Анализатор конфигурации для политик угроз в облачных организациях

Анализатор конфигурации на портале Microsoft Defender предоставляет централизованное расположение для поиска и исправления политик угроз, где параметры менее безопасны, чем параметры защиты Standard и строгая защита в предустановленных политиках безопасности.

Анализатор конфигурации анализирует следующие типы политик:

• Политики угроз для защиты облачных почтовых ящиков по умолчанию: все организации с облачными почтовыми ящиками:

  • Политики защиты от нежелательной почты.
  • Политики защиты от вредоносных программ.
  • Политики защиты от фишинга для всех облачных почтовых ящиков.

• Политики защиты от угроз в Microsoft Defender для Office 365: Microsoft Defender для Office 365 включается в подписку или доступен как дополнительная подписка:

  • Политики защиты от фишинга в Microsoft Defender для Office 365, в том числе:
    • Те же параметры подделки , доступные в политиках защиты от фишинга для всех облачных почтовых ящиков.
    • Параметры олицетворения
    • Пороговые значения фишинговых сообщений электронной почты
  • Политики безопасных ссылок.
  • Политики безопасных вложений.

Значения параметров политики Standard и Strict, используемые в качестве базовых показателей, описаны в разделе Рекомендуемые параметры политики угроз электронной почты и совместной работы для облачных организаций.

Анализатор конфигурации также проверяет следующие параметры, не относящиеся к политике:

• DKIM: обнаруживаются ли записи SPF и DKIM для указанного домена в DNS.
• Outlook: Настраиваются ли в организации встроенные в Outlook идентификаторы внешних отправителей с помощью командлета Set-ExternalInOutlook.

Что нужно знать перед началом работы

• Откройте портал Microsoft Defender по адресу https://security.microsoft.com. Чтобы перейти непосредственно на страницу Анализатор конфигурации, используйте .https://security.microsoft.com/configurationAnalyzer

• Сведения о том, как подключиться к Exchange Online PowerShell, см. в статье Подключение к Exchange Online PowerShell.

• Прежде чем вы сможете выполнить процедуры, описанные в этой статье, вам должны быть назначены разрешения. Возможны следующие варианты:

  • Microsoft Defender XDR: единое управление доступом на основе ролей (RBAC) (если для Электронная почта & совместная работа>Defender для Office 365 разрешение имеет значение Active. Влияет только на портал Defender, но не на PowerShell): Авторизация и параметры/Параметры безопасности/Основные параметры безопасности (управление) или Авторизация и параметры/Параметры безопасности/Основные параметры безопасности (чтение).

  • Разрешения для электронной почты и совместной работы на портале Microsoft Defender:

    • Используйте анализатор конфигурации и обновите затронутые политики угроз: Членство в группах ролей "Управление организацией" или "Администратор безопасности ".
    • Доступ только для чтения к анализатору конфигурации: членство в группах ролей "Глобальный читатель" или "Читатель безопасности ".

  • разрешения Exchange Online. Членство в группе ролей "Управление организацией только для просмотра" предоставляет доступ только для чтения к анализатору конфигурации.

  • Разрешения Microsoft Entra: Членство в ролях Глобальный администратор^*, Администратор безопасности, Глобальный читатель или Читатель безопасности предоставляет пользователям необходимые разрешения, а также разрешения для использования других функций Microsoft 365.

    Важно!

    ^* Корпорация Майкрософт решительно выступает за принцип наименьших привилегий. Назначение учетным записям только минимальных разрешений, необходимых для выполнения их задач, помогает снизить риски безопасности и повысить общую защиту вашей организации. Глобальный администратор — это очень привилегированная роль, которую следует ограничить сценариями чрезвычайных ситуаций или в случаях, когда вы не можете использовать другую роль.

Использование анализатора конфигурации на портале Microsoft Defender

На портале Microsoft Defender по адресу https://security.microsoft.com перейдите в раздел Email & collaboration>Policies & rules>Threat policies>Configuration analyzer в разделе Templated policies. Чтобы перейти непосредственно на страницу Анализатор конфигурации, используйте .https://security.microsoft.com/configurationAnalyzer

На странице Анализатор конфигурации есть три основных вкладки:

• Стандартные рекомендации: Сравните существующие политики защиты от угроз со стандартными рекомендациями. Вы можете настроить значения параметров, чтобы привести их к тому же уровню, что и Standard.
• Строгие рекомендации. Сравните существующие политики угроз со строгими рекомендациями. Вы можете настроить значения параметров, чтобы привести их к тому же уровню, что и Strict.
• Анализ и история дрейфа конфигурации: Проверяйте и отслеживайте изменения политик с течением времени.

Вкладки «Стандартные рекомендации» и «Строгие рекомендации» в анализаторе конфигурации

По умолчанию анализатор конфигурации открывается на вкладке "Стандартные рекомендации ". Вы можете перейти на вкладку "Строгие рекомендации ". Параметры, макет и действия одинаковы на вкладках стандартных рекомендаций и строгих рекомендаций .

В первом разделе вкладки "Стандартные рекомендации " или " Строгие рекомендации " отображается количество параметров в каждом типе политики, требующей улучшения по сравнению с стандартной или строгой защитой. Ниже приведены типы политик.

• Защита от нежелательной почты
• Защита от фишинга
• Защита от вредоносных программ
• Безопасные вложения (если ваша подписка содержит Microsoft Defender для Office 365)
• Безопасные ссылки (если ваша подписка содержит Microsoft Defender для Office 365)
• DKIM
• Встроенная защита (если ваша подписка содержит Microsoft Defender для Office 365)
• Outlook

Если тип и номер политики не отображаются, значит все ваши политики этого типа соответствуют рекомендуемым параметрам стандартной или строгой защиты.

Остальная часть вкладки Standard recommendations или Strict recommendations — это таблица параметров, которые необходимо довести до уровня защиты Standard или Strict. Таблица содержит следующие столбцы^*:

• Рекомендации: значение параметра в профиле стандартной или строгой защиты.
• Политика: имя затрагиваемой политики, содержащей параметр.
• Имя группы политик или параметра: имя параметра, который требует вашего внимания.
• Тип политики: защита от нежелательной почты, защита от фишинга, защита от вредоносных программ, безопасные ссылки или безопасные вложения.
• Текущая конфигурация: текущее значение параметра.
• Последнее изменение: дата последнего изменения политики.
• Статус: Как правило, это значение — Не начато.

^* Чтобы просмотреть все столбцы, скорее всего, потребуется выполнить одно или несколько из следующих действий:

• Прокрутите страницу по горизонтали в веб-браузере.
• Сузьте ширину соответствующих столбцов.
• Уменьшите масштаб в браузере.

Чтобы отфильтровать записи, выберите Фильтр. В открываемом всплывающем окне Фильтры доступны следующие фильтры:

• Защита от нежелательной почты
• Защита от фишинга
• Защита от вредоносных программ
• Безопасные вложения
• Безопасные ссылки
• Встроенное правило защиты ATP
• DKIM
• Outlook

По завершении во всплывающем окне Фильтры нажмите кнопку Применить. Чтобы очистить фильтры, выберите Очистить фильтры.

Используйте поле Поиск и соответствующее значение для поиска определенных записей.

Просмотр сведений о рекомендуемом параметре политики

На вкладке Стандартная защита или Строгая защита в анализаторе конфигурации выберите запись, щелкнув в любом месте строки, кроме флажка рядом с названием рекомендации. В открывавшемся всплывающем окне сведений доступны следующие сведения:

• Политика: имя затронутой политики.
• Почему?: сведения о том, почему рекомендуется использовать значение параметра.
• Конкретный параметр для изменения и значение, на которое его нужно изменить.
• Просмотр политики. По ссылке вы перейдете к всплывающему элементу сведений о затронутой политике на портале Microsoft Defender, где можно вручную обновить параметр.
• Ссылка на рекомендуемые параметры политики угроз электронной почты и совместной работы для облачных организаций.

Когда закончите работу во всплывающей панели сведений, выберите Закрыть.

Принять меры в отношении рекомендуемого параметра политики

На вкладке Стандартная защита или Строгая защита анализатора конфигурации выберите запись, установив флажок рядом с названием рекомендации. На странице отображаются следующие действия:

• Применить рекомендацию. Если рекомендация требует нескольких шагов, это действие неактивно.

  При выборе этого действия открывается диалоговое окно подтверждения (с параметром больше не отображать диалоговое окно). При нажатии кнопки ОК происходит следующее:

  • Параметр обновляется до рекомендуемого значения.
  • Рекомендация по-прежнему выбрана, но единственное доступное действие — Обновить.
  • Значение Status для строки изменится на Complete.

• Просмотр политики. Вы перейдете к всплывающему элементу сведений о затронутой политике на портале Microsoft Defender, где можно вручную обновить параметр.

• Экспорт: экспортирует выбранную рекомендацию в файл .csv, выберите Экспорт.

  Вы также можете экспортировать рекомендации после выбора нескольких рекомендаций или после выбора всех рекомендаций, выбрав поле проверка рядом с заголовком столбца Рекомендации.

После автоматического или ручного обновления параметра выберите Обновить , чтобы просмотреть меньшее количество рекомендаций и удалить обновленную строку из результатов.

Вкладка анализа дрейфа конфигурации и истории в анализаторе конфигурации

Вкладка "Анализ смещения конфигурации" и "Журнал" позволяет отслеживать изменения политик угроз и как эти изменения сравниваются с стандартными или строгими параметрами. По умолчанию отображаются перечисленные ниже сведения.

• Дата последнего изменения
• Изменено
• Имя параметра
• Политика: имя затронутой политики.
• Тип: защита от нежелательной почты, защита от фишинга, защита от вредоносных программ, безопасные ссылки или безопасные вложения.
• Изменение конфигурации: старое и новое значение параметра.
• Отклонение конфигурации: Значение Увеличение или Уменьшение, указывающее на то, что параметр повышает или понижает уровень безопасности по сравнению с рекомендуемыми значениями «Стандартный» или «Строгий».

Чтобы отфильтровать записи, выберите Фильтр. В открываемом всплывающем окне Фильтры доступны следующие фильтры:

• Дата: время начала и время окончания. Вы можете вернуться максимум на 90 дней назад от сегодняшнего дня.
• Тип: Стандартная защита или Строгая защита.

По завершении во всплывающем окне Фильтры нажмите кнопку Применить. Чтобы очистить фильтры, выберите Очистить фильтры.

Используйте поле Поиск, чтобы фильтровать записи по определенному значению поля «Изменено автором», имени параметра или типу.

Чтобы экспортировать записи, отображаемые на вкладке Анализ смещения конфигурации и журнал , в файл .csv, выберите Экспорт.