Microsoft Office 365 安全最佳实践
Microsoft 365（以前称为 Office 365）是一种流行的基于云的协作平台，允许公司与网络外部的人员共享信息和应用程序。
公司能够共享整个文件夹，包括任何子文件夹。 Microsoft Office 365（特别是 Teams 等产品）的开放共享性质将不可避免地增加未经授权暴露敏感数据的可能性。
更糟糕的是，Microsoft Office 365 提供的默认访问控制不够细粒度，无法充分保护您的帐户和数据，因为用户最终获得的权限往往超出了他们实际需要的权限。
对于全局管理员帐户来说，这尤其成问题，因为 Office 365 授予所有管理员全局访问权限，并且很难限制特定目的的访问权限，例如重置用户密码。因此，如果攻击者获得全局管理员帐户的访问权限，他们可能会对您的网络造成严重损害。
Office 365 安全性中的另一个显着缺陷与审核日志的记录和保留方式有关。首先，默认情况下不启用审计，只有启用审计后才会保留日志。其次，审计日志最多保留一年，这不足以遵守 HIPAA 等法规，该法规要求所涉及的实体将日志保留至少六年。
Office 365 安全最佳实践和建议
不过，好消息是，公司可以采取许多措施来改善 Microsoft Office 365 的安全状况。以下是有关 Microsoft Office 365 安全性的一些建议和提示：
1.启用多重身份验证
Office 365 中的多重身份验证需要两种或多种额外的验证方法，是保护用户帐户及其有权访问的资源的非常有效的方法。您可以使用 Microsoft Authenticator 应用（推荐）或通过您注册的号码接听电话或短信。与往常一样，您必须确保根据最小权限原则 (PoLP) 限制对敏感数据的访问。如果您需要更好地控制谁有权访问哪些资源，您可以通过设置条件访问策略来实现此目的。
2. 实施 Azure 条件访问
条件访问策略本质上是 if-then 语句。换句话说，当用户寻求访问特定资源时，他们必须首先完成必要的操作。例如，假设薪资经理希望访问薪资应用程序 - 此人必须在获得访问权限之前完成多因素身份验证。使用 Azure 条件访问策略是一种可靠的方法，可以在必要时实施正确的访问控制，从而增强安全性。此外，此功能与零信任架构的基本原则非常一致，其中包括显式验证、最小特权原则 (PoLP) 以及将发生违规的假设。
3. 审核您的 Office 365 环境
在 Microsoft 365 合规中心，您可以监视统一审核日志以查找可疑的用户活动，包括邮箱活动。如前所述，在 Office 365 中，默认情况下不启用审核日志，并且最多仅保留一年。如果您需要遵守要求更长保留期的法规，则需要使用第三方 Office 365 审核工具。第三方解决方案将聚合来自多个来源的事件数据，包括本地和云环境。他们使用机器学习技术来检测异常用户行为，并在敏感数据被访问、移动、修改、共享或删除时提供实时警报。除了许多其他有价值的功能之外，最复杂的解决方案还将提供开箱即用的数据分类工具。
4.启用邮箱审核
为所有用户启用 Office 365 邮箱审核将有助于提高 Office 365 安全分数。默认情况下，此功能未激活，但可以通过简单的过程使用 PowerShell 启用。通过邮箱审核，您可以监控自己邮箱以及员工邮箱的活动（假设他们已被告知）。此功能允许您按邮箱操作和相应的用户身份搜索 Office 365 统一审核日志。您还可以为非所有者邮箱访问和永久邮件删除等事件设置通知和警报。
5. 配置警报策略
设置警报策略可以促进对管理员和用户活动的监控，从而防止数据丢失和恶意软件威胁。您至少应该配置警报来识别失败的登录尝试、重复的文件加密、用户转发或重定向电子邮件以及其他可疑活动。强烈建议将事件数据发送到 SIEM 或实时审核解决方案以进行关联和长期存储。
6. 对 Office 365 中的敏感数据进行分类
为了充分保护您的敏感数据，您必须准确了解您拥有哪些数据及其所在位置。管理中心中的 Office 365 数据分类功能允许您将敏感度标签应用于内容。
标签指定内容的敏感程度以及应如何处理内容，其中可能包括强制水印或加密。无论高度敏感的内容走到哪里，都将受到跟踪，并且启用端点保护后，您可以防止其离开您的组织。
还应该指出的是，有许多第三方数据分类软件提供了更高级的功能。例如，第三方解决方案将扫描所有相关存储库，无论是本地存储库还是“云端”存储库，并对找到的相关数据进行分类。
它还可以在创建/修改时对数据进行分类。它将提供根据与您所在行业相关的数据隐私法定制的预定义分类模式。它将涵盖广泛的文件类型，一些先进的解决方案甚至可以找到图像和其他形式的多媒体中的敏感数据。
7. 部署反网络钓鱼防御
所有 Microsoft 365 商业计划都标配 Exchange Online Protection (EOP)，它提供了针对 Office 365 网络钓鱼尝试的一定程度的防御。入站和出站消息由 EOP 进行筛选，其中包含连接过滤、反恶意软件保护、基于策略的过滤和内容过滤。连接过滤会检查发件人的 IP 地址，并将其与恶意 IP 地址列表进行比较，以确保其可信度。反恶意软件功能将根据附件的扩展名（例如可执行文件）和来自外部来源的标记消息来阻止附件。内容过滤器有助于识别垃圾邮件、网络钓鱼和欺骗签名并评估其置信度得分。根据分数，邮件将被拒绝、隔离或传送。
8. 管理用户帐户和权限
为了确保有效的权限控制，遵循最小权限原则至关重要，即仅授予用户访问对其职责至关重要的数据的权限。此外，在 Office 365 中，管理员可以利用基于角色的访问控制 (RBAC) 并与 Azure Active Directory (AD) 集成以进行用户管理、角色分配和应用程序权限。由于 Microsoft 365 管理员帐户拥有更大的权限和对敏感数据的访问权限，因此它们是网络攻击者的主要目标，并且管理员帐户的泄露可能会危及整个 Office 365 系统。因此，建议管理员仅在需要时使用其帐户，并为常规活动使用单独的帐户，以最大程度地降低风险。
9. 使用 Office 安全与合规中心提供的安全功能
Office 365 中的安全与合规中心有许多工具可帮助您保护敏感数据的安全。花一些时间熟悉这些工具始终是一个好习惯，其中包括：
威胁管理：此功能有助于保护您的收件箱免受垃圾邮件的侵害，并识别未经授权的邮箱使用情况。发送到您的帐户或从您的帐户发送的任何恶意电子邮件都将被阻止，并且用户将收到通知。高级威胁防护 (ATP) 功能提供两个子功能，它们是： ATP 安全附件和 ATP 安全链接 - 两者均旨在检测和阻止潜在的恶意电子邮件。此外，Microsoft Defender（正式名称为 Cloud App Security）是一项功能，根据 Microsoft 网站的介绍，该功能充当“企业用户与其使用的云资源之间实时代理访问的看门人，无论您的用户位于何处，也无论他们正在使用的设备”。
移动设备管理：此解决方案将阻止用户访问您的 Office 365 环境，除非他们在其设备上安装了 MDM 解决方案。 MDM 解决方案可用于确保访问您环境的设备对敏感数据进行加密并防止越狱设备访问网络。如果设备丢失或被盗，它甚至可以擦除设备上的部分或全部数据。
数据丢失防护：Office 365 DLP 功能可帮助您防止用户在组织外部共享敏感数据，并且适用于 SharePoint、OneDrive 和 Exchange Online。您可以使用默认规则或设置您自己的规则。根据这些规则，如果用户尝试在组织外部共享敏感数据，则会被阻止，或者用户将被要求验证其操作。您还可以查看报告，了解如何在整个组织中共享数据。
信息治理：用户可以设置保留策略和保留标签，以在 Office 365 环境中保留数据。他们还可以选择存档第三方数据、将 PST 文件导入 Exchange Online 邮箱，以及在员工离开组织后保留邮箱内容。
搜索和调查：此功能使您能够在 Office 365 环境中快速查找内容。这包括文档、邮箱和审核日志中找到的内容。您还会发现电子数据展示功能，该功能专为合法目的而设计，因此仅与管理员相关。
Office 365 安全评分：Office 365 的安全评分功能是一项指标，旨在告知您组织安全状况的当前状态。您将获得启用/配置推荐的安全功能以及执行安全相关任务的积分。
>合规经理：正如您所期望的，本部分旨在帮助公司遵守相关的数据隐私法规，并提供报告/评估、基于风险的合规评分以及可帮助您的建议提高你的分数。