مقاله · Microsoft 365
چکلیست امنیت Microsoft 365 که واقعاً می‌توانید قدم‌به‌قدم اجرایش کنید
بیشتر تنت‌های Microsoft 365 از طریق آسیب‌پذیری‌های عجیب و پیچیده نفوذ نمی‌شوند؛ بلکه از راه ورودهای ضعیف، حساب‌هایی با دسترسی بیش از حد و تنظیماتی که پس از راه‌اندازی هیچ‌کس دوباره سراغشان نرفته است. این چکلیست مهم‌ترین کنترل‌ها را برای یک سازمان کوچک یا متوسط، به ترتیبی منطقی، مرور میکند.
- تاریخ انتشار
- ۹ دقیقه مطالعه
در این صفحه
نکات کلیدی
- هویت درِ ورودی است: احراز هویت چندعاملی (MFA) را برای همه حساب‌ها اجباری کنید و برای مدیران به سمت روشهای مقاوم در برابر فیشینگ بروید.
- پروتکل‌های احراز هویت قدیمی را مسدود کنید، چون این پروتکل‌ها حفاظت‌های مدرن ورود را به‌کلی دور می‌زنند.
- برای مدیران از حسابهای جداگانه و فقط‌ابری با محدودترین نقشی که کار را انجام میدهد استفاده کنید و تعداد مدیران کل (Global Administrator) را کم نگه دارید.
- با Microsoft Secure Score مثل فهرست کارهایی برای ارزیابی رفتار کنید، نه امتیازی که باید کورکورانه به حداکثر برسد.
- لینکهای اشتراکگذاری ناشناس، بازارسال خودکار به بیرون از سازمان و رضایت کاربران به برنامههای شخص ثالث را محدود کنید.
- مطمئن شوید ممیزی فعال است و رکوردهای SPF، DKIM و DMARC را منتشر کنید تا جعل دامنه شما دشوارتر شود.
از هویت شروع کنید: احراز هویت چندعاملی، پیشفرضهای امنیتی و دسترسی مشروط
هر تنت Microsoft 365 پیش از هر چیز با Microsoft Entra ID محافظت می‌شود؛ سرویس هویتی که پشت هر ورود قرار دارد. اگر مهاجم بتواند به‌جای یکی از کاربران شما وارد شود، بیشتر کنترلهای دیگر کارایی خود را تا حد زیادی از دست می‌دهند. به همین دلیل احراز هویت چندعاملی (MFA) نخستین مورد در هر چکلیست جدی است و باید همه حساب‌ها را پوشش دهد، از جمله حسابهای مشترک یا سرویسی که اغلب فراموش می‌شوند.
تنتهایی که لایسنس Entra ID P1 ندارند می‌توانند «پیشفرضهای امنیتی» (Security Defaults) را فعال کنند؛ مجموعه‌ای که مایکروسافت مدیریت میکند و ثبت MFA را الزامی میکند، مدیران را بیشتر به احراز هویت وامی‌دارد و احراز هویت قدیمی را مسدود میکند. پیشفرضهای امنیتی کفِ معقولی هستند، اما یا همه‌اش را دارید یا هیچ‌اش را. سازمان‌هایی که لایسنس Entra ID P1 دارند (که در Microsoft 365 Business Premium و طرحهای سازمانی E3 و E5 گنجانده شده است) بهتر است پیشفرضهای امنیتی را با سیاست‌های دسترسی مشروط (Conditional Access) جایگزین کنند که متناسب با کسبوکار قابل تنظیم‌اند.
یک مجموعه شروع عملی از سیاست‌های دسترسی مشروط چنین است: MFA برای همه کاربران؛ احراز هویت قویتر و مقاوم در برابر فیشینگ برای نقشهای مدیریتی؛ مسدودسازی احراز هویت قدیمی؛ الزام دستگاه سازگار (compliant) یا متصل به دامنه ترکیبی برای دسترسی به برنامههای حساس، در جایی که مدیریت دستگاه برقرار است؛ و مسدود یا محدود کردن ورود از کشورهایی که در آن‌ها کارمندی ندارید، اگر با الگوی سفر تیمتان سازگار باشد. سیاست‌ها را ابتدا در حالت «فقط گزارش» (report-only) بسازید، گزارشهای ورود را بررسی کنید و سپس آن‌ها را فعال کنید.
همیشه دو حساب دسترسی اضطراری (break-glass) داشته باشید که از دسترسی مشروط مستثنا باشند، با گذرواژه‌های طولانی و تصادفی یا کلیدهای امنیتی سخت‌افزاری محافظت شوند، در جای امن نگهداری شوند و هر ورودی به آن‌ها پایش شود. بدون این حساب‌ها، یک سیاست اشتباه می‌تواند همه مدیران را از تنت بیرون نگه دارد.
روشهای احراز هویت قویتر را انتخاب کنید
همه انواع MFA یکسان نیستند. مهاجمان اکنون به‌طور معمول از کیت‌های فیشینگ «مرد میانی» استفاده میکنند که گذرواژه و کد یک‌بارمصرف را هم‌زمان می‌گیرند و سپس توکن نشست را بازپخش میکنند.
اپلیکیشن Authenticator با تطبیق عدد
اعلان‌های Microsoft Authenticator همراه با تطبیق عدد (number matching) برای بیشتر کارکنان پیش‌فرض محکمی است و تأیید تصادفی آن بسیار دشوارتر از یک دکمه ساده «تأیید» است.
روشهای مقاوم در برابر فیشینگ
کلیدهای عبور (Passkey)، کلیدهای امنیتی FIDO2 و Windows Hello for Business به صفحه ورود واقعی گره خورده‌اند و در برابر فیشینگ بازپخشی مقاوم‌اند. این روش‌ها را برای مدیران، کارکنان مالی و مدیران ارشد در اولویت قرار دهید.
هر جا ممکن است، پیامک و تماس صوتی را کنار بگذارید
کدهای پیامکی و تلفنی از هیچ بهترند، اما در برابر تعویض سیم‌کارت (SIM swapping) و شنود آسیب‌پذیرند. پس از آنکه کاربران روش قوی‌تری ثبت کردند، با سیاست روشهای احراز هویت آن‌ها را غیرفعال کنید.
خودِ فرایند ثبت را محافظت کنید
الزام کنید ثبت MFA فقط از یک مکان مورد اعتماد یا دستگاه سازگار انجام شود، یا برای شروع کار کاربر جدید از Temporary Access Pass استفاده کنید تا مهاجمی که گذرواژه را دزدیده نتواند زودتر روش خودش را ثبت کند.
شکاف احراز هویت قدیمی را ببندید
احراز هویت قدیمی به پروتکل‌های قدیمیتری مانند POP، IMAP و SMTP با احراز هویت پایه گفته می‌شود که نام کاربری و گذرواژه را بدون پشتیبانی از چالش‌های مدرن MFA ارسال میکنند. مایکروسافت احراز هویت پایه را برای بیشتر پروتکل‌های Exchange Online خاموش کرده است، اما ارسال SMTP احرازشده، دستگاههای چندکاره قدیمی، اسکنرها و نرم‌افزارهای تخصصی کسبوکار هنوز در بسیاری از دفترهای کوچک استثنا ایجاد میکنند.
گزارشهای ورود Entra ID را بررسی کنید و بر اساس «برنامه کلاینت» فیلتر کنید تا ببینید کدام کلاینت‌های قدیمی هنوز متصل می‌شوند. تنظیمات «اسکن به ایمیل» را با گزینه‌ای پشتیبانیشده جایگزین کنید، مانند کانکتور رله SMTP که به نشانی IP دفتر شما محدود شده یا یک سرویس اسکن مدرن؛ سپس احراز هویت قدیمی را با دسترسی مشروط یا پیشفرضهای امنیتی مسدود کنید. SMTP AUTH را در سطح سازمان غیرفعال کنید و فقط برای صندوق‌های پستی مشخصی که واقعاً به آن نیاز دارند، تا زمان آماده شدن جایگزین، دوباره فعالش کنید.
دسترسی مدیران را محکم کنید
حسابهای مدیریتی ارزشمندترین اعتبارنامه‌های تنت شما هستند. با آن‌ها متفاوت از حسابهای روزمره رفتار کنید.
حسابهای مدیریتی جداگانه
به هر مدیر یک حساب اختصاصی فقط‌ابری بدهید (برای نمونه admin.firstname@yourtenant.onmicrosoft.com) بدون لایسنس صندوق پستی. با این حساب ایمیل نخوانید و در وب گشت نزنید.
نقش‌ها بر پایه اصل حداقل دسترسی لازم
به‌جای مدیر کل، نقشهای مشخصی مانند User Administrator، Exchange Administrator، Helpdesk Administrator یا SharePoint Administrator اختصاص دهید. توصیه مایکروسافت این است که تعداد مدیران کل به چند نفر محدود بماند و کمتر از پنج نفر را پیشنهاد میکند.
ارتقای دسترسی به‌موقع، در صورت داشتن لایسنس
Privileged Identity Management (PIM) به Entra ID P2 نیاز دارد که همراه E5 یا به‌صورت افزونه ارائه می‌شود. این قابلیت نقش‌ها را به‌جای دائمی، «واجد شرایط» میکند تا مدیران آن‌ها را برای مدتی محدود، با ذکر دلیل و MFA فعال کنند. بدون P2، انتساب نقش‌ها را هر سه ماه یک بار به‌صورت دستی بازبینی کنید.
دسترسی شرکا و برنامه‌ها را بازبینی کنید
روابط مدیریت تفویض‌شده (GDAP) با هر ارائه‌دهنده فناوری اطلاعات را بررسی کنید، روابطی را که دیگر لازم ندارید حذف کنید و برنامههای سازمانی‌ای را که مجوزهای پرامتیاز Microsoft Graph دارند بازبینی کنید.
از Microsoft Secure Score به‌عنوان فهرست کارهای اولویت‌بندی‌شده استفاده کنید
Microsoft Secure Score که در پورتال Microsoft Defender قرار دارد، اقدامات پیشنهادی را در حوزه‌های هویت، دستگاه‌ها، برنامه‌ها و داده‌ها فهرست میکند و برای هر کدام اثر تقریبی بر امتیاز و اثر بر کاربران را نشان میدهد. این ابزار راه خوبی برای یافتن تنظیماتی است که به آن‌ها فکر نکرده‌اید و پیشرفت را در طول زمان دنبال میکند.
پیش از اجرای هر توصیه، آن را بخوانید. برخی اقدامات به لایسنس‌هایی وابسته‌اند که ممکن است نداشته باشید، برخی اثر قابل توجهی بر کاربران دارند و برخی را می‌توان با ثبت دلیل کتبی، «پوشش‌داده‌شده با ابزار شخص ثالث» یا «ریسک پذیرفته‌شده» علامت زد. هدف رسیدن به عددی بی‌نقص نیست؛ هدف داشتن تصمیمی مستند برای هر توصیه است. Secure Score را ماهانه و پس از هر تغییر بزرگ بازبینی کنید و اقداماتی را که آگاهانه انجام نداده‌اید ثبت کنید.
اشتراکگذاری، بازارسال و رضایت به برنامه‌ها را کنترل کنید
داده‌ها معمولاً از طریق قابلیتهایی از تنت خارج می‌شوند که دقیقاً همان‌طور که تنظیم شده‌اند کار میکنند. این تنظیمات شایسته تصمیمی آگاهانه‌اند.
- اشتراکگذاری بیرونی در SharePoint و OneDrive: سطح کل سازمان را روی «فقط مهمانان جدید و موجود» یا محدودتر بگذارید و لینکهای «Anyone» را غیرفعال کنید یا برایشان تاریخ انقضا تعیین کنید. نوع لینک پیش‌فرض را «افراد داخل سازمان» قرار دهید.
- دسترسی مهمان: احراز هویت مهمانان را الزامی کنید، برای دسترسی آن‌ها تاریخ انقضا بگذارید و حسابهای مهمان را به‌طور دوره‌ای در Entra ID و Teams بازبینی کنید.
- بازارسال خودکار: سیاست فیلتر هرزنامه خروجی را طوری تنظیم کنید که بازارسال خودکار به بیرون مسدود شود و فقط برای نیازهای مستند کسبوکار استثنا قائل شوید. مهاجمانی که به یک صندوق پستی نفوذ میکنند معمولاً قانون بازارسال می‌سازند تا خواندن ایمیل‌ها را ادامه دهند.
- رضایت کاربران به برنامه‌ها: کاربران را از دادن رضایت به برنامههای شخص ثالثی که به داده‌های شرکت دسترسی می‌خواهند منع کنید و گردش‌کار «رضایت مدیر» را فعال کنید تا درخواست‌ها برای بررسی به واحد فناوری اطلاعات برسد.
- محافظت در برابر تهدیدهای ایمیلی: اگر Microsoft Defender for Office 365 Plan 1 دارید (که در Business Premium گنجانده شده)، سیاست‌های امنیتی آماده Standard یا Strict را اعمال کنید تا Safe Links، Safe Attachments و محافظت در برابر جعل هویت به‌طور یکپارچه فعال شوند.
- برچسب حساسیت و نگهداری: در صورت داشتن لایسنس، برچسب‌های حساسیت را برای مطالب محرمانه و سیاست‌های نگهداری را منتشر کنید تا محتوای حذف‌شده در بازه زمانی تعریف‌شده شما قابل بازیابی باشد.
ممیزی را فعال کنید و دامنه ایمیل خود را احراز هویت کنید
وقتی مشکلی پیش می‌آید، گزارش ممیزی (audit log) راهی است که می‌فهمید چه اتفاقی افتاده است. مطمئن شوید ممیزی یکپارچه در Microsoft Purview فعال است و ممیزی صندوق پستی برای همه صندوق‌ها روشن است؛ مایکروسافت این مورد را در تنت‌های فعلی به‌طور پیش‌فرض فعال میکند، اما بررسی آن، به‌ویژه در تنت‌های قدیمی‌تر، ارزشمند است. توجه داشته باشید که مدت نگهداری گزارشهای ممیزی به لایسنس شما بستگی دارد؛ اگر به سابقه طولانی‌تری نیاز دارید، برای خروجی گرفتن از گزارش‌ها یا تهیه لایسنس مناسب برنامه‌ریزی کنید.
احراز هویت ایمیل از دامنه شما در برابر استفاده برای جعل هویت شما محافظت میکند. یک رکورد SPF منتشر کنید که سرویس‌هایی را که به‌طور مشروع از طرف دامنه شما ایمیل می‌فرستند فهرست کند، امضای DKIM را برای هر دامنه سفارشی در پورتال Defender فعال کنید و یک رکورد DMARC منتشر کنید. DMARC را با p=none و گزارش‌گیری شروع کنید تا ببینید چه کسانی از طرف دامنه شما ایمیل می‌فرستند، فرستندگان مشروع مانند نرم‌افزار حسابداری یا سامانه خبرنامه را اصلاح کنید، سپس به p=quarantine و در نهایت به p=reject بروید. ارائه‌دهندگان بزرگ صندوق پستی به‌طور فزاینده‌ای از فرستندگان انبوه انتظار دارند SPF، DKIM و DMARC را داشته باشند؛ بنابراین این کار به تحویل‌پذیری ایمیل‌ها هم کمک میکند.
در پایان، سیاست‌های هشدار را برای رویدادهای پرخطر مانند ساخت قانون بازارسال جدید در صندوق ورودی، ارتقای دسترسی و حذف غیرعادی فایل‌ها تنظیم کنید و مطمئن شوید کسی واقعاً این هشدارها را در ساعات کاری دریافت و بررسی میکند.
مرحله‌به‌مرحله پیش بروید
لازم نیست همه‌چیز را در یک آخر هفته انجام دهید. ترتیب منطقی این است: MFA برای همه، حسابهای دسترسی اضطراری، جداسازی حسابهای مدیریتی، مسدودسازی احراز هویت قدیمی، و سپس اشتراکگذاری، بازارسال، ممیزی و احراز هویت ایمیل. آنچه را تغییر داده‌اید و دلیلش را ثبت کنید تا نفر بعدی بتواند منطق شما را دنبال کند.
پرسش‌های متداول
آیا پیشفرضهای امنیتی برای یک کسبوکار کوچک کافی است؟
پیشفرضهای امنیتی برای تنتهایی که Entra ID P1 ندارند پایه معقولی است؛ ثبت MFA را الزامی میکند و احراز هویت قدیمی را مسدود میکند. اگر Business Premium یا طرح دیگری با P1 دارید، دسترسی مشروط کنترل دقیقتری به شما میدهد، مثلاً الزام دستگاههای سازگار یا روشهای قویتر برای مدیران.
آیا برای امنسازی درست تنت به Microsoft 365 E5 نیاز داریم؟
خیر. بیشتر کنترلهای این چکلیست در Microsoft 365 Business Premium یا حتی طرحهای پایینتر در دسترس است. E5 قابلیتهایی مانند Privileged Identity Management و نگهداری طولانیتر گزارشهای ممیزی را اضافه میکند که برای برخی سازمانها ارزشمند است، اما اصول پایه به آن وابسته نیستند.
تنظیمات امنیتی Microsoft 365 را هر چند وقت یک بار باید بازبینی کنیم؟
Secure Score و انتساب نقشهای مدیریتی را ماهانه یا فصلی بازبینی کنید، حسابهای مهمان و لینکهای اشتراکگذاری را دستکم هر فصل بررسی کنید و هر بار که برنامه، دفتر یا ترتیب دورکاری جدیدی اضافه میکنید، دسترسی مشروط را دوباره مرور کنید.
آیا مسدود کردن احراز هویت قدیمی چاپگرها یا برنامههای ما را از کار میاندازد؟
ممکن است؛ به همین دلیل ابتدا گزارشهای ورود را بررسی میکنید. اسکنرها و برنامههای قدیمیتری که از SMTP با احراز هویت پایه استفاده میکنند معمولاً پیش از اعمال مسدودسازی به یک کانکتور رله یا جایگزین پشتیبانیشده نیاز دارند.
خدمات مرتبط
محصولات و بسته‌ها
ببینید تنت شما در چه وضعیتی است
ارزیابی امنیت Microsoft 365 سیاست‌های ورود، نقشهای مدیریتی، اشتراکگذاری و احراز هویت ایمیل را با این چکلیست مقایسه میکند و فهرستی کتبی و اولویت‌بندی‌شده از اصلاحات به شما میدهد.