Безопасные ссылки в Microsoft Defender для Office 365

В организациях с Microsoft Defender для Office 365 проверка безопасных ссылок защищает вашу организацию от вредоносных ссылок, используемых при фишинге и других атаках. В частности, Safe Links обеспечивает сканирование и перезапись URL-адресов во входящих сообщениях электронной почты в процессе обработки почтового потока, а также проверку URL-адресов и ссылок в момент щелчка в сообщениях электронной почты, Microsoft Teams и поддерживаемых приложениях Office 365. Проверка безопасных ссылок выполняется в дополнение к обычной защите от нежелательной почты и вредоносных программ .

Просмотрите это короткое видео о том, как защититься от вредоносных ссылок с помощью безопасных ссылок в Microsoft Defender для Office 365.

Защита безопасных ссылок политиками безопасных ссылок доступна в следующих расположениях:

• Сообщения электронной почты: защита функции «Безопасные ссылки» для ссылок в сообщениях электронной почты.

  Дополнительные сведения о защите сообщений электронной почты от безопасных ссылок см. в разделе Параметры безопасных ссылок для сообщений электронной почты далее в этой статье.

  Примечание.

  • Безопасные ссылки не работают в общедоступных папках с поддержкой почты.
  • Безопасные ссылки поддерживают только форматы ссылок HTTP, HTTPS и FTP.
  • Safe Links не обеспечивает защиту URL-адресов в сообщениях электронной почты в формате RTF, также известном как формат нейтральной транспортной инкапсуляции (TNEF).
  • Безопасные ссылки игнорируют подписанные S/MIME сообщения.
  • Безопасные ссылки больше не содержат URL-адреса, указывающие на сайты SharePoint или OneDrive, но URL-адреса по-прежнему обрабатываются службой безопасных ссылок. Это изменение не ухудшает защиту. Вместо этого он повышает производительность загрузки URL-адресов SharePoint или OneDrive.
  • Использование другой службы для оборачивания ссылок перед их обработкой в Defender для Office 365 может помешать функции «Безопасные ссылки» обрабатывать ссылки. Эта обработка включает в себя упаковку, детонацию или иным образом проверку "вредоносности" ссылки.

• Microsoft Teams: защита ссылок с помощью функции Safe Links в беседах Teams, групповых чатах или каналах.

  Дополнительные сведения о защите безопасных ссылок в Teams см. в разделе Параметры безопасных ссылок для Microsoft Teams далее в этой статье.

• Приложения Office: защита безопасных ссылок для поддерживаемых классических, мобильных и веб-приложений Office.

  Дополнительные сведения о защите безопасных ссылок в приложениях Office см. в разделе Параметры безопасных ссылок для приложений Office далее в этой статье.

В следующей таблице описаны сценарии для функции «Безопасные ссылки» в организациях Microsoft 365 и Office 365, в которых используется Microsoft Defender для Office 365 (обратите внимание, что в этих примерах отсутствие лицензии никогда не рассматривается как проблема).

Фильтры получателей в политиках Safe Links

Фильтры получателей используют условия и исключения для определения внутренних получателей, к которым применяется политика. Требуется по крайней мере одно условие. Для условий и исключений можно использовать следующие фильтры получателей:

• Пользователи: один или несколько почтовых ящиков или почтовых пользователей в организации.
• Группы.
  • Члены указанных групп рассылки или групп безопасности с поддержкой почты (динамические группы рассылки не поддерживаются).
  • Указанные группы Microsoft 365 (группы с динамическим членством в Microsoft Entra ID не поддерживаются).
• Домены: один или несколько настроенных обслуживаемых доменов в Microsoft 365. Основной адрес электронной почты получателя находится в указанном домене.

Условие или исключение можно использовать только один раз, но условие или исключение могут содержать несколько значений:

• Несколько значений одного условия или исключения используют логику OR (например, <recipient1> или <recipient2>):

  • Условия. Если получатель соответствует любому из указанных значений, к нему применяется политика.
  • Исключения. Если получатель соответствует любому из указанных значений, политика к ним не применяется.

• Различные типы исключений используют логику OR (например, recipient1<,><member of group1> или <member of domain1>). Если получатель соответствует любому из указанных значений исключений, политика к нему не применяется.

• Различные типы условий используют логику AND. Получатель должен соответствовать всем указанным условиям для применения политики к нему. Например, вы настраиваете условие со следующими значениями:

  • Пользователи: romain@contoso.com
  • Группы: руководители

  Политика применяется к нему romain@contoso.comтолько, если он также является членом группы «Руководители». В противном случае политика к нему не применяется.

Параметры безопасных ссылок для сообщений электронной почты

Функция "Безопасные ссылки" проверяет входящие сообщения на известные вредоносные гиперссылки. Отсканированные URL-адреса перезаписываются или упаковываются с помощью стандартного префикса https://<DataCenterLocation>.safelinks.protection.outlook.com URL-адреса Майкрософт (например, https://nam01.safelinks.protection.outlook.com). Если пользователь щелкает перезаписанную ссылку, она проверяется на наличие вредоносного содержимого перед тем, как пользователь будет перенаправлен на страницу.

Url-адрес безопасных ссылок можно просмотреть, просмотрев исходный код сообщения электронной почты. Это поведение защищает от потенциальных угроз, сохраняя при этом удобочитаемость и целостность в обычном представлении электронной почты. Когда пользователь наведет указатель мыши на URL-адрес, во всплывающем диалоговом окне отображается исходный URL-адрес, указывающий, что он был проверен с помощью безопасных ссылок.

Если перезапись URL-адресов включена, URL-адрес переписывается, даже если сообщение вручную пересылается или на него отвечают. Упаковка выполняется для каждого получателя сообщения (как внутреннего, так и внешнего). Дополнительные ссылки, добавляемые в пересылаемое сообщение или сообщение с ответом, также перезаписываются.

Для автоматической переадресации по правилам папки "Входящие" или перенаправления SMTP URL-адрес не перезаписывается в сообщении, предназначенном для конечного получателя, если не выполняется одно из следующих инструкций:

• Получатель также защищен с помощью безопасных ссылок.
• URL-адрес уже был переписан в предыдущем сообщении.

Пока включена защита безопасных ссылок, URL-адреса проверяются перед доставкой сообщений независимо от того, переписываются ли URL-адреса. Если перезапись включена, ссылки проверяются при щелчке. Если перезапись отключена, нераскрытые URL-адреса проверяются вызовом API безопасных ссылок на стороне клиента во время щелчка в поддерживаемых версиях Outlook (Windows, Mac и Outlook в Интернете).

Параметры политик безопасных ссылок, применяемые к сообщениям электронной почты, описаны в следующем списке:

• Включено: функция "Безопасные ссылки" проверяет список известных вредоносных ссылок, когда пользователь переходит по ссылкам в сообщениях электронной почты. URL-адреса перезаписываются по умолчанию.: включите или отключите проверку безопасных ссылок в сообщениях электронной почты. Рекомендуемое значение устанавливается (вкл.), и выполняются следующие действия:

  • Проверка безопасных ссылок включена в Outlook (C2R) в Windows.
  • URL-адреса переписываются, а пользователи направляются через защиту безопасных ссылок при щелчке URL-адресов в сообщениях.
  • При нажатии URL-адреса проверяются на список известных вредоносных URL-адресов.
  • URL-адреса, не имеющие действительной репутации, асинхронно запускаются в изолированной среде в фоновом режиме.

  Следующие параметры доступны, только если включена проверка безопасных ссылок в сообщениях электронной почты:

  • Применение безопасных ссылок к сообщениям электронной почты, отправленным внутри организации. Включите или отключите проверку безопасных ссылок на сообщения, отправленные между внутренними отправителями и внутренними получателями в одной Exchange Online организации. Выбрано рекомендуемое значение (включено).

  • Примените проверку URL-адресов в режиме реального времени для подозрительных ссылок и ссылок, указывающих на файлы. Включает проверку ссылок в режиме реального времени, включая ссылки в сообщениях электронной почты, указывающие на скачиваемое содержимое. Выбрано рекомендуемое значение (включено).

    • Дождаться окончания проверки URL-адресов перед доставкой сообщения:
      • Выбрано (включено): сообщения, содержащие URL-адреса, хранятся до завершения сканирования. Сообщения доставляются только после подтверждения безопасности URL-адресов. Это рекомендуемое значение.
      • Не выбрано (выключено): Если проверка URL-адресов не может быть завершена, все равно доставьте сообщение.

  • Не переписывать URL-адреса, выполнять проверки только через API SafeLinks. Если этот параметр выбран (включено), оболочка URL-адресов не выполняется, но URL-адреса проверяются перед доставкой сообщений. В поддерживаемых версиях Outlook (Windows, Mac и Outlook в Интернете) безопасные ссылки вызываются через API во время нажатия URL-адреса для дополнительной проверки.

  Дополнительные сведения о рекомендуемых значения для параметрах политик безопасных ссылок "Стандартные" и "Строгие" см. в статье Параметры политики безопасных ссылок.

Принцип работы безопасных ссылок в сообщениях электронной почты

На высоком уровне вот как защита безопасных ссылок работает с URL-адресами в сообщениях электронной почты:

1. Вся электронная почта проходит через фильтрацию Microsoft 365, где фильтры интернет-протокола (IP) и конвертов, защита от вредоносных программ на основе сигнатур, а также фильтры защиты от нежелательной почты и вредоносных программ проверяют сообщения перед доставкой сообщений в почтовые ящики получателей.

2. Пользователь открывает сообщение в своем почтовом ящике и щелкает URL-адрес в сообщении.

3. Безопасные ссылки немедленно проверяют URL-адрес перед открытием веб-сайта:

   • Если URL-адрес указывает на веб-сайт, который был признан вредоносным, откроется страница предупреждения вредоносного веб-сайта (или другая страница предупреждения).

   • Если URL-адрес указывает на скачиваемый файл, а параметр Применить проверку URL-адреса в режиме реального времени на наличие подозрительных ссылок и ссылок, указывающих на файлы , включен в политике, применяемой к пользователю, проверяется скачиваемый файл.

   • Если URL-адрес определен как безопасный, откроется веб-сайт.

Параметры Безопасных ссылок для Microsoft Teams

Вы включаете или отключаете защиту безопасных ссылок для Microsoft Teams в политиках безопасных ссылок. В частности, вы используете параметр On: Safe Links (Включено: безопасные ссылки) проверяет список известных вредоносных ссылок, когда пользователи щелкают ссылки в Microsoft Teams. URL-адреса не перезаписываются в разделе Teams . Рекомендуемое значение включено (выбрано).

URL-адреса в Teams проверяются по списку известных вредоносных ссылок, когда защищенный пользователь щелкает ссылку (защита с временем щелчка). URL-адреса не переписываются. Если ссылка является вредоносной, пользователи имеют следующие возможности:

• Если ссылка была щелкнуна в беседе Teams, групповом чате или из каналов, страница предупреждения, как показано на снимке экрана, появится в веб-браузере по умолчанию.
• Если ссылка была щелкнуна на закрепленной вкладке, в интерфейсе Teams на этой вкладке появится страница предупреждения. Возможность открыть ссылку в веб-браузере отключена по соображениям безопасности.
• В зависимости от того, как в политике настроен параметр Разрешить пользователям переходить по исходному URL-адресу, пользователю либо разрешено, либо запрещено переходить по исходному URL-адресу (Все равно перейти (не рекомендуется) на снимке экрана). Не рекомендуется выбирать параметр Разрешить пользователям переходить по исходному URL-адресу , чтобы пользователи не могли перейти по исходному URL-адресу.

Если пользователь, отправивший ссылку, не защищен политикой безопасных ссылок, в которой включена защита Teams, пользователь может перейти по исходному URL-адресу на своем компьютере или устройстве.

Нажатие кнопки Вернуться на странице предупреждения возвращает пользователю исходный контекст или расположение URL-адреса. Однако если снова щелкнуть исходную ссылку, безопасные ссылки будут повторно сканировать URL-адрес, поэтому страница предупреждения снова появится.

Как работает Safe Links в Teams

В общих чертах вот как работает защита «Безопасные ссылки» для URL-адресов в Microsoft Teams:

1. Пользователь запускает приложение Teams.

2. Microsoft 365 проверяет, включает ли организация пользователя Microsoft Defender для Office 365 и включен ли пользователь в активную политику безопасных ссылок, в которой включена защита Microsoft Teams.

3. URL-адреса в чатах, групповых чатах, каналах и вкладках проверяются в момент нажатия пользователем на ссылку.

Параметры безопасных ссылок для приложений Office

Защита безопасных ссылок для приложений Office проверяет ссылки в документах Office, а не ссылки в сообщениях электронной почты. Но он может проверять ссылки во вложенных документах Office в сообщениях электронной почты после открытия документа.

Вы включаете или отключаете защиту безопасных ссылок для приложений Office в политиках безопасных ссылок. В частности, вы используете параметр Вкл.: Safe Links проверяет список известных вредоносных ссылок, когда пользователи переходят по ссылкам в приложениях Microsoft Office. URL-адреса не перезаписываются в разделе Приложения Office 365. Рекомендуемое значение включено (выбрано).

Защита безопасных ссылок для приложений Office имеет следующие требования к клиенту.

• Приложения Microsoft 365 или Microsoft 365 бизнес премиум:

  • Текущие версии Word, Excel и PowerPoint в Windows, Mac или в веб-браузере.
  • Приложения Office на устройствах iOS или Android.
  • Visio в Windows.
  • OneNote в веб-браузере.
  • Outlook для Windows при открытии сохраненных файлов EML или MSG.

• Поддерживаемые приложения Office и службы Microsoft 365 настроены для использования современной проверки подлинности. Дополнительные сведения см. в статье Современная проверка подлинности в клиентских приложениях Office.

• Пользователи вошли с помощью рабочих или учебных учетных записей. Дополнительные сведения см. в статье Вход в Office.

Дополнительные сведения о рекомендуемых значениях для Standard и параметров политики Strict см. в разделе Параметры политики безопасных ссылок.

Принцип работы безопасных ссылок в приложениях Office

На высоком уровне вот как работает защита безопасных ссылок для URL-адресов в приложениях Office. Поддерживаемые приложения Office описаны в предыдущем разделе.

1. Пользователь входит в систему, используя свою рабочую или учебную учетную запись в организации, которая включает Приложения Microsoft 365 или Microsoft 365 бизнес премиум.

2. Пользователь открывает и щелкает ссылку на документ Office в поддерживаемом приложении Office.

3. Безопасные ссылки немедленно проверяют URL-адрес перед открытием целевого веб-сайта:

   • Если URL-адрес указывает на веб-сайт, который был признан вредоносным, откроется страница предупреждения вредоносного веб-сайта (или другая страница предупреждения).

   • Если URL-адрес указывает на скачиваемый файл, а политика безопасных ссылок, применяемая к пользователю, настроена для сканирования ссылок на скачиваемое содержимое (примените проверку URL-адресов в режиме реального времени на наличие подозрительных ссылок и ссылок, указывающих на файлы), загружаемый файл проверяется.

   • Если URL-адрес считается безопасным, пользователь перейдет на веб-сайт.

   • Если проверка безопасных ссылок не может быть завершена, защита безопасных ссылок не активируется. В классических клиентах Office пользователь будет предупреждаться перед переходом на целевой веб-сайт.

Параметры защиты от перехода по ссылкам в политиках Safe Links

Эти параметры применяются к безопасным ссылкам в электронной почте, Teams и приложениях Office:

• Отслеживать щелчки пользователей: Включите или отключите сохранение данных о щелчках Safe Links для URL-адресов, по которым переходили. Рекомендуется оставить этот параметр выбранным (включено).

  В разделе Безопасные ссылки для приложений Office этот параметр применяется к классическим версиям Word, Excel, PowerPoint и Visio.

  Совет

  В расширенном поиске события щелчка по URL-адресам, обработанным функцией Safe Links, имеют значение Mail для поля AppName в таблице UrlClickEvents.

  При выборе этого параметра доступны следующие параметры:

  • Разрешить пользователям переходить по исходному URL-адресу. Определяет, могут ли пользователи переходить через страницу предупреждения по исходному URL-адресу при обнаружении URL-адреса как вредоносного. Рекомендуемое значение не выбрано (выкл.).

    В разделе Безопасные ссылки для приложений Office этот параметр применяется к исходному URL-адресу в классических версиях Word, Excel, PowerPoint и Visio.

  • Отображать фирменную символику организации на страницах уведомлений и предупреждений. Этот параметр отображает фирменную символику вашей организации на страницах предупреждений. Фирменная символика помогает пользователям распознавать подлинные предупреждения, поскольку злоумышленники часто имитируют страницы предупреждений Майкрософт, используемые по умолчанию. Дополнительные сведения о настраиваемой фирменной символики см. в статье Настройка темы Microsoft 365 для организации.

Приоритет политик безопасных ссылок

После создания нескольких политик можно указать порядок их применения. Две политики не могут иметь одинаковый приоритет, и обработка политик останавливается после применения первой политики (политика с наивысшим приоритетом для этого получателя). Встроенная политика защиты всегда применяется последней. Политики Safe Links, связанные с предустановленными политиками безопасности Стандартная и Строгая, всегда применяются раньше пользовательских политик Safe Links.

Дополнительные сведения о порядке приоритета и способах оценки и применения нескольких политик см. в разделах Порядок приоритета для предустановленных политик безопасности и других политик и Порядок и приоритет защиты электронной почты.

Списки «Не переписывать следующие URL-адреса» в политиках Safe Links

Каждая политика Safe Links содержит список Не переписывать следующие URL-адреса, который можно использовать для указания URL-адресов, не переписываемых при проверке Safe Links. Вы можете настроить различные списки в разных политиках безопасных ссылок. Обработка политики останавливается после применения к пользователю первой политики (скорее всего, с наивысшим приоритетом). Таким образом, к пользователю, который включен в несколько активных политик безопасных ссылок, применяется только один список Не переписывать следующие URL-адреса.

Сведения о добавлении записей в список в новых или существующих политиках безопасных ссылок см. в разделах Создание политик безопасных ссылок или Изменение политик безопасных ссылок.

Примечания.

• Следующие клиенты не распознают списки Не переписывать следующие URL-адреса в политиках безопасных ссылок. Пользователи, включенные в политики, могут быть заблокированы на доступ к URL-адресам на основе результатов проверки безопасных ссылок в следующих клиентах:

  • Microsoft Teams
  • Веб-приложения Office

  Действительно универсальный список URL-адресов, которые разрешены везде, см. в статье Управление списком разрешенных и заблокированных клиентов. Однако записи с разрешёнными URL-адресами в списке разрешений/блокировок арендатора не исключаются из перезаписи Safe Links.

• Рассмотрите возможность добавления часто используемых внутренних URL-адресов в список, чтобы улучшить взаимодействие с пользователем. Например, если у вас есть локальные службы, такие как Skype для бизнеса или SharePoint, можно добавить эти URL-адреса, чтобы исключить их из сканирования.

• Если в политиках Safe Links у вас уже есть записи Не переписывать следующие URL-адреса, обязательно просмотрите списки и добавьте подстановочные знаки при необходимости. Например, в вашем списке есть запись вида https://contoso.com/a, и позже вы решаете включить подпути, например https://contoso.com/a/b. Вместо добавления новой записи добавьте подстановочный знак в существующую запись, чтобы она стала https://contoso.com/a/*.

• В каждой записи URL-адреса можно использовать до трех подстановочных знаков (*). Подстановочные символы в явном виде указывают префиксы или поддомены. Например, запись contoso.com отличается от *.contoso.com/*, поскольку *.contoso.com/* позволяет пользователям посещать поддомены и пути в пределах указанного домена.

• Если URL-адрес использует автоматическое перенаправление для HTTP на HTTPS (например, перенаправление 302 для http://www.contoso.comhttps://www.contoso.com), и вы пытаетесь ввести записи HTTP и HTTPS для одного URL-адреса в списке, вы можете заметить, что вторая запись URL-адреса заменяет первую запись URL-адреса. Это не происходит, если версии HTTP и HTTPS URL-адреса полностью разделены.

• Не указывайте http:// или https:// (т. е. contoso.com), чтобы исключить версии HTTP и HTTPS.

• *.contoso.com не охватывает contoso.com, поэтому необходимо исключить оба домена, чтобы охватить как указанный домен, так и все дочерние домены.

• contoso.com/* охватывает только contoso.com, поэтому нет необходимости исключать оба contoso.com и contoso.com/*; просто contoso.com/* будет достаточно.

• Чтобы исключить все итерации домена, требуются две записи исключения. contoso.com/* и *.contoso.com/*. Эти записи объединяются, чтобы исключить как HTTP, так и HTTPS, основной домен contoso.com и все дочерние домены, а также любую или не конечную часть (например, рассматриваются как contoso.com, так и contoso.com/vdir1).

Синтаксис записи для списка "Не перезаписывать следующие URL-адреса"

Примеры значений, которые можно ввести, и их результаты описаны в следующей таблице:

Страницы предупреждений из безопасных ссылок

В этом разделе приведены примеры различных страниц предупреждений, которые активируются защитой безопасных ссылок при щелчке URL-адреса.

Уведомление о выполнении сканирования

URL-адрес, по которому щелкнули, проверяется функцией Safe Links. Возможно, вам потребуется подождать несколько секунд, прежде чем повторить попытку по ссылке.

Предупреждение о подозрительном сообщении

URL-адрес, по которому щёлкнули, был в сообщении электронной почты, которое похоже на другие подозрительные сообщения. Мы рекомендуем внимательно перепроверить сообщение электронной почты перед переходом на сайт.

Предупреждение о попытке фишинга

URL-адрес, по которому был выполнен переход, содержался в электронном письме, которое было определено как фишинговое. В результате все URL-адреса в сообщении электронной почты блокируются. Рекомендуется не переходить к сайту.

Предупреждение о вредоносных веб-сайтах

URL-адрес, по которому вы щёлкнули, ведёт на сайт, который был определён как вредоносный. Рекомендуется не переходить к сайту.

Предупреждение об ошибке

Произошла какая-то ошибка, и URL-адрес не может быть открыт.