指南 · Microsoft 365
一份真正能逐项落实的Microsoft 365安全检查清单
大多数Microsoft 365租户被攻破，并不是因为什么罕见的漏洞，而是因为登录保护薄弱、账户权限过大，以及初次设置后再也没人检查过的配置。本清单按合理的顺序，逐一介绍对中小型机构最重要的安全控制措施。
- 发布日期
- 阅读约需9分钟
本页内容
要点速览
- 身份是企业的大门：为每个账户强制启用多因素身份验证，并让管理员逐步改用抗网络钓鱼的验证方式。
- 阻止旧式身份验证协议，因为它们会完全绕过现代登录保护。
- 使用独立的纯云端管理员账户，只分配完成工作所需的最小角色，并把全局管理员的数量控制在少数几个。
- 把Microsoft安全分数当作一份需要逐项评估的待办清单，而不是盲目追求的高分。
- 限制匿名共享链接、自动转发到外部邮箱，以及用户自行授权第三方应用。
- 确认审计日志已开启，并发布SPF、DKIM和DMARC记录，让他人更难冒用您的域名。
从身份入手：多因素身份验证、安全默认值和条件访问
每个Microsoft 365租户的第一道防线都是Microsoft Entra ID，也就是每次登录背后的身份服务。攻击者一旦能以您某位用户的身份登录，其他大多数控制措施的作用就会大打折扣。正因如此，多因素身份验证（MFA）是任何一份严肃清单上的第一项，而且必须覆盖每一个账户，包括经常被遗忘的共享账户和服务类账户。
没有Entra ID P1许可证的租户可以开启“安全默认值”。这是由Microsoft管理的一组设置，要求所有用户注册MFA，对管理员进行更频繁的验证，并阻止旧式身份验证。安全默认值是一条合理的底线，但它只能全开或全关。拥有Entra ID P1许可证的机构（Microsoft 365 Business Premium以及企业版E3和E5均已包含）应当用条件访问策略取代安全默认值，因为条件访问可以按业务需要灵活调整。
一套实用的初始条件访问策略包括：要求所有用户使用MFA；要求管理员角色使用更强的、抗网络钓鱼的身份验证；阻止旧式身份验证；在已实施设备管理的情况下，要求访问敏感应用时使用合规设备或混合加入的设备；如果符合团队的出差习惯，阻止或限制来自没有员工所在国家的登录。建议先以“仅报告”模式创建策略，检查登录日志后再正式启用。
务必保留两个应急（break-glass）账户：将其排除在条件访问之外，使用很长的随机密码或硬件安全密钥保护，妥善保管，并对其任何登录进行监控。如果没有这类账户，一条配置错误的策略就可能把所有管理员都锁在租户之外。
选择更强的身份验证方式
并非所有MFA都同样安全。攻击者现在经常使用“中间人”钓鱼工具包，同时截获密码和一次性验证码，再重放会话令牌。
带号码匹配的验证器应用
带号码匹配的Microsoft Authenticator推送通知，是大多数员工可靠的默认选择；与只需点一下“批准”的按钮相比，误批准的可能性要小得多。
抗网络钓鱼的验证方式
通行密钥、FIDO2安全密钥和Windows Hello for Business都与真正的登录页面绑定，能够抵御转发式钓鱼攻击。应优先为管理员、财务人员和高管启用。
尽可能停用短信和语音验证
短信和电话验证码聊胜于无，但容易受到SIM卡劫持和拦截的威胁。在用户注册了更强的验证方式之后，可通过身份验证方法策略将其停用。
保护注册环节本身
要求只能在受信任的地点或合规设备上注册MFA，或在入驻启动时使用临时访问通行证（Temporary Access Pass），以免持有被盗密码的攻击者抢先注册自己的验证方式。
堵住旧式身份验证的漏洞
旧式身份验证指POP、IMAP以及使用基本身份验证的SMTP等较老的协议，它们直接发送用户名和密码，不支持现代MFA验证。Microsoft已经为大多数Exchange Online协议关闭了基本身份验证，但在许多小型办公室里，经过身份验证的SMTP提交、较旧的多功能打印机、扫描仪和业务应用程序仍然需要例外处理。
查看Entra ID登录日志，按客户端应用筛选，就能看到哪些旧式客户端仍在连接。把“扫描到电子邮件”的配置替换为受支持的方案，例如仅限办公室IP地址使用的SMTP中继连接器，或现代扫描服务；然后通过条件访问或安全默认值阻止旧式身份验证。在组织级别禁用SMTP AUTH，只在确有需要的个别邮箱上重新启用，同时着手寻找替代方案。
严格管控管理员访问
管理员账户是租户中最有价值的凭据，应当与日常账户区别对待。
使用独立的管理员账户
为每位管理员提供一个专用的纯云端账户（例如 admin.firstname@yourtenant.onmicrosoft.com），不分配邮箱许可证。不要用它收发电子邮件或浏览网页。
最小权限角色
分配具体角色，例如用户管理员、Exchange管理员、支持人员管理员或SharePoint管理员，而不是全局管理员。Microsoft建议把全局管理员控制在少数几个，最好少于五个。
在许可证允许时采用即时提权
Privileged Identity Management（PIM）需要Entra ID P2，E5已包含，也可作为附加组件购买。它让角色变为“符合条件”而非永久分配，管理员需要说明理由并通过MFA验证，才能在限定时间内激活角色。没有P2时，请每季度手动审查一次角色分配。
审查合作伙伴和应用的访问权限
检查与IT服务商之间的委派管理员关系（GDAP），移除不再需要的关系，并审查拥有高权限Microsoft Graph权限的企业应用。
把Microsoft安全分数当作按优先级排列的待办清单
Microsoft安全分数位于Microsoft Defender门户中，列出了身份、设备、应用和数据等方面的建议操作，并估算每项操作对分数的影响以及对用户的影响。它能帮您发现以前没考虑过的设置，也能长期跟踪改进进度。
在执行每项建议之前先仔细阅读。有些操作依赖您可能没有的许可证，有些会明显影响用户，还有些可以标记为已由第三方工具解决，或在书面说明理由后接受风险。目标不是拿到满分，而是对每条建议都有一个有记录的决定。请每月以及在重大变更后查看安全分数，并记录您有意决定不执行的操作。
管控共享、转发和应用授权
数据离开租户，通常恰恰是因为功能完全按照配置在运行。以下设置都值得慎重决定。
- SharePoint和OneDrive外部共享：把组织级别设置为仅允许与新的和现有的来宾共享，或更严格；禁用“任何人”链接或为其设置有效期。把默认链接类型设为组织内的人员。
- 来宾访问：要求来宾进行身份验证，为来宾访问设置有效期，并定期在Entra ID和Teams中审查来宾账户。
- 自动转发：在出站垃圾邮件筛选策略中阻止自动转发到外部邮箱，只为有书面记录的业务需求开放例外。攻击者入侵邮箱后，通常会创建转发规则以便持续读取邮件。
- 用户授权应用：禁止用户自行授权请求访问公司数据的第三方应用，并开启管理员同意工作流，让这类请求提交给IT审核。
- 电子邮件威胁防护：如果您拥有Microsoft Defender for Office 365 Plan 1（Business Premium已包含），请应用“标准”或“严格”预设安全策略，统一启用安全链接、安全附件和冒充防护。
- 敏感度与保留：在许可证允许时，为机密资料发布敏感度标签，并发布保留策略，以便在您设定的期限内恢复已删除的内容。
开启审计日志，并验证您的电子邮件域名
出了问题时，审计日志是查明经过的依据。请确认Microsoft Purview中已启用统一审计日志，并且所有邮箱都已开启邮箱审计。当前的新租户默认已启用这些功能，但仍值得核实，较早创建的租户尤其如此。请注意，审计日志的保留期取决于您的许可证；如果需要更长的历史记录，应计划导出日志或购买相应许可证。
电子邮件身份验证可以防止他人利用您的域名冒充您。发布一条SPF记录，列出合法代表您的域名发送邮件的服务；在Defender门户中为每个自定义域名启用DKIM签名；再发布一条DMARC记录。DMARC先从p=none开始并开启报告，以便看清有哪些服务在以您的域名发信；修正会计软件、电子报平台等合法发件方的配置后，再改为p=quarantine，最终改为p=reject。大型邮箱服务商越来越要求批量发件方配置好SPF、DKIM和DMARC，因此这也有助于提高邮件送达率。
最后，为高风险事件配置警报策略，例如新建收件箱转发规则、权限提升和异常的文件删除，并确保在工作时间内有人真正接收和查看这些警报。
分阶段逐步落实
您不必在一个周末内全部完成。合理的顺序是：先为所有人启用MFA，设置应急账户，分离管理员账户，阻止旧式身份验证，然后再处理共享、转发、审计日志和电子邮件身份验证。记录您改了什么、为什么改，方便接手的人理解您的思路。
常见问题
对小企业来说，安全默认值够用吗？
对于没有Entra ID P1的租户，安全默认值是一条合理的基线：它要求注册MFA，并阻止旧式身份验证。如果您使用Business Premium或其他包含P1的方案，条件访问能提供更精细的控制，例如要求使用合规设备，或要求管理员使用更强的验证方式。
要把租户安全做好，是否必须使用Microsoft 365 E5？
不必。本清单中的大多数控制措施在Microsoft 365 Business Premium中就能实现，有些甚至在更低的方案中也有。E5增加了Privileged Identity Management和更长的审计日志保留期等功能，有些机构会看重这些功能，但安全基础并不依赖于E5。
多久应该审查一次Microsoft 365安全设置？
每月或每季度查看一次安全分数和管理员角色分配；至少每季度审查一次来宾账户和共享链接；每当新增应用、办公室或远程办公安排时，都应重新检查条件访问策略。
阻止旧式身份验证会不会导致打印机或应用无法使用？
有可能，所以要先查看登录日志。使用基本身份验证SMTP的扫描仪和较旧的应用，通常需要先改用中继连接器或其他受支持的方案，然后再正式实施阻止。
了解您的租户目前的安全状况
Microsoft 365安全评估会对照本清单，审查登录策略、管理员角色、共享设置和电子邮件身份验证，并为您提供一份按优先级排列的书面整改清单。