Як перевірити безпеку Microsoft 365: 6 перевірок за годину

Безпеку Microsoft 365 можна перевірити за годину самостійно: шість перевірок у центрах адміністрування Microsoft Entra, Exchange, SharePoint і Purview показують, чи захищені входи, хто має повні права, чи не витікає пошта і чи залишаться сліди, якщо щось станеться. Кожна перевірка нижче має зрозумілий добрий і поганий результат, тож одразу видно, що виправляти першим.

Перевірки може пройти IT-адміністратор або власник разом із ним. Для перегляду здебільшого вистачає ролі Global Reader (усе бачить, нічого не змінює). Назви меню наведені за документацією Microsoft станом на жовтень 2026 року. Microsoft часто перейменовує пункти, тож якщо шлях трохи інший, введіть назву розділу в пошук центру адміністрування.

Коротко

• MFA (другий крок входу: код або підтвердження в телефоні) має бути в усіх, включно з адміністраторами й аварійними акаунтами.
• Старі протоколи входу не вміють MFA і пропускають за одним паролем, тому їх блокують.
• Global Administrator (повні права на весь Microsoft 365) мають менше п'яти акаунтів, і кожного власника ви знаєте.
• Автоматичне пересилання пошти на зовнішні адреси вимкнене, а кожне наявне хтось може пояснити.
• Файли не розходяться посиланнями «для всіх» без строку дії.
• Журнал аудиту ввімкнений. У тарифах Business його треба перевірити окремо: за замовчуванням він там вимкнений.

Шість перевірок одним поглядом

1. MFA для всіх, включно з адміністраторами й аварійними акаунтами

Де дивитися. Центр адміністрування Microsoft Entra (entra.microsoft.com): Entra ID > Authentication methods > Activity, вкладка Registration, далі User registration details. Відфільтруйте стовпець MFA Capable за значенням Not capable.

Потім перевірте, що MFA справді вимагається, а не лише налаштоване в частини людей. Один варіант: Entra ID > Overview > Properties > Manage security defaults, тобто базовий захист від Microsoft, який вимагає MFA і блокує старі протоколи. ^[1] Інший: Entra ID > Conditional Access > Policies (правила умовного доступу) з увімкненою політикою, що вимагає MFA для всіх користувачів і всіх застосунків.

Добрий результат. У списку Not capable немає жодної активної людини. Є два аварійні акаунти (break glass: вхід на випадок, коли інші адміністратори не можуть увійти). Microsoft радить захищати їх ключем FIDO2 або сертифікатом, окремо від звичайних адмінів, і перевіряти вхід ними хоча б раз на 90 днів. ^[2] Microsoft уже вимагає MFA для входу в центри адміністрування, тож аварійний акаунт без MFA може не спрацювати саме тоді, коли він потрібен. ^[3]

Що означає поганий результат. Акаунт без MFA відкривається одним паролем, а паролі витікають через фішинг і чужі бази. Якщо без MFA адміністратор, під загрозою весь тенант, тобто ваш екземпляр Microsoft 365 з усією поштою і файлами.

2. Старі протоколи входу заблоковані

Старі протоколи (legacy authentication) це способи входу, які не вміють MFA: IMAP, POP, SMTP AUTH, старі поштові програми. Через них пароль спрацьовує навіть тоді, коли MFA увімкнено.

Де дивитися. Entra ID > Monitoring & health > Sign-in logs. Додайте стовпець Client App, потім фільтр Client App з усіма старими протоколами і подивіться успішні входи. ^[4] Далі перевірте, чи є блокування: його дають Security defaults або політика Conditional Access з умовою Client apps (Exchange ActiveSync clients і Other clients) та дією Block access.

Добрий результат. Блокування діє для всіх користувачів, а в журналі за останні тижні немає успішних входів через старі протоколи.

Що означає поганий результат. Успішні входи через IMAP чи SMTP означають, що хтось заходить лише паролем. Якщо це сканер чи програма, яка надсилає рахунки, для неї шукають сучасний спосіб входу. Якщо ніхто не впізнає ці входи, змініть пароль і перевірте скриньку. Багато невдалих спроб з різних країн зазвичай означають підбір паролів.

3. Скільки адміністраторів і хто має Global Admin

Де дивитися. Entra ID > Roles & admins, роль Global Administrator, список призначень. Те саме видно в центрі адміністрування Microsoft 365 (admin.microsoft.com): Roles > Role assignments.

Добрий результат. Microsoft радить мати менше п'яти Global Administrator. ^[5] Для невеликої компанії розумна схема: двоє іменних адміністраторів і два аварійні акаунти. Кожен акаунт з MFA, а його власник досі працює з вами. Щоденну роботу роблять вужчими ролями: User Administrator, Exchange Administrator, Billing Administrator.

Що означає поганий результат. Global Administrator у колишнього працівника, підрядника, у спільного акаунта на кшталт office@ чи в директора «про всяк випадок». Кожен такий акаунт це ключ від усього: пошти, файлів і налаштувань безпеки. Чим більше ключів, тим більше шансів, що один із них вкрадуть.

4. Пересилання пошти на зовнішні адреси

Після злому скриньки зловмисник може поставити правило, яке тихо пересилає копії листів на зовнішню адресу. Пароль уже змінили, а листи далі йдуть. Microsoft прямо називає таке пересилання ризиком витоку даних. ^[6]

Де дивитися. Портал Microsoft Defender (security.microsoft.com): Email & collaboration > Policies & rules > Threat policies > Anti-spam, політика Anti-spam outbound policy, параметр Automatic forwarding rules. Потім у новому центрі адміністрування Exchange (admin.exchange.microsoft.com) відкрийте звіт Auto forwarded messages у розділі Reports > Mail flow: він показує, хто і куди пересилає листи.

Добрий результат. Стоїть Off або Automatic (System-controlled), яке з 2021 року теж означає «вимкнено». ^[6] Потрібні винятки оформлені окремою політикою для конкретних людей. Звіт порожній, або кожне пересилання хтось може пояснити.

Що означає поганий результат. Пересилання ввімкнене для всіх, або у звіті є приватні адреси, яких ніхто свідомо не налаштовував. Таку скриньку вважайте зламаною, доки не доведено інше: змініть пароль, завершіть сесії, видаліть правило і перегляньте, що з неї надсилали.

Є й інший шлях до пошти без пароля: сторонні застосунки з дозволом читати листи. Як їх знайти і прибрати зайві, розбираю в робочому аркуші Хто має доступ до вашої пошти Microsoft 365?

5. Зовнішній доступ до файлів у SharePoint і OneDrive

Де дивитися. Центр адміністрування SharePoint: Policies > Sharing. Там рівні зовнішнього доступу для SharePoint і OneDrive: Anyone (посилання працює без входу), New and existing guests, Existing guests, Only people in your organization. ^[7] На тій самій сторінці задають тип посилання за замовчуванням і строк дії посилань Anyone.

Добрий результат. Anyone вимкнено, або дозволено лише на перегляд і з коротким строком дії. Посилання за замовчуванням Specific people, тобто доступ лише для названих людей. Гості з'являються через запрошення, і їхній список хтось переглядає.

Що означає поганий результат. Anyone без строку дії і з правом редагування, посилання «для всіх» за замовчуванням. Такий файл відкриє будь-хто, кому переслали посилання, і ви не знатимете, хто саме. Договори, зарплатні таблиці й скани паспортів так і опиняються у відкритому доступі.

6. Журнали: аудит увімкнений, входи хтось переглядає

Журнал аудиту (записи про дії користувачів і адміністраторів). Портал Microsoft Purview (purview.microsoft.com): картка Audit у розділі Solutions. Якщо аудит вимкнений, зверху буде банер із пропозицією почати запис дій. Точна перевірка в Exchange Online PowerShell: Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled, має бути True. ^[8] Важливо: у тарифах Business Basic, Business Standard і Business Premium аудит за замовчуванням не ввімкнений. Після ввімкнення записи зберігаються 180 днів.

Журнал входів. Entra ID > Monitoring & health > Sign-in logs, стовпець Location. Шукайте неможливу подорож: вхід із Києва, а за пів години з іншого континенту. Автоматично такі входи виявляє Entra ID Protection, але лише з ліцензією Entra ID P2 або з Defender for Cloud Apps. ^[9] На простіших тарифах дивіться самі. Журнал входів зберігається 7 днів у безкоштовній версії Entra ID і 30 днів у P1 та P2, тож переглядати його треба щотижня. ^[10]

Добрий результат. Аудит увімкнений. Раз на тиждень хтось переглядає входи адміністраторів, невдалі спроби і входи з незвичних країн.

Що означає поганий результат. Без аудиту після інциденту ніхто не відповість, що прочитали і що забрали. Успішний вхід із країни, де у вас нікого немає, особливо якщо після нього змінились правила пошти, це привід негайно змінити пароль і завершити всі сесії.

Що виправляти першим

1. Адміністратори без MFA: це найкоротший шлях до всього тенанта.
2. Невідоме пересилання пошти: можливо, витік уже триває.
3. Вимкнений аудит: вмикається за хвилини і починає записувати одразу.
4. Старі протоколи: спершу знайдіть, хто ними користується, потім блокуйте.
5. Посилання «Anyone» і зайві адміністратори: прибирайте поступово, попередивши людей.

Ці шість перевірок не охоплюють пристрої, резервні копії, сторонні застосунки і процеси видачі доступів. Їх дивимося в Security Assessment. А сайт, кабінет клієнта чи API, які працюють поруч із Microsoft 365, перевіряє пентест.

Чекліст за годину

• Усі активні користувачі мають MFA, адміністратори теж.
• Є два аварійні акаунти з ключем FIDO2 або сертифікатом, вхід ними перевірено.
• Старі протоколи входу заблоковані, успішних входів через них у журналі немає.
• Global Administrator менше п'яти, усі акаунти іменні й відомі.
• Автоматичне пересилання на зовнішні адреси вимкнене, звіт пересилань порожній або пояснений.
• Посилання «Anyone» вимкнені або мають строк дії і лише перегляд.
• Журнал аудиту ввімкнений, UnifiedAuditLogIngestionEnabled дорівнює True.
• Хтось щотижня переглядає журнал входів.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Скільки часу займають ці перевірки?

Для компанії до кількох десятків людей близько години, якщо адміністратор знає центри адміністрування. Виправлення займають більше: кожну зміну варто спершу погодити і перевірити на кількох людях.

Які права потрібні для перевірки?

Роль Global Reader дає перегляд майже всіх налаштувань без права щось змінити. Для команди PowerShell про статус аудиту може знадобитися додаткова роль в Exchange Online.

Чи зламає щось блокування старих протоколів?

Може зупинити старі сканери, принтери чи програми, які надсилають листи через SMTP. Тому спершу подивіться журнал входів, знайдіть, хто ними користується, і ввімкніть політику Conditional Access у режимі Report-only (лише звіт) на тиждень.

Що робити, якщо знайшли пересилання, якого ніхто не ставив?

Вважайте скриньку зламаною: змініть пароль, завершіть усі сесії, видаліть правило, перевірте способи MFA (зловмисник міг додати свій телефон) і журнал аудиту по цій скриньці. Якщо через неї могли піти рахунки чи реквізити, попередьте бухгалтерію і партнерів.

Чи замінює це перевірку безпеки?

Ні, це базова самоперевірка налаштувань. Security Assessment дивиться ширше: доступи, сторонні застосунки, пристрої, процеси. Ваші власні сайти й застосунки перевіряє пентест.

Посилання

1. Microsoft Learn: Configure Security Defaults for Microsoft Entra ID learn.microsoft.com
2. Microsoft Learn: Manage emergency access admin accounts learn.microsoft.com
3. Microsoft Learn: Plan for mandatory Microsoft Entra multifactor authentication learn.microsoft.com
4. Microsoft Learn: Block legacy authentication with Conditional Access learn.microsoft.com
5. Microsoft Learn: Best practices for Microsoft Entra roles learn.microsoft.com
6. Microsoft Learn: Control external email forwarding learn.microsoft.com
7. Microsoft Learn: Manage sharing settings for SharePoint and OneDrive learn.microsoft.com
8. Microsoft Learn: Turn auditing on or off learn.microsoft.com
9. Microsoft Learn: What are risk detections? (Microsoft Entra ID Protection) learn.microsoft.com
10. Microsoft Learn: Microsoft Entra data retention learn.microsoft.com