Office 365 Defenderi täielik juhend: kaitske e-kirju ja faile

Kui kasutate Microsoft 365 , on teie e-post ja failid ründajate peamine sihtmärk, seega on tark turvalisust tõsiselt võtta. Microsoft Defender for Office 365 lisab Exchange Online Protectionile olulisi kaitsekihte , jälgides sõnumeid, linke, manuseid ja koostööd OneDrive'is, SharePointis ja Teamsis.

See praktiline juhend pakub põhjalikku ja praktilist ülevaadet: alates e-posti autentimisest (SPF, DKIM, DMARC) ja standardsetest/rangetest eelmääratletud poliitikatest kuni kontode prioriseerimise, kasutajaaruannete vastuvõtmise, lubatud/blokeeritud nimekirjade haldamise, andmepüügi simulatsioonide käivitamise ja intsidentidele reageerimiseni. Samuti saate teada litsentsimise, privaatsuse, andmete säilitamise ja näpunäidete kohta jõudluse parandamiseks ilma kasutajaid üle koormamata, näiteks Microsoft Defenderi turvaliste failide blokeerimise takistamise kohta.

Peamised nõuded ja load

Microsoft 365 sisaldab juba Endpoint Protectioniga (EOP) põhilist meilikaitset, kuid Defender for Office 365 laiendab seda kaitset täiustatud funktsioonidega . Selle sujuvaks konfigureerimiseks vajate vastavaid õigusi.

Lihtsaim viis delegeerimiseks on määrata Microsoft Entras turbeadministraatori roll neile, kes töötavad Defender for Office 365-ga. Kui eelistate täpsemat kontrolli, saate Defenderi portaalis kasutada Exchange Online'i õigusi või spetsiifilisi e-posti ja koostöö õigusi, kuid vältige globaalse administraatori rolli andmist kõigile ja järgige minimaalsete õiguste põhimõtet.

1. samm: konfigureerige e-posti autentimine (SPF, DKIM, DMARC ja ARC)

Enne rämpsposti või pahavara kaalumist on oluline allikas turvata. Meilisõnumite autentimine kinnitab, et sõnumid on ehtsad ja neid pole muudetud . Peaksite neid standardeid selles järjekorras rakendama iga kohandatud domeeni puhul, mis saadab meilisõnumeid Microsoft 365-st.

• SPF (TXT): Määrake, millistel hostidel on lubatud teie domeeni nimel saata. Avaldage korrektne SPF-kirje et vältida isikuandmete esitamist ja parandada kättetoimetamist.
• dkim laiendus: väljaminev signatuur, mis liigub päises ja jääb alles ka uuesti saatmise korral. Aktiveeri see oma domeenide jaoks ja kasutage CNAME-võtmeid, mille Microsoft 365 teile pakub.
• DMARC laiendus: Näitab, mida teha SPF/DKIM-i tõrke korral. Sisaldab poliitika p=tagasilükkamine op=karantiin ja koond- ja kohtuekspertiisi aruannete saajad, et teie sihtserverid teaksid, mida oodata.
• ARC: Kui vahendaja muudab sissetulevaid sõnumeid, logige see järgmiselt: usaldusväärne ARC-hermeetik jälgitavuse säilitamiseks ja päritolu autentimise rikkumise tagamiseks.

Kui kasutate meiliallikana domeeni '*.onmicrosoft.com', olete osa tööst juba ära teinud. SPF ja DKIM on vaikimisi konfigureeritud , kuid kui kasutate seda meilide saatmiseks, peate selle domeeni jaoks DMARC-kirje käsitsi looma.

2. samm: ohupoliitikad ja nende rakendamine

Defender for Office 365-l on kolm kontseptuaalset kihti: vaikepoliitikad, eelseadistatud turvapoliitikad ja kohandatud poliitikad . Nende erinevuste ja järjekorra mõistmine säästab teid paljudest probleemidest.

Saadaval olevate poliiside tüübid

• Vaikimisi direktiivid: nad elavad alates hetkest, mil te üürniku loote, kehtib alati kõigile saajatele ja te ei saa muuta nende ulatust (mõnel juhul saate muuta nende seadeid). Need on teie turvavõrk.
• Eelseadistatud turvapoliitikadSuletud profiilid Microsofti parimate tavadega kahes variandis: Standard y RangeIntegreeritud linkide ja manuste kaitse on vaikimisi lubatud; standardse/range kaitse korral peate selle lubama ning määrama saajad ja erandid.
• Kohandatud direktiivid: kui vajate konkreetseid seadeid (keele/riigi blokeerimine, kohandatud karantiinid, kohandatud teavitused), loo nii palju kui vaja ja määrate tingimused kasutajate, rühmade või domeenide kaupa.

Vaikesätted muutuvad automaatselt: kui Microsoft soovitust tugevdab, siis profiil uueneb ja te saate sellest kasu ilma midagi tegemata. Standard- ja rangetes režiimides saate muuta ainult kasutaja ja domeeni isikupärastamise kirjeid ja erandeid; kõik muu on fikseeritud soovituslikul tasemel.

Eelistusjärjekord

Sõnumi või üksuse hindamisel on ülimuslik esimene kohaldatav reegel ja kõik teised jäetakse tähelepanuta. Üldiselt on järjekord järgmine:

1. Eelseadistatud turvapoliitikadesmalt range, seejärel standardne.
2. Kohandatud direktiivid selle tunnuse prioriteedi järgi järjestatud loend (0, 1, 2…).
3. Vaikimisi poliitika (või integreeritud kaitse turvaliste linkide/manuste puhul).

Ebatavaliste kattumiste vältimiseks kasutage igal tasemel eraldi adressaatide gruppe ja lisage kohandatud poliitikatega kasutajatele erandid range/standardse taseme adressaatide hulgast. Need, kes ei kuulu kõrgematele tasemetele, on kaitstud vaike- või sisseehitatud poliitikate abil.

Soovitatav strateegia

Kui kohandamise vajadust pole, alustage kogu organisatsiooni jaoks standardpoliitikast ja jätke range poliitika kõrge riskiga rühmade jaoks. See on lihtne, töökindel ja kohandub automaatselt ohtude muutudes.

3. samm: määrake administraatoritele õigused ilma üle pingutamata

Kuigi teie esialgsel kontol on täielik juurdepääs, ei ole hea mõte anda globaalse administraatori rolli kõigile, kes peavad turvalisusega tegelema. Reeglina määrake Microsoft Accessi turbeadministraatori roll administraatoritele, spetsialistidele ja tugipersonalile, kes haldavad Defender for Office 365.

Kui nad tegelevad ainult e-kirjadega, saate Defenderi portaalis valida Exchange Online'i õigused või e-posti ja koostöö rollid. Rünnakupinna vähendamiseks kasutage minimaalsete õiguste valikut .

4. samm: prioriteetsed kontod ja kasutajasildid

Defender for Office 365 võimaldab teil märkida kuni 250 kasutajat prioriteetseteks kontodeks , et neid aruannetes ja uurimistes esile tõsta ning rakendada täiendavaid heuristikaid. See sobib ideaalselt juhtidele, finants- või IT-osakonnale.

2. pakett annab teile juurdepääsu ka kohandatud kasutajasildidele, et rühmitada kasutajarühmi (tarnijad, VIP-id, osakonnad) ja filtreerida analüütikat. Määrake, keda tuleks esimesest päevast alates märgistada.

5. samm: kasutajate teatatud sõnumid

Kasutajate teavitamine on hindamatu väärtusega: nende teatatud valepositiivsed/-negatiivsed tulemused võimaldavad teil poliitikaid kohandada ja Microsofti filtreid treenida.

• Kuidas nad aru annavad: Outlooki integreeritud nupuga „Teata” (veebi-/töölauaversioon) või toetatud kolmanda osapoole tööriistad mis kasutavad toetatud vormingut; nii kuvatakse need esildiste kasutaja vahekaardil „Aruanne”.
• Kuhu nad lähevad?: vaikimisi Microsoftis juba määratud postkasti. Saate seda muuta ainult postkast (ja edasta käsitsi Microsoftile) või ainult MicrosoftLooge nende aruannete jaoks spetsiaalne postkast; ärge kasutage algset kontot.

Aruannete saatmine Microsoftile aitab filtritel kiiremini õppida . Kui otsustate kasutada ainult postkaste, ärge unustage esitada analüüsimiseks asjakohaseid e-kirju vahekaardilt „Esitused“.

6. samm: blokeeri ja luba peaga

Lubatud/blokeeritud üürnike nimekirjad on võimsad, kuid lubamisfunktsiooni ülekasutamine avab tarbetuid uksi . Blokeerimist tuleks prioriseerida ja ajutisi järeleandmisi tuleks kasutada alles pärast põhjalikku kontrollimist.

• Blokeeri: lisage domeenid/e-posti aadressid, failid ja URL-id vastavatele vahekaartidele või saada Microsoftile esemeid saatjate hulgast, et kirje luuakse automaatselt. Võltsimisluure kuvab blokeeritud/lubatud saatjad; saate otsuseid muuta või looge ennetavaid kirjeid.
• Luba: Saate lubada domeenidel/e-posti aadressidel ja URL-idel tühistada massi-, rämpsposti-, kõrge usaldusastmega rämpsposti- või ebausaldusväärse andmepüügi otsused. Pahavara ei saa otse lubada või URL-id/domeenid, mis on märgitud kõrge usaldusväärsusega andmepüügiks; sellistel juhtudel esitage need esildiste alt ja märkige „Olen ​​kinnitanud, et see on puhas”, et luua ajutine erand.

Erandite jälgimine: vaadake need üle ja lõpetage nende rakendamine, kui neid enam vaja ei ole. See hoiab ära olukorrad, mis varasema lubatavuse tõttu ei peaks tekkima.

7. samm: andmepüügi simulatsioonid ja koolitus

Rünnakusimulatsiooni koolitusega (plaan 2) saate käivitada realistlikke andmepüügikampaaniaid ja määrata koolituse vastavalt kasutajate reaktsioonile. Kõigi aluste katmiseks valige volituste, QR-koodi andmepüügi, pahatahtlike manuste või BEC vahel.

Nende kampaaniate telemeetria paljastab riskantset käitumist ja aitab planeerida abivägede väljastamist. Ideaalis tuleks simulatsioone läbi viia kord kvartalis , et olukorral silma peal hoida.

8. samm: uurige ja vastake aega raiskamata

Kui hoiatus käivitub, on eesmärk selge: mõista selle ulatust ja see kiiresti kõrvaldada . Defender for Office 365 pakub teile iga päev kahte peamist eelist.

• Ohu uurija: Filtreeri pahavara, andmepüügi või tuvastatud URL-ide järgi, kasuta kampaaniavaade et näha kõiki mõjutatud sõnumeid ja rakendada ohustatud sõnumitele hulgitoiminguid (pehme kustutamine/puhastamine).
• Automaatne uurimine ja reageerimine (AIR) 2. plaanis: algatab uurimisi, isoleerib sõnumeid, analüüsib linke, seob postkaste ning pakub välja või viib ellu parandusmeetmeid.

Lisaks saab nulltunni automaatne puhastus ( ZAP ) pärast kohaletoimetamist e-kirju ümberklassifitseerimise korral eemaldada, vähendades seeläbi kokkupuuteaega, kui midagi hiljem pahatahtlikuks hinnatakse.

OneDrive'i, SharePointi ja Teamsi kaitsmine

Meil on küll värav, aga failid on saak. Laiendage kaitset OneDrive'ile, SharePointile ja Teamsile, et vältida nakkusi ja filtreerida koostöös pahatahtlikku sisu.

• Failides olev pahavaratõrjeLiivakasti manuste analüüs ja detoneerimine turvaliste manuste abil, sealhulgas dünaamiline edastamine et faili kontrollimise ajal sõnumi lugemist mitte katkestada. Samuti saate teada, kuidas kontrollige allalaaditud faili.
• Turvalised lingidReaalajas URL-ide ümberkirjutamine ja analüüs meilides, dokumentides ja Teamsis; saate vältida klikkimist hoiatuste ignoreerimise blokeerimiseks.
• DLP ja tundlikkuse sildid (Pädevusala): Hoiab ära tundlike andmete lekkeid ja rakendab krüpteerimist/kontrolli tundlikkuse taseme järgi, isegi väljaspool organisatsiooni, või õppige peita ja kaitsta konfidentsiaalseid e-kirju.

Täiendage seda Microsoft Defenderiga pilverakenduste jaoks , et avastada vari-IT-d, jõustada reaalajas poliitikaid ja tuvastada anomaaliaid (lunavara, pahatahtlikud rakendused) nii Microsofti kui ka kolmandate osapoolte pilveteenustes.

Litsentsimine ja kiire aktiveerimine

Defender for Office 365 on saadaval kahes paketis: P1 (turvalised lingid, turvalised manused ja täiustatud andmepüügivastane kaitse) ja P2 (mis lisab Threat Exploreri, AIRi ja simulatsioonid). E5 sisaldab P2 ; E3-ga saate vastavalt vajadusele lisada P1 või P2.

funktsionaalsus	EOP laiendus	kava 1	kava 2
Standardne rämpsposti/pahavara tõrje	✔	✔	✔
Turvalised lingid	-	✔	✔
Ohutud manused	-	✔	✔
Andmepüügivastane kaitse koos IA	-	✔	✔
Ohu uurija / Õhk	-	-	✔
Rünnaku simulatsioon	-	-	✔

Selle aktiveerimiseks minge Microsoft 365 Defenderisse, seejärel valikusse Meil ​​ja koostöö > Poliitikad ja reeglid ning lubage valik Standardne/Ranged. Määrake ulatus (kasutajad, rühmad, domeenid) ja vajadusel määratlege erandid.

PowerShelli otsetee andmepüügivastaseks kaitseks

# Conecta al módulo de Exchange Online
Connect-ExchangeOnline

# Crea política y regla de Anti-Phish básicas
New-AntiPhishPolicy -Name 'AntiPhishCorp' \
 -EnableMailboxIntelligence $true \
 -EnableDomainImpSpoofProtection $true \
 -EnableUserImpSpoofProtection $true

New-AntiPhishRule -Name 'AntiPhishCorpRule' \
 -AntiPhishPolicy 'AntiPhishCorp' -RecipientDomainIs 'midominio.com'

Pea meeles, et turvaliste manusfailide dünaamilise edastamise korral saab kasutaja sõnumi sisu koheselt kätte ja manus vabastatakse pärast päästikut; see parandab kogemust turvalisust ohverdamata.

Parimad tavad, nullusaldus ja integratsioon

Oma positsiooni tugevdamiseks rakenda neid juhiseid. Need ei nõua maagiat, vaid järjepidevust ja praktilist otsustusvõimet.

• DMARC, kus p = karantiin/tagasilükkamine ja DKIM kõigil domeenidel, et peatada võltsimine.
• Vaadake turvaskoori üle kaks korda aastas ja eesmärk on ≥ 75%. Rakendage asjakohaseid soovitusi.
• Jälgige valepositiivseid tulemusi karantiinis ja kohane ilma üle lubamata. Vähem on rohkem.
• Kvartali simulatsioonid et lõppkasutaja seas tõeliselt teadlikkust tõsta.
• Integreerimine Microsoft Sentineliga Kui teil on SIEM, mitme domeeni korrelatsiooni ja SOAR-i automatiseerimise jaoks.
• Dokumentide erandid (näiteks kolmandad osapooled saadavad ebatavalisi manuseid) ja vaadake need kord kvartalis üle.

Nullusaldusstrateegia raames hõlmab Defender for Office 365 e-posti ja koostööd; lisage Defender for Endpoint , et peatada külgmine liikumine ja reageerida seadmes, ning tuginege SmartScreenile ohtlike veebisaitide ja allalaadimiste peatamiseks lõpp-punktis, samuti konfigureerige mobiilseadmete haldust (MDM).

Andmed ja privaatsus Defender for Office 365-s

Meili- ja Teamsi-sõnumite töötlemisel käsitleb Microsoft 365 metaandmeid, nagu kuvatavad nimed, meiliaadressid, IP-aadressid ja domeenid . Neid andmeid kasutatakse võrguühenduseta masinõppeks, maine haldamiseks ja selliste funktsioonide nagu ZAP jaoks. Lisaturvalisuse tagamiseks kaaluge oma meili kaitsmist varjestatud meiliga.

Kõikidele aruannetele kehtivad EUPI (pseudonüüm) ja EUII identifikaatorid järgmiste kaitsemeetmetega: andmeid jagatakse ainult teie organisatsiooni piires, neid säilitatakse teie piirkonnas ja neile pääsevad ligi ainult volitatud kasutajad . Passiivses olekus krüptitakse ODL-i ja CDP-d kasutades.

Andmete asukoht

Defender for Office 365 töötab Microsoft Entra andmekeskustes. Teatud geograafilistes piirkondades salvestatakse ettevalmistatud organisatsioonide andmeid ainult nende piirkonnas. Kohapealse asukohaga piirkonnad on järgmised:

• Austraalia
• Brasil
• Kanada
• ELi
• Prantsusmaa
• Saksamaa
• India
• Iisrael
• Itaalia
• Jaapan
• Norra
• Poola
• Katari
• Singapur
• Lõuna-Aafrika Vabariik
• Lõuna-Korea
• Rootsi
• Šveits
• Araabia Ühendemiraadid
• Suurbritannia
• Ameerika Ühendriikide

Kohalikus piirkonnas salvestatud passiivsed andmed (pilvepostkastide ja Defender for Office 365 vaikekaitsed) hõlmavad teateid, manuseid, blokeeritud meilide loendeid, meili metaandmeid , analüütikat, rämpsposti, karantiine, aruandeid, poliitikaid, rämpsposti domeene ja URL-e.

Säilitamine ja jagamine

Defender for Office 365 andmeid säilitatakse aruannetes ja logides 180 päeva . Väljavõetud isikuandmed krüpteeritakse ja kustutatakse automaatselt 30 päeva pärast säilitusperioodi lõppu. Litsentside ja ajapikenduse lõppemisel kustutatakse andmed jäädavalt hiljemalt 190 päeva pärast tellimuse lõppu.

Defender for Office 365 jagab andmeid Microsoft 365 Defender XDR-i, Microsoft Sentineli ja auditilogidega (kui kliendil on litsents), välja arvatud GCC valitsusasutuste pilveteenused.

Lunavaratõrje Microsoft 365-s

Kui kõigest hoolimata peaks midagi märkamata jääma, tegutse kiiresti: peata OneDrive'i sünkroonimine ja isoleeri ohustatud arvutid , et säilitada terved varukoopiad. Seejärel kasuta ära sisseehitatud valikuid.

• Versiooni juhtimineSalvestage mitu versiooni SharePointi, OneDrive'i ja Exchange'i. Saate määrata kuni 50 000 versiooni, kuid olge ettevaatlik: Mõned lunavarad krüpteerivad kõik versioonid ja ladustamine lisakonto.
• Prügikast: Taastab kustutatud üksused 93 päevaPärast seda perioodi ja kahte prügifaasi võite Microsoftilt küsida kuni 14 lisapäeva taastumiseks.
• Säilitamiseeskirjad (E5/A5/G5): määrab, kui kaua andmeid säilitada ja mida saab kustutada; automatiseerib kinnipidamisi sisutüüpide järgi.
• Säilitushoidla raamatukoguAktiivsete ootelepanekute korral salvestatakse muutmatu koopia OneDrive'i/SharePointi; võimaldab teil pärast intsidenti puutumata faile taastada.
• Kolmanda osapoole varukoopiadMicrosoft ei tee seda backup teie M365 sisu traditsiooniline varundamine; kaaluge SaaS-i varunduslahendust Nõudlik RTO/RPO ja detailset taastamist või õppige varundage oma e-kirjad.

Sisenemisvektorite vähendamiseks pidage meeles, et andmepüügi ja võltsimise ohtu vähendavad meilikaitsed (EOP + Defender), mitmefaktoriline autentimine , rünnakupinna vähendamise reeglid ja Exchange'i sätted tuleks kombineerida.

Kui kõik eelnev on õigesti rakendatud, muutub teie Microsoft 365 keskkond oluliselt töökindlamaks: autentitud e-post, selge eelistusega järjepidevad poliitikad, turvaline koostöö , kasutajate aruandlus, hariduslikud simulatsioonid ning reaalsed uurimis- ja reageerimisvõimalused. Lisaks regulaarsetele ülevaadetele, turvaskoorile ja minimaalsetele eranditele on teil süsteem, mis talub tänapäevaseid kampaaniaid ilma kasutatavust ohverdamata.