Настройки безопасности Microsoft 365: чек-лист для МСБ

С чего начать настройку безопасности Microsoft 365?

Настройку безопасности Microsoft 365 начинайте с проверки лицензий: от плана зависит, какие средства защиты вам доступны. Business Basic, Standard и Premium (ранее продавались под названием Office 365) включают защиту почты от спама, вредоносных программ и фишинга. Согласно странице Microsoft 365 for business security best practices, условный доступ, Intune Plan 1, Defender for Business и Defender for Office 365 Plan 1 входят только в Business Premium.

Microsoft позиционирует Business Premium для организаций численностью до 300 пользователей. Остальные различия планов разобраны в нашем сравнении Business Basic, Standard и Premium и на странице Business Premium.

Значит, компания МСБ на Basic или Standard тоже может выполнить шаги по удостоверениям, почте, общему доступу и мониторингу. Если вы планируете весь офис, наше руководство по ИТ-инфраструктуре офиса МСБ покажет место этого чек-листа в общей картине.

Удостоверения: параметры по умолчанию или условный доступ?

Если лицензии на условный доступ нет, оставьте параметры безопасности по умолчанию включёнными; при Business Premium или Entra ID P1 переходите на политики условного доступа. В статье Microsoft Learn о параметрах безопасности по умолчанию сказано, что они требуют регистрации всех пользователей в MFA, MFA для администраторов при каждом входе и блокируют устаревшую проверку подлинности. Там же указано, что MFA может блокировать более 99,2% атак на удостоверения.

Совмещать два подхода нельзя: при переходе на условный доступ параметры по умолчанию отключают. Чтобы не было пробела в защите, сначала создайте политики в режиме «только отчёт» (report-only): они оцениваются, но не применяются, а результат попадает в журнал входа. Политики, управляемые Microsoft, тоже приходят в этом режиме и, если их не отключить, обычно включаются Microsoft не раньше чем через 30 дней с предварительным уведомлением.

1. Создайте две учётные записи аварийного доступа (break-glass): облачные (*.onmicrosoft.com) с ролью Global Administrator, исключённые из политик, блокирующих вход, защищённые ключом FIDO2 и проверяемые не реже раза в 90 дней.
2. Сократите число Global Administrator: Microsoft рекомендует меньше пяти; базовые конфигурации CISA SCuBA задают от двух до восьми. Для повседневной работы используйте более узкие роли и отдельные учётные записи администраторов.
3. Требуйте устойчивую к фишингу MFA для администраторов: встроенная сила проверки подлинности «Phishing-resistant MFA strength» принимает ключи FIDO2 и Windows Hello for Business.
4. Включите MFA для всех пользователей: Microsoft Authenticator при подтверждении просит ввести число, что затрудняет атаки с «усталостью от MFA».
5. Ограничьте согласие на приложения: Microsoft рекомендует разрешать пользователям согласие только для приложений проверенных издателей.
6. Отключите истечение срока паролей: Microsoft рекомендует для облачных учётных записей пароли без срока действия и длину не менее 14 символов.

В Exchange Online обычная проверка подлинности для POP, IMAP, EWS и ActiveSync уже отключена навсегда; исключение — SMTP AUTH. Согласно объявлению команды Exchange от января 2026 г., в существующих клиентах она будет по умолчанию отключена в конце декабря 2026 г., а администраторы смогут включить её снова. Составьте список принтеров и приложений, отправляющих почту таким способом; если вы уходите с локального Exchange, включите его в план миграции, а варианты сравните по нашей статье о прекращении поддержки Exchange Server.

Baseline security mode в центре администрирования Microsoft 365 (Settings > Org Settings > Security and Privacy) собирает такие настройки на одной странице. Microsoft советует сначала запускать отчёт о влиянии и включать настройки, для которых влияние нулевое.

Как защитить устройства с помощью Intune и Defender for Business?

Зарегистрируйте в Intune каждое устройство с доступом к данным компании, подключите его к Defender for Business и разрешайте в условном доступе только соответствующие требованиям устройства. Microsoft описывает Defender for Business как решение для защиты конечных точек на базе Defender for Endpoint для компаний численностью до 300 пользователей.

• Политика соответствия: задайте минимальную версию ОС, отсутствие jailbreak или root и допустимый уровень угроз. Параметр «Помечать устройства без назначенной политики соответствия как» по умолчанию равен «Соответствует»; при работе с условным доступом Microsoft рекомендует «Не соответствует».
• Личные устройства: Intune Plan 1 включает управление мобильными приложениями (MAM), поэтому личные телефоны можно защищать на уровне приложений.
• Defender for Business: мастер настройки выдаёт доступ к порталу, настраивает уведомления, подключает устройства Windows и применяет политики по умолчанию для антивирусной защиты нового поколения и брандмауэра. Для серверов нужны дополнительные лицензии.

Если вы используете продукт другого производителя, например Bitdefender GravityZone, заранее определите роль каждого из них: Microsoft Defender Antivirus в этом случае работает в активном, пассивном или отключённом режиме — в зависимости от того, подключено ли устройство к Defender for Endpoint. См. наше сравнение пакетов GravityZone и руководство по сокращению поверхности атаки.

Какие настройки безопасности почты нужно включить?

Примените предустановленную политику безопасности, настройте SPF, DKIM и DMARC и отключите автоматическую пересылку на внешние адреса. Предустановленные политики Standard и Strict за один шаг включают защиту от спама, вредоносных программ и фишинга с рекомендованными Microsoft параметрами; в Business Premium к ним добавляются Safe Links, Safe Attachments и защита от олицетворения.

После публикации записей проверьте домен нашим инструментом проверки безопасности почты; поэтапный переход описан в руководстве Microsoft по DMARC. В политике исходящего спама установите для пересылки значение «Выкл.» вместо «Автоматически — под управлением системы»: по словам Microsoft, это значение ведёт себя по-разному в разных организациях, а правила пересылки может создать и взломанная учётная запись. Подробнее — в нашей статье о Defender for Office 365 и на странице продукта.

Как ограничить общий доступ к файлам?

Установите для внешнего общего доступа в SharePoint и OneDrive самый узкий нужный уровень и сделайте «Определённые пользователи» типом ссылки по умолчанию. Согласно документации Microsoft по общему доступу, настройка OneDrive может быть строже SharePoint, но не мягче, а сайты не могут превышать уровень организации.

Базовая конфигурация CISA SCuBA для SharePoint строже: не шире «Существующих гостей», по умолчанию только просмотр, срок действия ссылок «Все» не более 30 дней. Она написана для федеральных ведомств США, поэтому для МСБ это ориентир, а не требование. Business Premium добавляет метки конфиденциальности и DLP. Настройки общего доступа не вернут удалённые или зашифрованные данные — см. нашу статью о резервном копировании Microsoft 365.

Как вести мониторинг с журналом аудита и Secure Score?

Сначала убедитесь, что журнал аудита включён, затем ежемесячно просматривайте рекомендации Secure Score. Microsoft Learn указывает, что для лицензий МСБ — Business Basic, Standard и Premium — аудит по умолчанию не включён. Команда Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled в Exchange Online PowerShell должна вернуть True; Audit (Standard) хранит записи 180 дней.

В Microsoft Secure Score каждая рекомендация стоит не более 10 баллов, некоторые дают частичный балл: если MFA защищены 50 из 100 пользователей, начисляется половина. Параметры безопасности по умолчанию дают полный балл по трём рекомендациям: MFA для всех пользователей (9), MFA для ролей администраторов (10) и блокировка устаревшей проверки подлинности (7). Используйте оценку как список задач и ежемесячно проверяйте входы аварийных учётных записей.

Чек-лист безопасности Microsoft 365: в каком порядке внедрять?

Сначала применяйте настройки с широким эффектом, которые легко откатить, а всё, что может заблокировать пользователей, проверяйте в режиме «только отчёт». Последний столбец показывает, как убедиться, что пункт выполнен.

1. Подготовка: перечень лицензий, ролей администраторов и устройств с устаревшими протоколами; аварийные учётные записи; включённый аудит.
2. Удостоверения: параметры по умолчанию либо политики условного доступа в режиме «только отчёт» с включением после анализа.
3. Почта и общий доступ: предустановленные политики, DKIM, DMARC с p=none, отключённая пересылка, более узкий доступ.
4. Устройства и усиление: Intune и Defender for Business, условие «соответствующее устройство», DMARC на p=reject.

Аварийные учётные записи создавайте до условного доступа, а соответствие устройств требуйте только после их регистрации, иначе пользователи потеряют доступ.

Частые вопросы

Можно ли одновременно включить параметры безопасности по умолчанию и условный доступ?

Нет. По данным Microsoft Learn, организация, внедряющая политики условного доступа, должна отключить параметры безопасности по умолчанию. Чтобы не возник пробел в защите, сначала создайте новые политики в режиме «только отчёт», изучите результаты в журнале входа, затем включите политики и отключите параметры по умолчанию. Политики, управляемые Microsoft, упрощают переход: они уже охватывают MFA и блокировку устаревшей проверки подлинности.

У нас Business Standard. Нужен ли Business Premium ради MFA?

Нет. Параметры безопасности по умолчанию доступны в любом плане без доплаты и требуют MFA от всех пользователей. Business Premium или Entra ID P1 нужен, когда требуются правила по местоположению, соответствию устройств или группам пользователей, а также устойчивая к фишингу MFA для администраторов. Обсудить выбор плана: Связаться.

Что будет с принтерами и приложениями, которые отправляют почту?

Согласно объявлению команды Exchange от января 2026 г., обычная проверка подлинности для SMTP AUTH в существующих клиентах будет по умолчанию отключена в конце декабря 2026 г., но администраторы смогут включить её снова; в клиентах, созданных позже, её по умолчанию не будет. Окончательную дату удаления обещают объявить во второй половине 2027 г. Составьте список устройств, проверьте поддержку OAuth у производителя и предусмотрите альтернативы, например Microsoft Graph.

Если у нас Bitdefender, нужен ли ещё Defender for Business?

Один основной продукт защиты конечных точек упрощает управление. Microsoft Defender Antivirus рядом с антивирусом другого производителя работает в активном, пассивном или отключённом режиме — в зависимости от того, подключено ли устройство к Defender for Endpoint. Какой бы продукт вы ни выбрали, MFA, условный доступ и настройки почты всё равно нужно настроить в Microsoft 365.

Что такое учётная запись аварийного доступа и как её защищают?

Это учётная запись Global Administrator, не закреплённая за конкретным сотрудником, на случай, когда обычные администраторы не могут войти. Microsoft рекомендует не менее двух облачных учётных записей (*.onmicrosoft.com). Их исключают из блокирующих политик условного доступа, защищают устойчивым к фишингу методом, например ключом FIDO2, отслеживают каждое использование и проверяют не реже раза в 90 дней.

Итоги

• Лицензия задаёт рамки: параметры по умолчанию есть в любом плане, условный доступ — с Business Premium или Entra ID P1.
• Аварийные учётные записи, MFA, блокировка устаревшей проверки подлинности и меньше Global Administrator дают самый быстрый эффект.
• Предустановленные почтовые политики, DKIM, поэтапный DMARC и запрет внешней пересылки дополняют работу с удостоверениями.
• В планах для МСБ журнал аудита нужно включить вручную, а Secure Score проверять ежемесячно.

Sora Yazılım Teknolojileri — технологическая компания из Стамбула (Аташехир), которая предлагает для Microsoft 365 подбор лицензий, поставку, внедрение и поддержку; объём работ определяется договором. Планы представлены на странице решений Microsoft 365.

Бесплатная консультация · WhatsApp: Поддержка в WhatsApp · Телефон: +90 544 785 21 87 · E-mail: talep@sorayazilim.com

Источники

1. Security defaults in Microsoft Entra ID — Microsoft Learn, 16.10.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
2. Conditional Access overview; Microsoft-managed policies — Microsoft Learn, 2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
3. Emergency access accounts; Best practices for Microsoft Entra roles — Microsoft Learn, июнь 2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
4. Microsoft 365 for business security best practices — Microsoft Learn, 28.05.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
5. Baseline security mode settings — Microsoft Learn, 30.09.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
6. What is Microsoft Defender for Business? — Microsoft Learn, 2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
7. Device compliance policies in Microsoft Intune — Microsoft Learn, 02.07.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
8. Microsoft Defender Antivirus compatibility — Microsoft Learn, 21.08.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
9. DKIM, DMARC и внешняя пересылка (Defender for Office 365) — Microsoft Learn, 2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
10. Manage sharing settings for SharePoint and OneDrive — Microsoft Learn, 30.06.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
11. Turn auditing on or off — Microsoft Learn, 19.06.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
12. Microsoft Secure Score — Microsoft Learn, 07.03.2026. learn.microsoft.com (дата обращения: 19 октября 2026 г.)
13. Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline — Microsoft Exchange Team, 27.01.2026. techcommunity.microsoft.com (дата обращения: 19 октября 2026 г.)
14. CISA SCuBA M365 Secure Configuration Baselines — CISA, ScubaGear 2.0.0. github.com (дата обращения: 19 октября 2026 г.)

Как подготовлена статья

Подготовлено: команда Sora Yazılım. Статья подготовлена с помощью ИИ; технические сведения сверены с источниками производителя и официальными источниками, ссылки на которые приведены в тексте, по состоянию на 19 октября 2026 г.

Похожие статьи

• ИТ-инфраструктура офиса МСБ — сеть, телефония, почта и конечные точки в одном плане.
• Microsoft 365 Business Basic, Standard и Premium — какой план подходит вашей команде.
• Конец поддержки Exchange Server 2016/2019 — Exchange Online или Exchange SE.
• Сравнение пакетов Bitdefender GravityZone — Business Security, Premium и Enterprise.
• Сокращение поверхности атаки на конечных точках — усиление защиты с GravityZone.
• Ruijie Reyee или корпоративная серия RG? — выбор семейства оборудования для офисной сети.
• Когда Wi-Fi 7 оправдан в корпоративной сети? — сроки обновления беспроводной сети.
• Варианты развёртывания IP-АТС 3CX — облако, локальная установка и SIP-транк.
• Интеграция 3CX и Microsoft Teams — звонки из Teams через IP-АТС.