איך לאבטח את Microsoft 365: צ'קליסט ההקשחה לעסק קטן

Microsoft 365 לא מאובטח כברירת מחדל

קל להניח שסביבת Microsoft 365 חדשה מגיעה נעולה מהקופסה. היא לא. ברירות המחדל של האבטחה נותנות לסביבה חדשה אימות דו-שלבי בסיסי, אבל הן עוצרות רחוק מתצורה מוקשחת^[1] - כמה מההגדרות שעוצרות התקפות אמיתיות כבויות כברירת מחדל, וההפעלה שלהן נשארת עליכם. רוב אלה עם ההשפעה הגדולה ביותר הן חינמיות ומהירות, ולכן הסדר שלמטה מתחיל דווקא בהן.

הצ'קליסט הזה אינו דעה פרטית שלנו. הוא עוקב אחרי שני תקנים מפורסמים ומתוחזקים באופן עצמאי: CIS Microsoft 365 Foundations Benchmark, שמגדיר כל הגדרה ואת הערך המומלץ לה^[2], ובסיסי התצורה המאובטחת של CISA ל-Microsoft 365 (פרויקט SCuBA), שהם התצורה שסוכנויות פדרליות בארה"ב מחויבות לעמוד בה^[3]. במקומות שבהם אנחנו סוטים מאחד מהם - בדרך כלל כדי לשמור על עסק קטן בר-תפעול - אנחנו אומרים זאת במפורש.

מתחילים בשלוש הקריטיות

אם לא תספיקו כלום אחר החודש, תספיקו את אלה. שבוע מספיק, והן סוגרות את הדלתות שתוקפים מנסים קודם.

1. 1הפעילו MFA לכולם. מחקר המדידה של Microsoft על חשבונות Entra העמיד את ההשפעה על הפחתה של 99.22% בסיכון ההשתלטות, ו-98.56% גם בחשבונות שהסיסמה שלהם כבר דלפה^[4]; Microsoft מנסחת זאת כיום כחסימה של מעל 99.2% מתקיפות ההשתלטות על חשבונות, והפכה אימות דו-שלבי לחובה בהתחברויות Azure על הבסיס הזה^[5]. ב-Business Premium זה לא עולה שקל נוסף. אין הצדקה להשאיר את זה כבוי, גם לא למנהלי מערכת.

1. 2חסמו אימות מדור קודם. שיטות התחברות ישנות כמו POP, IMAP ו-SMTP בסיסיים לא יכולות להשתמש ב-MFA, ובדיוק בגלל זה תוקפים פונים אליהן^[6]. חסימה שלהן חינמית וסוגרת את הפרצה.
2. 3הגדירו אימות מייל. הגדירו SPF, DKIM ו-DMARC, כשה-DMARC על reject, כך שאף אחד לא יוכל לשלוח דואר שנראה כאילו הגיע מהדומיין שלכם אל הצוות והלקוחות שלכם.

זהות וגישה

רוב הפריצות מתחילות בהתחברות, ולכן זהות היא המקום שבו יושבת עיקר העבודה. מעבר לשלוש הקריטיות:

• הוסיפו Conditional Access, כך שהתחברות מסוכנת ממקום או מכשיר לא מוכר מאותגרת או נחסמת מעצמה.
• העבירו מנהלים ל-MFA עמיד לפישינג, בין אם זו אפליקציית Authenticator או מפתח אבטחה FIDO2.
• תנו לחשבונות המנהל שכבת הגנה נוספת, ושמרו בצד חשבון חירום אחד ליום שבו תינעלו בחוץ.

הגנת מייל מעבר לאימות

מייל הוא הדרך הנפוצה ביותר פנימה, אז שווה להקשיח אותו גם מעבר ל-SPF ו-DKIM:

• הפעילו Safe Links ו-Safe Attachments, שבודקים קישורים וקבצים ברגע שמישהו לוחץ או פותח.
• הפעילו הגנה מפני פישינג והתחזות, שדורשת הגדרה מפורשת לדומיין שלכם ולבעלי תפקידים בשם^[7].
• הגדירו התראה על כל כלל העברה חדש בתיבה. דואר שמופנה בשקט לכתובת חיצונית הוא סימן מוכר לחשבון שהושתלט.

הגנה על הנתונים עצמם

כשהזהות והמייל מסודרים, עברו לקבצים:

• מדיניות מניעת אובדן מידע (DLP) עוצרת פרטים רגישים, כמו מספרי זהות או נתוני כרטיס, מלצאת במייל או בקישור.
• תוויות רגישות מצמידות הצפנה וכללי גישה לקובץ עצמו, כך שהוא נשאר מוגן גם אחרי שהעבירו אותו הלאה.

מכשירים וניטור

אחרונים, המכשירים והמבט המתמשך:

• רשמו מכשירים ל-Intune, אכפו הצפנה, והרחיקו נתוני חברה ממכשירים שלא עומדים בתאימות.
• הפעילו Defender for Business, כך שאיומים נתפסים לפי איך שהם מתנהגים ולא רק לפי חתימות מוכרות.
• קבעו בסיס Secure Score וסקרו אותו כל חודש, כך שהאבטחה שהקמתם לא נשחקת עם הזמן.

איזה רישיון צריך לזה

רוב הכלים האלה יושבים ב-Microsoft 365 Business Premium, או E3 לצוותים גדולים יותר. Basic ו-Standard לא כוללות אותם. כשאבטחה היא המטרה, Premium היא הרצפה, ובדרך כלל שם אנחנו מתחילים.

לוח זמנים מציאותי

שלוש הקריטיות לוקחות בערך שבוע. הקשחה מלאה יותר, עם Conditional Access, הגנת נתונים ומדיניות מכשירים, בדרך כלל נמשכת ארבעה עד שמונה שבועות לעסק קטן, ועוד קצת כיוונון אחר כך. לא חייבים לעשות את הכל בבת אחת, כל עוד שלוש שהכי חשובות באות ראשונות.