Bezpieczeństwo Microsoft 365 – 7 ustawień, które warto sprawdzić w każdej firmie
Microsoft 365 stał się jednym z najważniejszych środowisk pracy w wielu firmach. Outlook, Teams, OneDrive i SharePoint przechowują wiadomości, dokumenty, dane klientów oraz informacje wykorzystywane w codziennej pracy.
Samo korzystanie z rozwiązań chmurowych nie oznacza jednak, że środowisko jest automatycznie odpowiednio zabezpieczone. Duże znaczenie ma sposób konfiguracji kont, uprawnień i zasad dostępu.
Cyberprzestępca nie zawsze musi przełamywać zabezpieczenia całej infrastruktury. Czasem wystarczy, że przejmie hasło jednego pracownika.
Co może się wydarzyć po przejęciu konta?
Przejęte konto Microsoft 365 może zostać wykorzystane do:
uzyskania dostępu do firmowej poczty i dokumentów,
wysyłania wiadomości podszywających się pod pracownika,
wyłudzania przelewów lub poufnych informacji,
rozsyłania phishingu do klientów i kontrahentów,
pobierania danych z OneDrive lub SharePoint,
tworzenia ukrytych reguł przekierowujących pocztę,
podejmowania kolejnych prób przejęcia infrastruktury.
Wiadomość wysłana z prawdziwego firmowego konta może wzbudzać znacznie większe zaufanie niż standardowy e-mail phishingowy. Dlatego ochrona tożsamości użytkowników powinna być jednym z podstawowych elementów cyberbezpieczeństwa organizacji.
1. Włącz uwierzytelnianie wieloskładnikowe
Pierwszym krokiem powinno być wdrożenie uwierzytelniania wieloskładnikowego, czyli MFA, dla wszystkich użytkowników — szczególnie dla kont posiadających uprawnienia administracyjne.
MFA wymaga potwierdzenia logowania za pomocą dodatkowego elementu, np. aplikacji Microsoft Authenticator, klucza bezpieczeństwa albo danych biometrycznych. Dzięki temu znajomość samego hasła nie musi wystarczyć do zalogowania się na konto. Microsoft opisuje MFA jako dodatkową warstwę ochrony przed wykorzystaniem słabego lub ujawnionego hasła.
Włączenie MFA tylko dla części pracowników pozostawia jednak luki. Atakujący może wybrać konto, na którym dodatkowe zabezpieczenie nie zostało uruchomione.
2. Skonfiguruj zasady dostępu warunkowego
Dostęp warunkowy pozwala określić, w jakich sytuacjach użytkownik może zalogować się do firmowych zasobów.
System może brać pod uwagę m.in.:
lokalizację logowania,
rodzaj urządzenia,
wykorzystywaną aplikację,
status bezpieczeństwa urządzenia,
rolę użytkownika,
poziom ryzyka logowania.
Możliwe jest na przykład wymaganie dodatkowego potwierdzenia przy próbie logowania z nowego urządzenia, zablokowanie wybranych lokalizacji albo ograniczenie dostępu do poufnych danych wyłącznie do urządzeń zarządzanych przez firmę.
Zakres dostępnych funkcji zależy od posiadanych licencji. Zaawansowane zasady Conditional Access są dostępne m.in. w Microsoft Entra ID P1 oraz Microsoft 365 Business Premium. Dokumentacja Microsoft dotycząca Conditional Access
3. Ogranicz liczbę administratorów
Nie każdy pracownik zajmujący się IT powinien posiadać pełne uprawnienia administratora globalnego.
Im więcej kont z szerokimi uprawnieniami, tym większe ryzyko, że jedno z nich zostanie przejęte albo wykorzystane w niewłaściwy sposób. Użytkownik powinien otrzymywać wyłącznie te uprawnienia, które są mu rzeczywiście potrzebne.
Dobrą praktyką jest również rozdzielenie konta używanego do codziennej pracy od konta administracyjnego. Microsoft zaleca stosowanie zasady najmniejszych uprawnień oraz ograniczanie liczby administratorów globalnych. Zasady zarządzania rolami Microsoft Entra
4. Usuwaj nieaktywne konta i odbieraj dostępy
Konto byłego pracownika, nieużywana skrzynka albo dostęp pozostawiony zewnętrznemu współpracownikowi mogą stać się słabym punktem środowiska.
Firma powinna posiadać jasną procedurę odbierania dostępu po zakończeniu współpracy.
Warto regularnie sprawdzać:
nieaktywne konta użytkowników,
konta gościnne,
członkostwo w grupach,
przydzielone role administracyjne,
dostęp do Teams, SharePoint i współdzielonych plików,
aktywne sesje i urządzenia użytkownika.
Takie przeglądy ograniczają ryzyko pozostawienia dostępu osobom, które nie powinny już korzystać z firmowych zasobów.
5. Kontroluj udostępnianie plików na zewnątrz
OneDrive, SharePoint i Teams ułatwiają współpracę z klientami oraz kontrahentami. Jednocześnie zbyt szerokie ustawienia udostępniania mogą prowadzić do niekontrolowanego rozpowszechniania dokumentów.
Należy sprawdzić, czy użytkownicy mogą tworzyć publiczne linki, jak długo pozostają one aktywne oraz kto ma dostęp do konkretnych plików i zespołów.
W przypadku dokumentów zawierających dane klientów, informacje finansowe albo dane osobowe warto ograniczyć udostępnianie i stosować dostęp tylko dla wskazanych użytkowników.
6. Monitoruj logowania i nietypową aktywność
Samo wdrożenie zabezpieczeń nie wystarczy, jeżeli nikt nie sprawdza, co dzieje się w środowisku.
Analiza logowań może pomóc wykryć:
próby dostępu z nietypowych lokalizacji,
dużą liczbę nieudanych logowań,
logowania z nowych urządzeń,
nietypową aktywność administratorów,
korzystanie ze starszych metod uwierzytelniania,
podejrzane operacje wykonywane po zalogowaniu.
Regularny monitoring pozwala szybciej zauważyć incydent i ograniczyć jego skutki. Nie chodzi jedynie o gromadzenie logów, ale o ich analizę oraz właściwą reakcję.
7. Sprawdzaj reguły poczty i dostęp aplikacji
Po przejęciu skrzynki atakujący może utworzyć regułę automatycznie przekazującą wiadomości na zewnętrzny adres albo ukrywającą wybrane e-maile przed właścicielem konta.
Warto również kontrolować aplikacje zewnętrzne, którym użytkownicy udzielili dostępu do poczty, kalendarza, kontaktów lub plików. Nieaktualna albo niezweryfikowana aplikacja może stanowić dodatkową drogę dostępu do firmowych danych.
Okresowy przegląd reguł skrzynek, przekierowań i przyznanych zgód powinien być częścią administracji Microsoft 365.
Jak zacząć zabezpieczanie Microsoft 365?
Najlepszym pierwszym krokiem jest audyt konfiguracji środowiska. Pozwala on sprawdzić, czy zabezpieczenia są rzeczywiście aktywne i obejmują wszystkich użytkowników.
Audyt Microsoft 365 może uwzględniać:
konfigurację MFA,
role i konta administracyjne,
zasady dostępu,
ustawienia udostępniania danych,
nieaktywne konta,
reguły poczty i przekierowania,
rejestry logowań,
zabezpieczenia urządzeń,
konfigurację ochrony przed phishingiem.
Rezultatem powinien być konkretny plan zmian, a nie tylko lista wykrytych problemów.
Podsumowanie
Bezpieczeństwo Microsoft 365 zależy nie tylko od technologii, ale również od właściwej konfiguracji i stałego nadzoru.
MFA, ograniczenie uprawnień administratorów, kontrola udostępniania oraz monitoring logowań mogą znacząco utrudnić przejęcie konta i ograniczyć skutki incydentu.
W SPARK‑IT wdrażamy, konfigurujemy i administrujemy środowiskami Microsoft 365. Pomagamy firmom uporządkować dostęp użytkowników, zwiększyć bezpieczeństwo danych oraz dostosować rozwiązania do sposobu pracy organizacji.
Komentarze