Чек-лист безопасности Microsoft 365 для офиса

В небольшой компании Microsoft 365 почти всегда оказывается в центре: там почта, файлы, календарь, вход в корпоративные сервисы и часто сама переписка с клиентами. Логично, что именно этот арендатор становится главной целью. Взломав его, злоумышленник получает не одну систему, а весь рабочий контур и доверие контрагентов, привыкших к письмам с вашего домена.

Масштаб виден по цифрам: в 2024 году число фишинговых атак на арендаторов Microsoft 365 выросло примерно на 58%, Microsoft остаётся самым подделываемым брендом в письмах с краденых учётных данных, а 64% компаний сталкивались с компрометацией деловой переписки. Средний ущерб от такого случая — около 150 тысяч долларов, для небольшой компании это сопоставимо с годовым фондом развития.

При этом проблема не в самом продукте. По оценкам Gartner, более 99% облачных инцидентов связаны не с уязвимостями, а с настройками, которые можно было исправить. Ниже — чек-лист из тех разделов, которые дают наибольший эффект: удостоверения, почта, устройства, Teams, файлы и журналы.

Почему арендатор стал главной целью

Причина в концентрации. Один вход ведёт к почте, документам, чатам и администрированию. Учётная запись руководителя без второго фактора — это не «один сотрудник», а доступ к переписке с банком, договорам, счетам и клиентской базе.

Второй фактор — привычка. Люди годами получают письма «от Microsoft» и не удивляются уведомлению об истечении пароля. Фишинг под такой шаблон не требует изобретательности.

Третий — экономика. Компрометация почты позволяет вставить свои реквизиты в счёт, который ждут, и получить оплату. Это дешевле шифрования и не требует сложного кода.

Что включить в первые сутки

Если не настроено ничего, начните с трёх вещей: они бесплатны и закрывают основную часть риска.

Многофакторная аутентификация для всех. Не только для администраторов. Базовый уровень включается одной настройкой безопасности по умолчанию и покрывает весь арендатор; по данным Microsoft, MFA блокирует более 99% атак на учётные данные.
Блокировка устаревшей аутентификации. Протоколы без второго фактора — прямой обход MFA. Отключение не мешает работе, если почта и календарь подключаются современными клиентами.
Записи SPF, DKIM и DMARC для домена. Без них кто угодно может отправить письмо от вашего имени. Начинают с наблюдения, затем переходят к карантину, а после проверки рассылок — к отклонению.

Дальше — по приоритетам: ограничить число глобальных администраторов, запретить внешнее автоперенаправление почты, изменить общий доступ в SharePoint. Эти шаги занимают вечер и снимают самые частые сценарии.

Удостоверения в Entra ID: кто и как входит

Этот раздел закрывают первым: если злоумышленник получил учётную запись, остальные настройки уже не помогают.

Держите не больше двух-четырёх глобальных администраторов и заведите отдельные роли для повседневных задач.
Создайте две аварийные учётные записи, исключённые из политик условного доступа, с длинными паролями в офлайн-хранилище. Это спасение на случай, когда политика блокирует вход всем.
Настройте условный доступ: обязательный второй фактор для всех, запрет устаревших протоколов, требование совместимого устройства для чувствительных приложений.
Запретите пользователям самостоятельно давать согласие сторонним приложениям. Согласие на доступ к почте и файлам — популярный способ обойти пароль, не крадя его.
Раз в квартал удаляйте гостевые записи, оставшиеся от завершённых проектов.

Отдельно проверьте, что уволенные сотрудники теряют доступ в день ухода, а не «когда дойдут руки». Порядок действий есть в чек-листе по безопасности при увольнении.

Почта в Exchange Online: правила, фильтры и пересылка

Почта — самый атакуемый сервис, и большинство проблем решается не покупкой защиты, а проверкой базовых настроек.

Внешнее автоперенаправление. Правило «пересылать всё на адрес в другом домене» — классический признак взломанного ящика. Разрешите его только администраторам и проверяйте отчёты.
Правила в ящиках. Злоумышленники создают фильтры, которые складывают письма банка и клиентов в отдельную папку. Раз в месяц стоит смотреть список правил у руководителей и бухгалтерии.
Антифишинговая политика. Включите имперсонацию защищённых доменов и пользователей, а также проверку имени отправителя: до 45% целевых писем имитируют знакомого человека, а не сторонний сервис.
Вложения и ссылки. Безопасные вложения и ссылки проверяют файл в момент открытия: часть простых попыток отсекается автоматически.

И главное правило для людей: письмо с просьбой срочно оплатить счёт или изменить реквизиты подтверждают звонком по известному номеру, а не ответом на письмо.

Устройства: Intune и условия доступа

Пока ноутбуки и телефоны не управляются, любая настройка в облаке остаётся рекомендацией. Минимальный набор для небольшой компании: регистрация устройств в Intune, требование шифрования диска и блокировки экрана, запрет локальных администраторов для обычных сотрудников.

Дальше условия доступа связывают устройство и данные: незарегистрированный или несоответствующий компьютер не получит почту и файлы. Украденный пароль без доверенного устройства бесполезен.

Не забудьте про личные телефоны. Если сотрудники читают почту с личных устройств, для них нужна отдельная политика: управление приложениями вместо управления всем телефоном, обязательный PIN и возможность удалить только корпоративные данные. Готовые формулировки есть в шаблонах политик безопасности.

Teams: где теперь начинается фишинг

Корпоративный мессенджер кажется безопасной зоной, и на это рассчитывают атакующие: пишут от имени руководителя, просят открыть «документ» и ввести код доступа.

Что стоит включить: ограничение внешних федераций — только домены партнёров, запрет анонимного участия во внешних встречах, проверку гостей и блокировку файлов из личных хранилищ. Отдельно проверьте, кто может создавать команды и приглашать внешних участников.

SharePoint и OneDrive: ссылки, которые утекают

Самая частая утечка в Microsoft 365 выглядит не как взлом, а как ссылка «доступна всем, у кого есть ссылка», отправленная не тому человеку. Настройки по умолчанию в этом смысле опаснее любой уязвимости.

Что сделать: изменить тип ссылки по умолчанию на «только люди из организации», запретить анонимные ссылки на критичных сайтах, ограничить срок жизни внешних ссылок. Раз в квартал просматривайте сайты с анонимным доступом — обычно там находится несколько забытых папок с договорами.

Журналы и оповещения: что должно срабатывать само

Настройки работают, пока кто-то смотрит результат. В стандартном журнале аудита события хранятся ограниченное время, поэтому выгрузку включают сразу, а не после инцидента.

Минимальный набор оповещений: массовое удаление файлов, создание правила пересылки на внешний адрес, вход из нетипичной страны, добавление нового глобального администратора, согласие на стороннее приложение, множественные неудачные входы. Каждое из них приходит на адрес, который не совпадает с почтой администратора, — иначе злоумышленник прочитает уведомление о собственных действиях.

Как измерять прогресс без иллюзий

Встроенная оценка защищённости полезна как ориентир, но не как цель: она растёт и от настроек, не влияющих на ваш риск. Полезнее четыре собственных показателя: доля учётных записей с MFA, доля устройств, зарегистрированных в Intune, число глобальных администраторов и количество сайтов с анонимным доступом.

Эти цифры стоит фиксировать раз в квартал и показывать руководителю. Они понятны без технических пояснений и сразу показывают, где процесс отстал от политики.

Итог

Базовая защита Microsoft 365 не требует покупки дополнительных продуктов: второй фактор, блокировка устаревших протоколов, DMARC, управление устройствами и контроль внешних ссылок закрывают большую часть сценариев. Настройки без владельца живут недолго, поэтому чек-лист стоит превратить в календарь: раз в месяц — правила и ссылки, раз в квартал — администраторы и устройства.

Частые вопросы

Достаточно ли включить MFA, чтобы считать арендатор защищённым? Нет. MFA закрывает перебор паролей и большую часть фишинга, но не отменяет согласие стороннего приложения, утечку через ссылку или правило пересылки. Нужны блокировка устаревших протоколов и контроль внешнего доступа.

Нужна ли отдельная платная защита почты? Часто достаточно встроенных политик: антифишинг, безопасные вложения и ссылки. Дополнительный сервис имеет смысл, когда есть частые целевые атаки или требования отрасли.

Что делать с личными телефонами сотрудников? Зарегистрировать в Intune с управлением приложениями, а не всем устройством, и описать условия в политике. Полный запрет в небольшой компании обычно не соблюдается.

Как часто пересматривать настройки? Правила почты и внешние ссылки — раз в месяц, состав администраторов и устройства — раз в квартал, полный пересмотр политик — раз в год и после каждого инцидента.

Можно ли доверять оценке защищённости в панели администратора? Как индикатор — да, как доказательство — нет. Она не знает ваших процессов: смотрите на свои показатели — MFA, устройства, администраторы, внешние ссылки.

Если нужна проверка арендатора и настройка по приоритетам — Связаться с командой.

Microsoft 365: чек-лист защиты для малого бизнеса