Безопасность Microsoft 365 для малого бизнеса: чек-лист из 12 шагов
Почта, файлы и календари большинства небольших компаний живут в Microsoft 365, но многие тенанты до сих пор работают с настройками первого дня. Злоумышленники это знают. Самый частый инцидент, который мы видим, это не хитрая уязвимость, а украденный пароль от почтового ящика. Дальше клиентам компании уходят поддельные счета с настоящего адреса.
Ниже чек-лист, по которому мы проходим, когда берём на обслуживание тенант Microsoft 365 компании на 5-100 человек. Большинство шагов занимают минуты, и почти ни один не требует дополнительных лицензий.
1. Включите многофакторную аутентификацию для всех
Если делать только что-то одно, то это. MFA блокирует подавляющее большинство атак на пароли. На тарифах Business Basic и Standard включите Security defaults в Entra ID. На Business Premium используйте политики Conditional Access: они гибче. Выбирайте приложение Microsoft Authenticator с подтверждением по числу, а не SMS.
2. Заблокируйте устаревшую аутентификацию
Старые протоколы POP, IMAP и базовая SMTP-аутентификация не поддерживают MFA, и через них её обходят. Security defaults блокируют их автоматически. Перед блокировкой проверьте, не отправляет ли почту так старый сканер или учётная программа.
3. Разделите админские и рабочие учётные записи
Никто не должен читать почту под глобальным администратором. Заведите отдельные админ-аккаунты (например, admin.anna@company.com), защитите их устойчивой к фишингу MFA и оставьте не больше двух-трёх глобальных администраторов. Остальным выдайте узкие роли: администратор пользователей, администратор Exchange.
4. Создайте аварийную учётную запись
Держите один облачный аккаунт глобального администратора с длинным случайным паролем, который хранится офлайн и исключён из политик Conditional Access. Если политика по ошибке заблокирует всех, он вернёт доступ. Настройте оповещение о каждом входе в него.
5. Защитите домен записями SPF, DKIM и DMARC
Без них кто угодно может отправить письмо от имени вашего домена. Включите подпись DKIM в портале Microsoft Defender, опубликуйте SPF и запустите DMARC в режиме мониторинга. Подробно об этом в статье про SPF, DKIM и DMARC.
6. Запретите автопересылку на внешние адреса
Захватив ящик, злоумышленники часто создают правило, которое тихо пересылает всю почту наружу. В политике исходящего спама выключите автоматическую пересылку. Если она кому-то действительно нужна, разрешите только этим людям.
7. Включите то, что уже есть в Defender for Office 365
В Business Premium входят Safe Links и Safe Attachments. Примените ко всем пользователям стандартную предустановленную политику безопасности: её поддерживает Microsoft, и она лучше ручных настроек, которые никто не пересматривает. На младших тарифах проверьте защиту от подмены имени для руководителей и бухгалтерии.
8. Пересмотрите внешний доступ в SharePoint и OneDrive
Ссылки «для всех, у кого есть ссылка» удобны и опасны. Сделайте тип ссылки по умолчанию «Определённые пользователи», задайте срок действия гостевых ссылок и решите, можно ли делиться файлами с любыми внешними адресами.
9. Ограничьте согласие на доступ приложений
Популярная атака просит пользователя выдать вредоносному приложению доступ к почте. В Entra ID разрешите пользователям одобрять только приложения проверенных издателей с низкими правами, остальное через администратора.
10. Включите журнал аудита и оповещения
Проверьте, что единый журнал аудита включён, и настройте оповещения о новых правилах пересылки, массовом скачивании файлов и входах из необычных стран. Расследовать то, что не записано, невозможно.
11. Управляйте устройствами, а не только учётками
В Business Premium есть Intune: можно требовать шифрование диска, блокировку экрана и актуальные обновления на ноутбуках и телефонах с рабочими данными. Даже простое правило вроде запрета скачивания на неуправляемые устройства закрывает большую дыру.
12. Делайте резервные копии того, что не защищает Microsoft
Microsoft отвечает за работу сервиса, но не спасёт от папки, удалённой полгода назад, или шифровальщика в OneDrive. Политики хранения помогают, а сторонний бэкап Microsoft 365 даёт восстановление почты и файлов на любую дату.
Сколько это занимает
Для компании на 20 человек шаги 1-10 обычно занимают один рабочий день вместе с тестированием. Устройства и бэкап ещё несколько дней. Главный риск не технический: это включить MFA без предупреждения. Отправьте сотрудникам короткое письмо накануне, объясните, как установить Authenticator, и будьте на связи для вопросов.
Хотите узнать, где сейчас ваш тенант? Бесплатный IT-аудит проверяет безопасность почты снаружи, а при подключении мы проверяем учётки, админ-роли и покрытие MFA.