Microsoft Teams 安全最佳实践和提示

在过去 12 个月中，远程工作和 COVID-19 加速了 Microsoft Teams 的使用。作为一个协作和共享平台，MS Teams 已经成为许多远程工作团队的救星。然而，与其他协作和共享平台不同的是，MS Teams 确实存在许多安全漏洞，安全和 IT 团队需要了解和解决这些漏洞。

在本博客中，我们将介绍 MS Teams 是什么、优点和风险、使用它的几种方法，以及（最重要的是）如何安全地使用它。

什么是微软团队？

从历史上看，对于 MS Teams 到底是什么以及如何使用它一直存在很大的困惑。有些人认为它只是一个聊天工具，另一些人则认为它只是 Skype for Business 的更高级版本。 Microsoft Teams 的功能远比这强大。

Microsoft Teams 本质上是 Slack 的竞争对手。 Teams 结合了持续的工作场所聊天、视频会议、文件存储和协作以及应用程序集成。它具有大量功能和集成，使远程团队（甚至本地团队）能够紧密合作并更轻松地协作。

MS Teams 适用于 Office 365 的大多数许可证，这使其在商业和企业环境中得到广泛使用。

MS Teams 不是数据存储。 Teams 是位于关键 Office 365 基础设施和数据存储之上的前端，可帮助用户轻松通信、访问和共享数据。创建新团队时，会在 Azure AD 中创建包含团队成员的新安全组。在 Exchange Online 中创建新的隐藏邮箱，在 SharePoint Online 中创建新网站，并通过私人聊天共享时将文件上传到 OneDrive。

所有这一切都在幕后进行，用户不知道。

如何使用和安装 Microsoft Teams

使用 MS Teams 需要了解一些术语。社交媒体用户会熟悉一些术语，包括表情符号、贴纸和 Gif。不过，在深入了解细节之前，我们需要准确了解 Teams 的工作原理。

当您在 MS Teams 中创建团队时，您还会在后端自动创建 SharePoint 网站、OneNote 和 Office 365 组。 Teams 充当这些后端流程的前端。

当您打开 Teams 界面时，您应该熟悉左侧的应用程序栏。

在这里您可以找到您的通知、聊天、您所属的团队以及您有权访问的文件。 Outlook 日历中的会议也会与 Teams 同步，以帮助您掌控日程安排。

选择“团队”图标后，我们可以查看特定用户所属的团队。一个团队内可以有多个渠道。频道是团队内的专用部分，您可以在其中组织聊天和文件。用户可以创建新频道或隐藏他们不想看到的频道。

在频道内，有多个选项卡可供选择，包括对话、文件、注释等。 Files 是 SharePoint 网站的目录，您可以在其中访问文件或自行添加文件。可以进行集成，以便您可以从其他资源（例如 CRM）添加选项卡。

您需要拥有 Office 365 许可证才能安装 MS Teams。拥有企业许可证的人可以通过来宾访问邀请外部用户加入其 Teams 频道。 Teams 可以安装在任何设备上，因此建议您在用于访问公司文件的所有设备上安装 Teams。

如果你是 Enterprise Teams 客户并且需要在整个组织中推广它，Microsoft 确实提供了指导方针，你可以遵循这些指导方针来成功完成此任务。

如何在 Microsoft Teams 中设置权限

确保合适的人员能够访问您的资源是部署中最关键的部分。大多数涉及 MS Teams 的安全威胁都是由于配置错误或权限提升而存在的。如果您是团队所有者，您可以在团队内设置权限。就是这样：

1. 进入“更多选项”-“管理团队”
2. 在“设置”选项卡中，您可以设置成员权限和访客权限，以及许多其他权限设置。您需要尽可能地限制权限，以避免潜在的权限滥用。

使用 Microsoft Teams 的好处

Microsoft Teams 的设置和使用非常简单，并且对 Office 365 用户免费。交叉协作和共享功能使其成为远程工作团队的可行选择，以掌握其工作并及时了解联合项目和其他团队成员的最新情况。用户可以互相共享文件、安排任务、讨论工作等等。

Microsoft Teams 安全吗？

然而，与任何共享平台一样，它并非没有安全风险。 MS Teams 可以通过集成利用 Azure AD 的安全性和配置，但这种安全性非常复杂，并且经常很容易被攻击者利用。通常，安全和配置设置的复杂性会抑制协作，这基本上剥夺了使用 Teams 的所有好处。

大多数情况下，MS 团队的风险可以通过一致和主动的监控来克服，以确保用户不会行为不当，并且权限不会失控。

Microsoft Teams 是根据可信计算安全开发生命周期 (SDL) 设计的，SDL 是 Microsoft 可信计算计划的关键组成部分。

SDL 帮助 Microsoft 开发注重安全和隐私的产品。例如，使用 SDL 将有助于确保在将代码用于生产之前检查其是否存在已知的安全风险。

以下是 Microsoft Teams 帮助确保数据安全的一些其他方法；

端到端加密（E2EE）

对于私人通话，Teams 对语音、视频和屏幕共享数据使用端到端加密，只有接收者才能解密数据。但是，双方都需要启用加密才能发挥作用。在这种情况下，即使是微软自己也无法拦截和读取数据。

Azure 活动目录 (Azure AD)

Azure AD 提供安全目录服务，管理员可以使用该服务来管理身份，包括用户、组和角色的权限。它提供单点登录、多重身份验证和条件访问策略。

传输层安全 (TLS)

Microsoft Teams 使用 TLS 和其他行业标准技术来保护静态和传输中的数据。这包括消息、文档、会议和其他信息。为了验证两个用户之间的连接，TLS 使用证书颁发机构颁发的证书。这有助于防止中间人攻击等入侵，威胁行为者可以在传输过程中拦截连接并窃取敏感数据。

合规标准

Microsoft 确保遵守以下标准； GDPR、HIPAA、ISO 27001、ISO 27018、SSAE16 SOC 1 和 SOC 2 以及欧盟示范条款 (EUMC)。

通讯监控

管理员能够监控 Microsoft Teams 中的对话。他们可以设置关键字警报，以便在使用特定单词时随时收到通知。此功能可以帮助管理员更快地解决安全问题。然而，除了关键字警报之外，通信监控必须手动进行，并征得用户的同意。

活动报告

Teams 活动报告允许管理员监控与整个企业和特定用户相关的活动。全局管理员、产品特定管理员（Exchange 和 SharePoint）以及具有“报告阅读者”角色的用户都可以访问该报告。这些报告包括用户组织和参加的会议总数、用户使用 Teams 聊天工具所花费的时间以及执行的活动类型等信息。

受监督的聊天

一种称为“监督聊天”的功能可用于防止用户发起私人聊天，除非包括某些成员。它旨在被教育机构用来阻止学生在没有老师在场的情况下开始私人聊天。

微软卫士

Teams 使用 Microsoft Defender 来保护您的组织免遭无意中共享恶意文件。 Defender 提供“安全链接”功能，帮助用户决定哪些链接可以信任，哪些链接可能是恶意的。同样，Teams 管理门户中的“安全附件”功能可以搜索并阻止潜在的恶意附件。

敏感度标签和电子取证

使用敏感度标签，管理员可以控制对 Teams 中创建的敏感内容的访问。可以在 Microsoft Purview 合规门户中配置敏感度标签及其相应的策略。电子数据展示功能还有助于发现 Teams 内容中潜在的隐私和安全问题。

微软团队最佳实践

一些一般最佳实践如下：

• 创建代表您的组织结构的团队，例如营销、销售、财务等。
• 在每个团队内，为不同的项目创建渠道，以帮助引导对话并保持一切重点。
• 只要您监控用户，您就应该允许他们创建团队。
• 与您的 CRM 和您使用的其他技术集成。
• 使用聊天机器人来提醒有关日常活动和即将到来的任务。

更具体地说，您可以遵循以下一些安全最佳实践来降低威胁风险：

• 利用多重身份验证使登录更加安全。
• 实施最小特权或零信任策略来限制访问。
• 确保您能够发现 Teams 上共享的敏感数据并对其进行分类。
• 审核文件何时在组织外部共享。
• 确保文件不会下载到非托管设备上。

Microsoft Teams 安全提示

幸运的是，Office 365 中的全局安全设置将涵盖 Teams 的大部分功能。毕竟，Teams 中的文件共享是通过 SharePoint 完成的，电子邮件通信是通过 Exchange Online 发送的。 OneDrive 用于存储，身份验证和授权由 Azure AD 处理。但是，即使您已正确配置相关的 Office 365 安全设置，仍需要做更多工作来确保您的 Teams 实施的安全。

1. 管理应用程序

如前所述，可以通过安装其他应用程序来扩展 Teams 的功能。其中一些应用程序由 Microsoft 提供，一些由第三方供应商提供，组织甚至可以构建自己的定制应用程序。当然，第三方应用程序带来的安全风险最大。幸运的是，管理员可以选择通过 Teams 管理中心的管理应用页面来控制可以安装哪些应用。他们还可以调整权限以确定哪些用户可以使用哪些应用程序。

2. 创建安全组

默认情况下，任何拥有 Exchange Online 邮箱的用户都可以创建团队并成为团队所有者。限制谁可以和不能创建新团队是个好主意。最简单的方法是创建一个 Office 365 组，该组有权创建新组，从而创建新团队。任何有权创建新团队的用户都可以分配到这些组。在这些组中，您可以指定用户是否能够与组织外部的个人进行通信，以及哪些用户可以访问和共享文件和会议内容。确保所有用户知道如何创建私人通道并限制这些通道中的用户数量也是明智的，这将使他们能够以更安全的方式通信和共享机密数据。

3.限制访客访问

在团队管理中心中，您可以配置来宾访问设置以限制授予来宾用户的访问级别。默认情况下禁用或启用来宾访问可能是一个好主意，但要确保授予他们所需的最少权限。由于访客访问权限通常授予客户端，因此您可能希望限制他们对视频会议和屏幕共享等功能的访问权限。

4. 启用/配置其他 O365 安全功能

Office 365 提供了许多额外的安全功能，可以帮助保护您的 Teams 部署，其中一些包括：

高级威胁防护 (ATP)：ATP 是一种高级电子邮件过滤解决方案，有助于保护您的邮箱免受恶意软件的侵害。 ATP 安全链接可以检测电子邮件中潜在的恶意 URL，ATP 安全附件可以检测潜在的恶意附件。

数据丢失防护 (DLP)：O365 DLP 功能可以帮助识别敏感数据，例如社会保障或信用卡号码，以防止未经授权共享此数据。作为 O365 内置数据分类功能的一部分，您可以启用自动标记，以确保敏感数据在发现时自动分类。还应该值得注意的是，您可以使用第三方数据发现和分类解决方案，如果您使用第三方审核解决方案，这可能是首选。

自动备份：Office 365 提供将数据自动备份到 OneDrive 或您选择的存储位置的功能。

5. 监控用户活动

与其他 Office 365 产品一样，您可以监视 Teams 中的所有用户活动，其中包括用户登录、权限更改、团队成员身份更改、应用程序安装以及跨公共和私人渠道发生的任何文件共享。同样，完全可以使用第三方审核解决方案，该解决方案将提供许多原生 O365 审核工具可能无法提供的附加功能。

6. 实施数据管理政策

为了在 Teams 中保持对组织数据的控制，实施数据管理策略至关重要。制定明确的数据保留、删除和归档指南，以确保符合监管要求并保护敏感信息免遭未经授权的访问。
考虑实施以下数据管理政策：

• 建立文件共享指南，指定哪些文件可以在外部和内部共享。
• 启用版本控制以有效跟踪和管理文档修订。
• 教育用户安全文件共享实践的重要性，并定期提醒他们根据需要查看和更新权限。

7. 团队的数据访问控制

控制数据访问对于防止 Teams 内敏感信息未经授权的泄露或修改至关重要。实施适当的访问控制有助于降低数据泄露的风险，并确保只有授权的个人才能查看或修改数据。

以下是 Teams 中数据访问控制的一些最佳实践：

• 定期检查和更新用户角色和权限，以符合最小权限原则。
• 利用 Azure Active Directory 组来简化访问管理并简化权限分配。
• 利用敏感度标签和数据丢失防护 (DLP) 策略来实施额外的安全控制并防止数据泄露。
• 监视并记录用户活动，以检测和调查任何可疑或未经授权的访问尝试。

使用大厅与外部用户举行会议

为了增强涉及外部用户的会议的安全性，Microsoft Teams 提供了大厅功能。启用大厅允许会议组织者控制谁可以加入会议，并提供在授予参与者访问权限之前筛选参与者的机会。

要有效使用大厅功能：

• 配置会议设置以自动将外部参与者放置在大厅中。
• 指定一名指定的会议组织者，该组织者可以管理参与者并允许他们加入会议。
• 教育会议组织者在授予访问权限之前验证外部参与者身份的重要性。
• 定期与会议组织者沟通潜在的安全风险，并提供处理可疑或未经授权的参与者的指南。

Lepide 如何确保 Microsoft Teams 的安全

正如我们之前提到的，MS Teams 的大部分安全问题来自仓促部署导致权限配置错误。为了安全地使用 MS Teams，您需要确保了解何时在团队中添加或删除用户，以维护最小权限原则。您还需要确保您了解敏感数据何时被公开或私下共享。

Office 365 的安全设置往好了说是令人困惑，往坏了说是具有破坏性。对于企业来说，本机安全并不能解决问题。 Lepide 数据安全平台使您能够更清楚地了解用户与 Teams 的交互方式，包括何时启动会话、何时创建团队、何时创建频道等。当敏感数据在团队中共享时，您还可以接收实时警报并实施自动响应，以帮助维护零信任策略。

如果您想了解 Lepide 如何帮助提高 MS Teams 安全性，请立即与我们的一位工程师安排演示。