2. Безпека Microsoft Defender

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com
2. У розділі «Електронна пошта та співпраця» виберіть «Політика та правила».
3. Виберіть «Політика загроз», а потім «Безпечні посилання».
4. Перевірте кожну політику та спробуйте визначити ту, яка відповідає наведеним нижче параметрам.
5. Прокрутіть панель униз і натисніть «Редагувати налаштування захисту» (Global Readers шукатиме значення «увімк.» або «вимк.»)
6. Переконайтеся, що наведені нижче параметри захисту встановлено як описано: Електронна пошта o Позначено: безпечні посилання перевіряють список відомих шкідливих посилань, коли користувачі натискають посилання в електронній пошті. URL-адреси переписуються за замовчуванням o Позначено Застосовувати безпечні посилання до повідомлень електронної пошти, надісланих в межах організації o Позначено Застосовувати сканування URL-адрес у режимі реального часу на наявність підозрілих посилань і посилань, які вказують на файли o Позначено Зачекайте, поки сканування URL-адреси завершиться, перш ніж доставити повідомлення o Знято прапорець Не перезаписуйте URL-адреси, перевіряйте лише через API безпечних посилань. Команди o Позначено: Безпечні посилання перевіряють список відомих шкідливих посилань, коли користувачі натискають посилання в Microsoft Teams. URL-адреси не переписуються. Програми Office 365 o Позначено: безпечні посилання перевіряють список відомих шкідливих посилань, коли користувачі натискають посилання в програмах Microsoft Office. URL-адреси не перезаписуються Параметри захисту кліків o Позначено Відстежувати клацання користувачів o Не позначено Дозволяє користувачам клацати по вихідній URL-адресі
7. Немає рекомендацій щодо брендування організації.
8. Натисніть закрити

1. Підключитися:

   Connect-ExchangeOnline.

2. Виконайте наступне, щоб вивести властивості з усіх політик безпечних посилань:

   $params = @(
       'Identity',
       'EnableSafeLinksForEmail',
       'EnableSafeLinksForTeams',
       'EnableSafeLinksForOffice',
       'TrackClicks',
       'AllowClickThrough',
       'ScanUrls',
       'EnableForInternalSenders',
       'DeliverMessageAfterScan',
       'DisableUrlRewrite'
   )
   Get-SafeLinksPolicy | Select-Object -Property $Params

3. Переконайтеся, що існує принаймні одна політика, яка відповідає наведеним нижче властивостям і значенням:
   Очікувані параметри в консолі:

   Identity                 : <Example CIS SafeLinks Policy>
   EnableSafeLinksForEmail  : True
   EnableSafeLinksForTeams  : True
   EnableSafeLinksForOffice : True
   TrackClicks              : True
   AllowClickThrough        : False
   ScanUrls                 : True
   EnableForInternalSenders : True
   DeliverMessageAfterScan  : True
   DisableUrlRewrite        : False

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com
2. У розділі «Електронна пошта та співпраця» виберіть «Політика та правила».
3. Виберіть «Політика загроз», а потім «Безпечні посилання».
4. Натисніть + Створити
5. Назвіть політику та натисніть «Далі».
6. У Домени виберіть усі дійсні домени для організації та Далі
7. Переконайтеся, що визначено наступні параметри захисту URL-адрес і кліків: Електронна пошта o Позначено: Безпечні посилання перевіряють список відомих шкідливих посилань, коли користувачі натискають посилання в електронній пошті. URL-адреси переписуються за замовчуванням o Позначено Застосовувати безпечні посилання до повідомлень електронної пошти, надісланих в межах організації o Позначено Застосовувати сканування URL-адрес у режимі реального часу на наявність підозрілих посилань і посилань, які вказують на файли o Позначено Зачекайте, поки сканування URL-адреси завершиться, перш ніж доставити повідомлення o Знято прапорець Не перезаписуйте URL-адреси, перевіряйте лише через API безпечних посилань. Команди o Позначено: Безпечні посилання перевіряють список відомих шкідливих посилань, коли користувачі натискають посилання в Microsoft Teams. URL-адреси не переписуються. Програми Office 365 o Позначено: безпечні посилання перевіряють список відомих шкідливих посилань, коли користувачі натискають посилання в програмах Microsoft Office. URL-адреси не перезаписуються Налаштування захисту кліків o Позначено Відстежувати клацання користувачів o Не позначено Дозволяє користувачам клацати по вихідній URL-адресі o Немає рекомендацій щодо брендингу організації.
8. Двічі натисніть «Далі» і, нарешті, «Надіслати».

1. Підключитися:

   Connect-ExchangeOnline.

2. Запустіть наведений нижче сценарій PowerShell, щоб створити політику з найвищим пріоритетом, яка буде

   apply to all valid domains on the tenant:
   # Create the Policy
   $params = @{
       Name = "CIS SafeLinks Policy"
       EnableSafeLinksForEmail = $true
       EnableSafeLinksForTeams = $true
       EnableSafeLinksForOffice = $true
       TrackClicks = $true
       AllowClickThrough = $false
       ScanUrls = $true
       EnableForInternalSenders = $true
       DeliverMessageAfterScan = $true
       DisableUrlRewrite = $false
   }
   New-SafeLinksPolicy @params
   # Create the rule for all users in all valid domains and associate with
   Policy
   New-SafeLinksRule -Name "CIS SafeLinks" -SafeLinksPolicy "CIS SafeLinks
   Policy" -RecipientDomainIs (Get-AcceptedDomain).Name -Priority 0

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила.
3. На сторінці «Політики та правила» виберіть «Політика загроз».
4. У розділі «Політики» виберіть «Захист від зловмисного програмного забезпечення» та натисніть «Політика за замовчуванням (за замовчуванням).
5. На сторінці політики, яка з’являється на правій панелі, у розділі Параметри захисту переконайтеся, що для параметра Увімкнути загальний фільтр вкладень встановлено значення Увімк.
6. Натисніть «Редагувати параметри захисту», щоб переглянути список типів файлів, які блокуються загальним фільтром вкладень. Переконайтеся, що список типів файлів містить принаймні 53 типи файлів, указані в розділі Значення за замовчуванням цього документа.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду Exchange Online PowerShell:

   Get-MalwareFilterPolicy -Identity Default

3. Переконайтеся, що властивість EnableFileFilter має значення True.
4. Переконайтеся, що властивість FileTypes містить принаймні список за замовчуванням із 53 типів файлів, які можна знайти в розділі «Значення за замовчуванням» цього документа.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила.
3. На сторінці «Політики та правила» виберіть «Політика загроз».
4. У розділі «Політика» виберіть «Захист від зловмисного програмного забезпечення» та натисніть «Політика за замовчуванням (за замовчуванням).
5. На сторінці політики, яка з’являється на правій панелі, прокрутіть униз і натисніть «Редагувати параметри захисту», установіть прапорець «Увімкнути загальний фільтр вкладень». o Якщо будь-який із типів файлів за замовчуванням відсутній, клацніть «Вибрати типи файлів» і додайте відсутні типи файлів. o Перегляньте розділ «Значення за замовчуванням» цього документа, щоб отримати список розширень, які слід заблокувати.
6. Натисніть «Зберегти», щоб зберегти зміни.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте наступне, щоб увімкнути загальний фільтр вкладень:

   Set-MalwareFilterPolicy -Identity Default -EnableFileFilter $true

3. Використовуйте Set-MalwareFilterPolicy -Identity Default з параметром -FileTypes, щоб додати будь-які відсутні типи файлів зі списку за замовчуванням. o FileTypes приймає масив рядків. o Щоб уникнути небезпечного використання, спочатку отримайте наявний список типів файлів за допомогою Get-MalwareFilterPolicy і додайте всі відсутні типи файлів до списку, перш ніж використовувати Set-MalwareFilterPolicy для оновлення політики.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила.
3. На сторінці «Політики та правила» виберіть «Політика загроз».
4. У розділі «Політики» виберіть «Захист від шкідливих програм».
5. Натисніть на Політику за замовчуванням (за замовчуванням).
6. Переконайтеся, що для параметра «Повідомляти адміністратора про недоставлені повідомлення від внутрішніх відправників» встановлено значення «Увімк.» і що під адресою електронної пошти адміністратора вказано принаймні одну адресу електронної пошти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду:

   Get-MalwareFilterPolicy | fl Identity,
   EnableInternalSenderAdminNotifications, InternalSenderAdminAddress

3. Переконайтеся, що для EnableInternalSenderAdminNotifications встановлено значення True і визначено адресу InternalSenderAdminAddress.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила.
3. На сторінці «Політики та правила» виберіть «Політика загроз».
4. У розділі «Політики» виберіть «Захист від шкідливих програм».
5. Натисніть на Політику за замовчуванням (за замовчуванням).
6. Натисніть «Редагувати параметри захисту» та змініть параметри «Повідомляти адміністратора про недоставлені повідомлення від внутрішніх відправників» на «Увімкнено» та введіть адресу електронної пошти адміністратора, якого потрібно сповістити, у розділі «Адреса електронної пошти адміністратора».
7. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду:

   Set-MalwareFilterPolicy -Identity '{Identity Name}' -
   EnableInternalSenderAdminNotifications $True -InternalSenderAdminAddress
   {[email protected]}

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила.
3. На сторінці «Політики та правила» виберіть «Політика загроз».
4. У розділі «Політики» виберіть «Безпечні вкладення».
5. Перегляньте політику найвищого пріоритету.
6. Переконайтеся, що користувачі та домени та включені домени одержувачів належать до сфери діяльності організації.
7. Переконайтеся, що відповідь виявлення безпечних вкладень: встановлено на Блокувати – блокувати поточні та майбутні повідомлення та вкладення з виявленим шкідливим програмним забезпеченням.
8. Переконайтеся, що для політики карантину встановлено значення AdminOnlyAccessPolicy.
9. Переконайтеся, що політику не вимкнено.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-SafeAttachmentPolicy | ft Identity,Enable,Action,QuarantineTag

3. Перегляньте політику безпечних вкладень із найвищим пріоритетом і переконайтеся, що властивості та значення відповідають наведеним нижче.
   Очікувані параметри в консолі:

   Enable        : True
   Action        : Block
   QuarantineTag : AdminOnlyAccessPolicy

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила.
3. На сторінці «Політики та правила» виберіть «Політика загроз».
4. У розділі «Політики» виберіть «Безпечні вкладення».
5. Натисніть + Створити.
6. Створіть назву та опис політики, а потім натисніть «Далі».
7. Виберіть усі дійсні домени та натисніть «Далі».
8. Виберіть Блокувати.
9. Політикою карантину є AdminOnlyAccessPolicy.
10. Не встановлюйте позначку «Увімкнути перенаправлення».
11. Натисніть «Далі» і нарешті «Надіслати».

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Щоб змінити існуючу політику, змініть наведений нижче приклад і виконайте наступне

   PowerShell command:
   Set-SafeAttachmentPolicy -Identity 'Example policy' -Action 'Block' -
   QuarantineTag 'AdminOnlyAccessPolicy' -Enable $true

3. Або відредагуйте та запустіть наведений нижче приклад, щоб створити нову політику безпечних вкладень.

   New-SafeAttachmentPolicy -Name "CIS 2.1.4" -Enable $true -Action 'Block' -
   QuarantineTag 'AdminOnlyAccessPolicy'
   New-SafeAttachmentRule -Name "CIS 2.1.4 Rule" -SafeAttachmentPolicy "CIS
   2.1.4" -RecipientDomainIs 'exampledomain[.]com'

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. У розділі «Електронна пошта та співпраця» виберіть «Політика та правила».
3. Виберіть Політика загроз, а потім – Безпечні вкладення.
4. Натисніть «Глобальні налаштування».
5. Переконайтеся, що для перемикача «Увімкнути захисник для Office 365 для SharePoint, OneDrive та Microsoft Teams» встановлено значення «Увімкнено».
6. Переконайтеся, що для перемикача «Увімкнути безпечні документи для клієнтів Office» встановлено значення «Увімкнено».
7. Переконайтеся, що перемикач «Дозволити людям клацати через захищений перегляд, навіть якщо безпечні документи визначили файл як зловмисний» вимкнено.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-AtpPolicyForO365 | fl
   Name,EnableATPForSPOTeamsODB,EnableSafeDocs,AllowSafeDocsOpen
   Verify the values for each parameter as below:
   EnableATPForSPOTeamsODB : True
   EnableSafeDocs : True
   AllowSafeDocsOpen : False

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com
2. У розділі «Електронна пошта та співпраця» виберіть «Політика та правила».
3. Виберіть Політика загроз, а потім – Безпечні вкладення.
4. Натисніть «Глобальні налаштування».
5. Натисніть, щоб увімкнути Увімкнути Defender для Office 365 для SharePoint, OneDrive та Microsoft Teams
6. Натисніть, щоб увімкнути, увімкнути безпечні документи для клієнтів Office
7. Клацніть, щоб вимкнути. Дозволити людям клацати через захищений перегляд, навіть якщо безпечні документи визначили файл як шкідливий.
8. Натисніть Зберегти

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Set-AtpPolicyForO365 -EnableATPForSPOTeamsODB $true -EnableSafeDocs $true -
   AllowSafeDocsOpen $false

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Клацніть політику захисту від спаму (за замовчуванням).
5. Переконайтеся, що для параметра «Надіслати копію підозрілих вихідних повідомлень або повідомлень, які перевищують ці обмеження цим користувачам і групам» встановлено значення «Увімк.», переконайтеся, що адреса електронної пошти правильна.
6. Переконайтеся, що для параметра «Повідомляти цих користувачів і групи, якщо відправника заблоковано через надсилання вихідного спаму» встановлено значення «Увімк.», переконайтеся, що адреса електронної пошти правильна.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-HostedOutboundSpamFilterPolicy | Select-Object Bcc*, Notify*

3. Переконайтеся, що для BccSuspiciousOutboundMail і NotifyOutboundSpam встановлено значення True, а адреси електронної пошти, на які потрібно надсилати сповіщення, правильні.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Клацніть політику захисту від спаму (за замовчуванням).
5. Виберіть Редагувати налаштування захисту, а потім у розділі Сповіщення:
6. Поставте прапорець «Надіслати копію підозрілих вихідних повідомлень або повідомлень, які перевищують ці обмеження, цим користувачам і групам», а потім введіть потрібні адреси електронної пошти.
7. Поставте прапорець «Повідомити цих користувачів і групи, якщо відправника заблоковано через надсилання вихідного спаму», а потім введіть потрібні адреси електронної пошти.
8. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   $BccEmailAddress = @("<INSERT-EMAIL>")
   $NotifyEmailAddress = @("<INSERT-EMAIL>")
   Set-HostedOutboundSpamFilterPolicy -Identity Default -
   BccSuspiciousOutboundAdditionalRecipients $BccEmailAddress -
   BccSuspiciousOutboundMail $true -NotifyOutboundSpam $true -
   NotifyOutboundSpamRecipients $NotifyEmailAddress

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила
3. Виберіть Політика загроз.
4. У розділі «Політики» виберіть «Антифішинг».
5. Переконайтеся, що політика AntiPhish увімкнена та відповідає таким критеріям:
6. У розділі «Користувачі, групи та домени» o Переконайтеся, що включені домени та групи включають більшість організації.
7. У розділі «Порогове значення та захист від фішингу» перевірте наступне: o Порогове значення електронної пошти для фішингу становить принаймні 3 – більш агресивний. o Захист від уособлення користувача ввімкнено та містить підмножину користувачів. o Захист домену від уособлення увімкнено для доменів, які належать. o Інтелект поштової скриньки та інтелект поштової скриньки для імітації та розвідки Spoof увімкнено.
8. У розділі «Дії» перевірте наступне: o Якщо повідомлення виявлено як уособлення користувача, для повідомлення встановлено карантин. o Якщо повідомлення виявлено як уособлення домену, це повідомлення переміщується в карантин. o Якщо Mailbox Intelligence виявляє імітованого користувача, повідомлення переміщується в карантин. o Підказка безпеки при першому контакті увімкнена. o Підказку щодо безпеки від уособлення користувача ввімкнено. o Підказку щодо безпеки уособлення домену ввімкнено. o Підказка щодо безпеки незвичайних персонажів увімкнено. o Поважати політику запису DMARC, якщо повідомлення виявлено як підробку, увімкнено.

1. Підключіться до служби Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте такі команди Exchange Online PowerShell:

   $params = @(
       "name","Enabled","PhishThresholdLevel","EnableTargetedUserProtection"
       "EnableOrganizationDomainsProtection","EnableMailboxIntelligence"
       "EnableMailboxIntelligenceProtection","EnableSpoofIntelligence"
       "TargetedUserProtectionAction","TargetedDomainProtectionAction"
       "MailboxIntelligenceProtectionAction","EnableFirstContactSafetyTips"
       "EnableSimilarUsersSafetyTips","EnableSimilarDomainsSafetyTips"
       "EnableUnusualCharactersSafetyTips","TargetedUsersToProtect"
       "HonorDmarcPolicy"
   )
   Get-AntiPhishPolicy | fl $params

3. Переконайтеся, що створено політику, яка має відповідні значення для таких параметрів:
   Очікувані параметри в консолі:

   Enabled                             : True
   PhishThresholdLevel                 : 3
   EnableTargetedUserProtection        : True
   EnableOrganizationDomainsProtection : True
   EnableMailboxIntelligence           : True
   EnableMailboxIntelligenceProtection : True
   EnableSpoofIntelligence             : True
   TargetedUserProtectionAction        : Quarantine
   TargetedDomainProtectionAction      : Quarantine
   MailboxIntelligenceProtectionAction : Quarantine
   EnableFirstContactSafetyTips        : True
   EnableSimilarUsersSafetyTips        : True
   EnableSimilarDomainsSafetyTips      : True
   EnableUnusualCharactersSafetyTips   : True
   TargetedUsersToProtect              : {<contains users>}
   HonorDmarcPolicy                    : True

4. Переконайтеся, що TargetedUsersToProtect містить підмножину організації, до 350 користувачів, для цільового захисту від уособлення.
5. Використовуйте PowerShell, щоб переконатися, що AntiPhishRule налаштовано та ввімкнено. Get-AntiPhishRule | ft AntiPhishPolicy,Priority,State,SentToMemberOf,RecipientDomainIs
6. Ідентифікація правильного правила з відповідного імені AntiPhishPolicy на кроці 3. Переконайтеся, що правило визначає групи або домени, які включають більшість організації, перевіривши SentToMemberOf або RecipientDomainIs.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила
3. Виберіть Політика загроз.
4. У розділі «Політики» виберіть «Антифішинг» і натисніть «Створити».
5. Назвіть політику, продовжуючи та натискаючи Далі за потреби: o Додати групи та/або домени, які містять більшість організації. o Встановіть порогове значення для фішингової електронної пошти на 3 – більш агресивний o Поставте прапорець «Увімкнути захист користувачів і додайте до 350 користувачів» o Поставте прапорець «Увімкнути домени для захисту та перевірки» Включати домени, які я володію o Поставте прапорець «Увімкнути інтелект поштової скриньки» (рекомендовано) o Поставте прапорець «Увімкнути розвідку для захисту від видавання себе за іншу особу» (рекомендовано) o Поставте прапорець «Увімкнути розвідку про підробку» (рекомендовано)
6. У розділі «Дії» налаштуйте наступне: o Якщо повідомлення виявлено як уособлення користувача, перемістити повідомлення в карантин o Встановити, якщо повідомлення виявлено як уособлення домену, перемістити повідомлення в карантин o Встановити, якщо Mailbox Intelligence виявляє імітаційного користувача, перемістити повідомлення в карантин o Залишити політику запису Honor DMARC, коли повідомлення виявлено як підробку. o Поставте прапорець «Показати підказку щодо безпеки при першому контакті» (рекомендовано) o Поставте прапорець «Показати пораду щодо безпеки під час уособлення користувача» o Поставте прапорець «Показати пораду щодо безпеки під час уособлення себе за домен» o Поставте прапорець «Показувати пораду щодо безпеки щодо незвичайних символів під час уособлення користувача»
7. Нарешті натисніть Далі та Надіслати політику.

1. Підключіться до служби Exchange Online:

   Connect-ExchangeOnline.

2. Запустіть наведений нижче сценарій Exchange Online PowerShell, щоб створити AntiPhish

   policy:
   # Create the Policy
   $params = @{
       Name = "CIS AntiPhish Policy"
       PhishThresholdLevel = 3
       EnableTargetedUserProtection = $true
       EnableOrganizationDomainsProtection = $true
       EnableMailboxIntelligence = $true
       EnableMailboxIntelligenceProtection = $true
       EnableSpoofIntelligence = $true
       TargetedUserProtectionAction = 'Quarantine'
       TargetedDomainProtectionAction = 'Quarantine'
       MailboxIntelligenceProtectionAction = 'Quarantine'
       TargetedUserQuarantineTag = 'DefaultFullAccessWithNotificationPolicy'
       MailboxIntelligenceQuarantineTag =
   'DefaultFullAccessWithNotificationPolicy'
       TargetedDomainQuarantineTag = 'DefaultFullAccessWithNotificationPolicy'
       EnableFirstContactSafetyTips = $true
       EnableSimilarUsersSafetyTips = $true
       EnableSimilarDomainsSafetyTips = $true
       EnableUnusualCharactersSafetyTips = $true
       HonorDmarcPolicy = $true
   }
   New-AntiPhishPolicy @params
   # Create the rule for all users in all valid domains and associate with
   Policy
   New-AntiPhishRule -Name $params.Name -AntiPhishPolicy $params.Name -
   RecipientDomainIs (Get-AcceptedDomain).Name -Priority 0

3. Нову політику можна редагувати в інтерфейсі користувача або через PowerShell.

Щоб виправити проблему за допомогою постачальника DNS: для кожного домену, визначеного під час аудиту як невідповідний, внесіть необхідні оновлення у свого постачальника DNS або через сторонню службу керування SPF. Відсутній запис SPF: якщо домен наразі не має запису SPF, створіть його, подібний до прикладу нижче, припускаючи, що вся електронна пошта маршрутизується через Exchange Online (Microsoft 365 або Microsoft 365 GCC): # Жорстка помилка v=spf1 include:spf.protection.outlook.com -all # М’яка помилка v=spf1 include:spf.protection.outlook.com ~усі додаткові відправники: якщо інші авторизовані використовуються служби електронної пошти, за потреби додайте їхні записи SPF за допомогою механізму include:. Наприклад: v=spf1 include:spf.protection.outlook.com include:exampledomain.net -all

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі Правила клацніть Параметри автентифікації електронної пошти.
4. Виберіть DKIM.
5. Для кожного дозволеного домену, який налаштовано для надсилання електронної пошти: o Пропустіть будь-який домен *.onmicrosoft.com (MOERA або Coexistence), ці вихідні повідомлення автоматично підписуються Microsoft. o Натисніть на ім’я домену. o Підтвердити Підписувати повідомлення для цього домену за допомогою підписів DKIM увімкнено. o Переконайтеся, що статус читає підписи DKIM для цього домену.
6. Статус «Не підписує підписи DKIM для цього домену» або «Немає збережених ключів DKIM для цього домену» не відповідає вимогам.

1. Підключіться до служби Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте наступне:

   # Get-DkimSigningConfig does not display unconfigured domains,
   # so we first get all accepted domains and then match them against
   # the DKIM signing configurations.
   $Domains = Get-AcceptedDomain |
       Where-Object {$_.IsCoExistenceDomain -eq $false -and $_.InitialDomain -eq
   $false}
   $DKIMCfg = Get-DkimSigningConfig
   # Generate the report
   $Report = foreach ($Domain in $Domains) {
       $DKIM = $DKIMCfg | Where-Object { $_.Name -eq $Domain.Name }
       [PSCustomObject]@{
           DomainName     = $Domain.Name
           Enabled        = [bool]$DKIM.Enabled
           Status         = if ($DKIM) { $DKIM.Status } else { "Not Configured"
   }
           IsCISCompliant = ($DKIM.Enabled -and $DKIM.Status -eq "Valid")
       }
   }
   # Output the report
   $Report | Format-Table -AutoSize
   # Optionally, export the report to a CSV file
   # $Report | Export-Csv -Path "2_1_9.csv" -NoTypeInformation

3. Для кожного домену, який налаштовано для надсилання електронної пошти, перевірте: o Enabled має значення True o Status має значення Valid. o Примітка. Властивість IsCISCompliant також перевірятиме, чи стан сумісний.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі Правила клацніть Параметри автентифікації електронної пошти.
4. Виберіть DKIM
5. Виберіть домен для виправлення.
6. Натисніть Створити ключі DKIM.
7. Microsoft надає правильно відформатовані записи CNAME, скопіюйте їх для подальшого використання.
8. В іншій вкладці або вікні браузера перейдіть до реєстратора домену для домену, а потім створіть два записи CNAME, використовуючи інформацію з попереднього кроку.
9. Поверніть розкривне вікно властивостей домену та встановіть для параметра «Підписувати повідомлення для цього домену за допомогою підписів DKIM» значення «Увімкнено». У разі успіху в статусі відобразиться підпис підписів DKIM для цього домену.

Щоб виправити проблему за допомогою постачальника DNS:

1. Для будь-якого невідповідного домену, який надсилає електронну пошту, додайте такий запис до DNS: Запис: _dmarc.domain1.com Тип: TXT Значення: v=DMARC1; p=немає; rua=mailto:; ruf=mailto:
2. Це створить базову політику DMARC, яка дозволить організації почати моніторинг статистики повідомлень.
3. Тижня достатньо, щоб дані, отримані за допомогою звітів, були корисними для розуміння тенденцій електронної пошти та трафіку. Останній крок вимагає впровадження політики p=reject АБО p=quarantine та pct=100 із визначеними необхідними адресами електронної пошти rua та ruf: Запис: _dmarc.domain1.com Тип: TXT Значення: v=DMARC1; p=відкинути; відсоток=100; rua=mailto:; ruf=mailto: Парковані домени: для будь-якого домену, який не використовується для надсилання електронної пошти, додайте такий запис до DNS: Запис: _dmarc.domain1.com Тип: TXT Значення: v=DMARC1; p=відкинути; Щоб виправити домен MOERA за допомогою інтерфейсу користувача:
4. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com/
5. Розгорніть Налаштування та виберіть Домени.
6. Виберіть домен клієнта (наприклад, contoso.onmicrosoft.com).
7. Виберіть DNS-записи та натисніть + Додати запис.
8. Додайте новий запис із іменем TXT _dmarc із відповідними значеннями, зазначеними вище.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Запустіть такий сценарій:

   $AttachExts  = @(
       '7z', 'a3x', 'ace', 'ade', 'adp', 'ani', 'apk', 'app', 'appinstaller',
       'applescript', 'application', 'appref-ms', 'appx', 'appxbundle', 'arj',
       'asd', 'asx', 'bas', 'bat', 'bgi', 'bz2', 'cab', 'chm', 'cmd', 'com',
       'cpl', 'crt', 'cs', 'csh', 'daa', 'dbf', 'dcr', 'deb',
       'desktopthemepackfile', 'dex', 'diagcab', 'dif', 'dir', 'dll', 'dmg',
       'doc', 'docm', 'dot', 'dotm', 'elf', 'eml', 'exe', 'fxp', 'gadget',
       'gz', 'hlp', 'hta', 'htc', 'htm', 'html', 'hwpx', 'ics', 'img',
       'inf', 'ins', 'iqy', 'iso', 'isp', 'jar', 'jnlp', 'js', 'jse', 'kext',
       'ksh', 'lha', 'lib', 'library', 'library-ms', 'lnk', 'lzh', 'macho',
       'mam', 'mda', 'mdb', 'mde', 'mdt', 'mdw', 'mdz', 'mht', 'mhtml', 'mof',
       'msc', 'msi', 'msix', 'msp', 'msrcincident', 'mst', 'ocx', 'odt', 'ops',
       'oxps', 'pcd', 'pif', 'plg', 'pot', 'potm', 'ppa', 'ppam', 'ppkg', 'pps',
       'ppsm', 'ppt', 'pptm', 'prf', 'prg', 'ps1', 'ps11', 'ps11xml', 'ps1xml',
       'ps2', 'ps2xml', 'psc1', 'psc2', 'pub', 'py', 'pyc', 'pyo', 'pyw', 'pyz',
       'pyzw', 'rar', 'reg', 'rev', 'rtf', 'scf', 'scpt', 'scr', 'sct',
       'searchConnector-ms', 'service', 'settingcontent-ms', 'sh', 'shb', 'shs',
       'shtm', 'shtml', 'sldm', 'slk', 'so', 'spl', 'stm', 'svg', 'swf', 'sys',
       'tar', 'theme', 'themepack', 'timer', 'uif', 'url', 'uue', 'vb', 'vbe',
       'vbs', 'vhd', 'vhdx', 'vxd', 'wbk', 'website', 'wim', 'wiz', 'ws', 'wsc',
       'wsf', 'wsh', 'xla', 'xlam', 'xlc', 'xll', 'xlm', 'xls', 'xlsb', 'xlsm',
       'xlt', 'xltm', 'xlw', 'xnk', 'xps', 'xsl', 'xz', 'z'
   )
   $MalwareFilterPolicies = Get-MalwareFilterPolicy
   $MalwareFilterRules = Get-MalwareFilterRule
   # A policy must have at least 90% of the extensions in the reference list to
   pass.
   # This allows for some flexibility with exceptions.
   $PassingValue = .90 # 90%
   $FailThreshold = [int]($AttachExts.count * (1 - $PassingValue))
   # Only evaluate policies that have more than 120 extensions defined
   # so we don't output failures on policies that aren't specific to
   # extension filtering.
   $CompPolicies = $MalwareFilterPolicies | Where-Object { $_.FileTypes.Count -
   gt 120 }
   if (-not $CompPolicies) {
       Write-Output "## FAIL ## No comprehensive policies found to evaluate."
       return
   }
   $ExtensionReport = foreach ($policy in $CompPolicies) {
       $Missing = Compare-Object -ReferenceObject $AttachExts `
           -DifferenceObject $policy.FileTypes `
           -PassThru | Where-Object { $_.SideIndicator -eq '<=' }
       $FoundRule = $MalwareFilterRules |
           Where-Object { $_.MalwareFilterPolicy -eq $policy.Id }
       # Define passing conditions to determine if this policy passes all
   checks.
       $Pass = ($Missing.Count -lt $FailThreshold) -and
               ($FoundRule.State -eq 'Enabled') -and
               ($policy.EnableFileFilter -eq $true)
       [PSCustomObject]@{
           PolicyName        = $policy.Identity
           IsCISCompliant    = $Pass
           EnableFileFilter  = $policy.EnableFileFilter
           State             = $FoundRule.State
           MissingCount      = $Missing.count
           MissingExtensions = $Missing -join ", "
           ExtensionCount    = $policy.FileTypes.count
       }
   }
   # Output results in various formats
   $ExtensionReport | Format-Table -AutoSize
   <# Optional: Export methods
   $ExtensionReport | Out-GridView -Title "Attachment Filter results"
   $ExtensionReport | Export-Csv -Path "2.1.11.csv" -NoTypeInformation
   $ExtensionReport | ConvertTo-Json | Out-File -FilePath "2.1.11.json"
   #>

3. Перегляньте результати, оцінюватимуться лише політики з визначеними понад 120 розширеннями. Наприкінці сценарію наведено приклади різних вихідних форматів.
4. Пропуск надається за таких умов: o Існує єдина активна політика, яка охоплює всі перелічені розширення файлів, крім тих, які визначені організацією як виняток. o Політика має стан Enabled. o Для властивості EnableFileFilter встановлено значення True.
5. Звіт містить властивість IsCISCompliant, де True вказує на відповідність, що дозволяє до 10% перелічених розширень бути відсутніми як задокументовані винятки.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Запустіть такий сценарій після редагування InternalSenderAdminAddress:

   # Create an attachment policy and associated rule. The rule is
   # intentionally disabled allowing the org to enable it when ready
   $Policy = @{
       Name             = "CIS L2 Attachment Policy"
       EnableFileFilter = $true
       ZapEnabled       = $true
       EnableInternalSenderAdminNotifications = $true
       InternalSenderAdminAddress = '[email protected]' # Change this.
   }
   $L2Extensions = @(
       "7z", "a3x", "ace", "ade", "adp", "ani", "app", "appinstaller",
       "applescript", "application", "appref-ms", "appx", "appxbundle", "arj",
       "asd", "asx", "bas", "bat", "bgi", "bz2", "cab", "chm", "cmd", "com",
       "cpl", "crt", "cs", "csh", "daa", "dbf", "dcr", "deb",
       "desktopthemepackfile", "dex", "diagcab", "dif", "dir", "dll", "dmg",
       "doc", "docm", "dot", "dotm", "elf", "eml", "exe", "fxp", "gadget", "gz",
       "hlp", "hta", "htc", "htm", "html", "hwpx", "ics", "img",
       "inf", "ins", "iqy", "iso", "isp", "jar", "jnlp", "js", "jse", "kext",
       "ksh", "lha", "lib", "library-ms", "lnk", "lzh", "macho", "mam", "mda",
       "mdb", "mde", "mdt", "mdw", "mdz", "mht", "mhtml", "mof", "msc", "msi",
       "msix", "msp", "msrcincident", "mst", "ocx", "odt", "ops", "oxps", "pcd",
       "pif", "plg", "pot", "potm", "ppa", "ppam", "ppkg", "pps", "ppsm", "ppt",
       "pptm", "prf", "prg", "ps1", "ps11", "ps11xml", "ps1xml", "ps2",
       "ps2xml", "psc1", "psc2", "pub", "py", "pyc", "pyo", "pyw", "pyz",
       "pyzw", "rar", "reg", "rev", "rtf", "scf", "scpt", "scr", "sct",
       "searchConnector-ms", "service", "settingcontent-ms", "sh", "shb", "shs",
       "shtm", "shtml", "sldm", "slk", "so", "spl", "stm", "svg", "swf", "sys",
       "tar", "theme", "themepack", "timer", "uif", "url", "uue", "vb", "vbe",
       "vbs", "vhd", "vhdx", "vxd", "wbk", "website", "wim", "wiz", "ws", "wsc",
       "wsf", "wsh", "xla", "xlam", "xlc", "xll", "xlm", "xls", "xlsb", "xlsm",
       "xlt", "xltm", "xlw", "xnk", "xps", "xsl", "xz", "z"
   )
   # Create the policy
   New-MalwareFilterPolicy @Policy -FileTypes $L2Extensions
   # Create the rule for all accepted domains
   $Rule = @{
       Name = $Policy.Name
       Enabled = $false
       MalwareFilterPolicy = $Policy.Name
       RecipientDomainIs = (Get-AcceptedDomain).Name
       Priority = 0
   }
   New-MalwareFilterRule @Rule

3. Після підготовки ввімкніть правило через інтерфейс користувача або PowerShell.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Клацніть політику фільтра підключення (за замовчуванням).
5. Переконайтеся, що список дозволених IP-адрес не містить записів.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-HostedConnectionFilterPolicy -Identity Default | fl IPAllowList

3. Переконайтеся, що IPAllowList порожній або {}

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Клацніть політику фільтра підключення (за замовчуванням).
5. Натисніть Редагувати політику фільтра підключення.
6. Видаліть будь-які IP-записи з Завжди дозволяти повідомлення з таких IP-адрес або діапазону адрес:.
7. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList @{}

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Клацніть політику фільтра підключення (за замовчуванням).
5. Переконайтеся, що безпечний список вимкнено.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-HostedConnectionFilterPolicy -Identity Default | fl EnableSafeList

3. Переконайтеся, що EnableSafeList має значення False

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Клацніть політику фільтра підключення (за замовчуванням).
5. Натисніть Редагувати політику фільтра підключення.
6. Зніміть прапорець Увімкнути безпечний список.
7. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Set-HostedConnectionFilterPolicy -Identity Default -EnableSafeList $false

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Перегляньте кожну вхідну політику захисту від спаму
5. Переконайтеся, що Дозволені домени не містять доменних імен.
6. За потреби повторіть для будь-якої додаткової політики захисту від вхідного спаму.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-HostedContentFilterPolicy | ft Identity,AllowedSenderDomains

3. Переконайтеся, що AllowedSenderDomains не визначено для кожної вхідної політики.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму».
4. Відкрийте кожну невідповідну вхідну політику захисту від спаму, клацнувши її.
5. Натисніть Редагувати дозволених і заблокованих відправників і домени.
6. Виберіть Дозволити домени.
7. Видаліть кожен домен зі списку доменів.
8. Натисніть Готово > Зберегти.
9. Повторіть за потреби.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Set-HostedContentFilterPolicy -Identity <Policy name> -AllowedSenderDomains
   @{}
   Or, run this to remove allowed domains from all inbound anti-spam policies:
   $AllowedDomains = Get-HostedContentFilterPolicy | Where-Object
   {$_.AllowedSenderDomains}
   $AllowedDomains | Set-HostedContentFilterPolicy -AllowedSenderDomains @{}

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політики та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму» та клацніть, щоб відкрити вихідну політику захисту від спаму (за замовчуванням).
4. Переконайтеся, що наведені нижче параметри налаштовано на рекомендований рівень або більш обмежувальне значення. Обмеження повідомлень, що дорівнює 0, не відповідають вимогам, оскільки це стандартне значення служби: o Зовнішнє: обмежити надсилання зовнішнім одержувачам (за годину) – 500 o Внутрішнє: обмежити надсилання внутрішнім одержувачам (за годину) – 1000 o Щоденно: максимальне обмеження на кількість одержувачів на день – 1000 o Дія: дія щодо перевищення ліміту – заборонити користувачу надсилати пошту
5. Переконайтеся, що контрольовану поштову скриньку налаштовано як одержувача в розділі «Повідомити цих користувачів і групи, якщо відправника заблоковано через надсилання вихідного спаму».

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте наступне:

   $params = @(
       'RecipientLimitExternalPerHour'
       'RecipientLimitInternalPerHour'
       'RecipientLimitPerDay'
       'ActionWhenThresholdReached'
       'NotifyOutboundSpamRecipients'
   )
   Get-HostedOutboundSpamFilterPolicy -Identity Default | fl $params

3. Переконайтеся, що кожну з наведених нижче властивостей налаштовано, як зазначено: o RecipientLimitExternalPerHour становить 500 або менше, але не 0 o RecipientLimitInternalPerHour становить 1000 або менше, але не 0 o RecipientLimitPerDay має значення 1000 або менше, але не 0 o ActionWhenThresholdReached є BlockUser o NotifyOutboundSpamRecipients містить контрольовану поштову скриньку.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com.
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. У розділі «Політики» виберіть «Захист від спаму» та клацніть, щоб відкрити вихідну політику захисту від спаму (за замовчуванням).
4. Виберіть Редагувати налаштування захисту.
5. Установіть рекомендовані або більш обмежувальні значення для наступних параметрів. Значення ліміту повідомлень, що дорівнює 0, не відповідають вимогам, оскільки це значення служби за замовчуванням. o Зовнішнє: установіть ліміт зовнішніх повідомлень — 500 o Внутрішнє: установіть ліміт внутрішніх повідомлень — 1000 o Daily: установіть добовий ліміт повідомлень — 1000 o Дія: обмеження, накладене на користувачів, які досягли ліміту повідомлень — заборонити користувачеві надсилати пошту
6. Переконайтеся, що сповіщати цих користувачів і групи, якщо відправника заблоковано через надсилання вихідного спаму, містить контрольовану поштову скриньку.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Змініть наведені нижче зразки адрес електронної пошти та запустіть наступний PowerShell

   commands:
   $params = @{
       RecipientLimitExternalPerHour = 500
       RecipientLimitInternalPerHour = 1000
       RecipientLimitPerDay = 1000
       ActionWhenThresholdReached = 'BlockUser'
       NotifyOutboundSpamRecipients =
   @('[email protected]','[email protected]')
   }
   Set-HostedOutboundSpamFilterPolicy -Identity 'Default' @params

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com
2. У розділі «Хмарні програми» виберіть «Політики» -> «Керування політикою».
3. Знайдіть політику привілейованих облікових записів, яка відповідає наведеним нижче критеріям. o Серйозність політики має високий рівень серйозності. o Категорія – Привілейовані облікові записи. o Вибрано Акт про окрему діяльність. o У розділі «Дії», які відповідають усім наведеним нижче параметрам, перевірте: o Filter1: Тип дії дорівнює «Вхід» o Filter2: Ім’я користувача дорівнює як будь-яка роль. o Перевірте, чи враховано всі додаткові облікові записи екстреного доступу. o У розділі Сповіщення перевірте, чи налаштовано сповіщення.
4. Повторіть цей процес для будь-якого додаткового екстреного доступу або облікових записів із розбитим склом в організації. Якщо відповідних політик не існує, то процедура аудиту вважається невдалою.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com
2. У розділі «Хмарні програми» виберіть «Політики» -> «Керування політикою».
3. Натисніть «Усі політики», а потім «Створити політику» -> «Політика діяльності».
4. Назвіть політику та встановіть такі параметри: o Для серйозності політики значення Висока серйозність. o Категорія для привілейованих облікових записів. o Акт про один вид діяльності. o Натисніть Вибрати фільтр -> Тип діяльності дорівнює Увійти. o Клацніть Додати фільтр -> Ім’я користувача дорівнює <Обліковий запис екстреного доступу> як будь-яка роль. o Переконайтеся, що всі облікові записи екстреного доступу додано до цієї чи іншої політики. o Виберіть метод сповіщення, наприклад Надіслати сповіщення електронною поштою.

Аудит із 3-етапним процесом. Крок 1. Переконайтеся, що пріоритетний захист облікового запису ввімкнено:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Виберіть «Система» > «Налаштування» в нижній частині лівої панелі.
3. Виберіть Електронна пошта та співпраця > Пріоритетний захист облікового запису
4. Переконайтеся, що для захисту пріоритетного облікового запису встановлено значення На кроці 2: переконайтеся, що пріоритетні облікові записи ідентифіковано та позначено відповідним чином:
5. Виберіть Теги користувача
6. Виберіть тег ПРІОРИТЕТНИЙ ОБЛІКОВИЙ ЗАПИС і натисніть Редагувати
7. Переконайтеся, що призначені учасники відповідають обліковим записам або групам, визначеним пріоритетом організації.
8. Повторіть попередні 2 кроки для будь-яких додаткових визначених тегів, наприклад Finance або HR. Крок 3. Переконайтеся, що сповіщення налаштовано:
9. Розгорніть Електронна пошта та співпраця в лівому стовпці.
10. Виберіть Політики та правила > Політика сповіщень
11. Переконайтеся, що принаймні дві політики сповіщень налаштовано для відстеження пріоритетних облікових записів щодо дій Виявлене зловмисне програмне забезпечення в повідомленні електронної пошти та Фішингова електронна пошта, виявлена ​​під час доставки. Ці сповіщення мають відповідати таким критеріям: o Серйозність: висока o Категорія: керування загрозами o Напрямок пошти: вхідна o Теги одержувача: включає пріоритетний обліковий запис

1. Підключіться до Exchange:

   Connect-ExchangeOnline

2. Отримайте стан захисту пріоритетного облікового запису: Get-EmailTenantSettings | виберіть EnablePriorityAccountProtection • Переконайтеся, що EnablePriorityAccountProtection має значення true.
3. Підключіться до PowerShell безпеки та відповідності:

   Connect-IPPSSession

4. Отримати правила сповіщень, націлені на пріоритетні облікові записи: Get-ProtectionAlert | Where-Object { $_.RecipientTags -Match ‘Priority account’ }
5. Для кожної повернутої політики перевірте всі наступні критерії: o Серйозність має високий рівень o Filter відповідає шаблону Mail.Direction -eq ‘Inbound’ o RecipientTags відповідає шаблону Priority account o NotificationEnabled має значення true o NotifyUser містить дійсного одержувача електронної пошти o Disabled має значення false
6. Елемент керування є сумісним, якщо результати включають: o Однопрохідну політику фішингу (ThreatType = Phish) o Однопрохідну політику зловмисного програмного забезпечення (ThreatType = Malware). o EnablePriorityAccountProtection має значення true з кроку 2.

Виправлення за допомогою 3-етапного процесу. Крок 1. Увімкніть пріоритетний захист облікового запису в Microsoft 365 Defender:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Виберіть «Система» > «Налаштування» в нижній частині лівої панелі.
3. Виберіть Електронна пошта та співпраця > Пріоритетний захист облікового запису
4. Переконайтеся, що для захисту пріоритетного облікового запису встановлено значення На кроці 2: позначте пріоритетні облікові записи:
5. Виберіть Теги користувача
6. Виберіть тег ПРІОРИТЕТНИЙ ОБЛІКОВИЙ ЗАПИС і натисніть Редагувати
7. Виберіть Додати учасників, щоб додати користувачів або групи. Рекомендуються групи.
8. Повторіть попередні 2 кроки для будь-яких додаткових тегів, таких як фінанси або кадри.
9. Далі та Надіслати. Крок 3. Налаштуйте сповіщення електронною поштою для пріоритетних облікових записів:
10. Розгорніть Електронна пошта та співпраця в лівому стовпці.
11. Виберіть Політики та правила > Політика сповіщень
12. Виберіть Нову політику сповіщень
13. Введіть дійсну назву та опис політики. Встановіть для Серйозності значення Високий, а для Категорії – Керування загрозами.
14. Для параметра «Діяльність» виберіть «Виявлено зловмисне програмне забезпечення в повідомленні електронної пошти».
15. Напрямок пошти – вхідна
16. Виберіть «Додати умову» та «Користувач: теги одержувача».
17. У полі параметрів вибору додайте вибрані теги пріоритету, наприклад пріоритетний обліковий запис.
18. Виберіть Кожен раз, коли дія відповідає правилу.
19. Далі та перевірте, чи вибрано дійсних одержувачів.
20. Далі виберіть Так, увімкнути відразу. Натисніть Надіслати, щоб зберегти сповіщення.
21. Повторіть кроки 12–18, щоб створити друге сповіщення для поля «Діяльність». Діяльність: під час доставки виявлено фішинговий електронний лист.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. Звідси по черзі перейдіть до кожного розділу: Антифішинг Антиспам Антишкідливе програмне забезпечення Безпечні вкладення Безпечні посилання
4. Переконайтеся, що кожен містить політику під назвою Strict Preset Security Policy, яка включає пріоритетні облікові записи та групи організації.

1. Підключіться до Exchange:

   Connect-ExchangeOnline

2. Отримати суворе правило ATP для Defender: Get-ATPProtectionPolicyRule | Where-Object { $_.Identity -eq ‘Strict Preset Security Policy’ }
3. Отримати суворе стандартне правило EOP для Defender: Get-EOPProtectionPolicyRule | Where-Object { $_.Identity -eq ‘Strict Preset Security Policy’ }
4. Перевірте наступні критерії як для правила EOP, так і для правила ATP: o State is Enabled o Принаймні один цільовий одержувач заповнено VIP, тобто: ▪ SentTo, SentToMemberOf або RecipientDomainIs не є нульовим
5. Елемент керування є сумісним, якщо існують і правило ATP, і правило EOP, і вони відповідають критеріям на кроці 4.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть Електронна пошта та співпраця > Політика та правила > Політика загроз.
3. Виберіть Попередньо встановлені політики безпеки.
4. Клацніть, щоб керувати налаштуваннями захисту для попереднього налаштування суворого захисту.
5. Щоб застосувати Exchange Online Protection, виберіть принаймні конкретних одержувачів і включіть облікові записи/групи, визначені як пріоритетні облікові записи.
6. Щоб застосувати Defender для Office 365 Protection, виберіть принаймні конкретних одержувачів і включіть облікові записи/групи, визначені як пріоритетні облікові записи.
7. Для захисту від уособлення клацніть «Далі» та додайте дійсні адреси електронної пошти або пріоритетні облікові записи, як внутрішні, так і зовнішні, які можуть піддаватися уособленню.
8. Для захищених користувацьких доменів додайте доменне ім’я організації разом із іншими ключовими партнерами.
9. Натисніть «Далі» і нарешті «Підтвердити».

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть «Система» > «Налаштування» > «Хмарні програми».
3. Перейдіть до розділу Підключені програми та виберіть З’єднувачі програм.
4. Переконайтеся, що Microsoft 365 і Microsoft Azure відображаються в списку як підключені.
5. Перейдіть до Cloud Discovery > Microsoft Defender for Endpoint і переконайтеся, що інтеграцію ввімкнено.
6. Перейдіть у розділ «Захист інформації» > «Файли» та переконайтеся, що встановлено прапорець «Увімкнути моніторинг файлів».

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть «Система» > «Налаштування» > «Хмарні програми».
3. Перейдіть до пункту Захист інформації та виберіть Файли.
4. Позначте Увімкнути моніторинг файлів.
5. Прокрутіть до Cloud Discovery і виберіть Microsoft Defender для кінцевої точки.
6. Поставте прапорець «Примусовий доступ програми», налаштуйте URL-адресу сповіщень і збережіть.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть «Система» > «Налаштування» > «Електронна пошта та співпраця» > «Захист Microsoft Teams».
3. Перевірте, чи для параметра Zero-hour auto purge (ZAP) встановлено значення On (за замовчуванням)
4. У розділі Виключити цих учасників перегляньте список виключень і переконайтеся, що вони виправдані та в межах допустимого для організації.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Запустіть такі командлети:

   Get-TeamsProtectionPolicy | fl ZapEnabled
   Get-TeamsProtectionPolicyRule | fl ExceptIf*

3. Переконайтеся, що ZapEnabled має значення True.
4. Перегляньте список виключень і переконайтеся, що вони виправдані та в межах допустимості для організації. Якщо другий командлет нічого не повертає, виключення не визначено.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть «Система» > «Налаштування» > «Електронна пошта та співпраця» > «Захист Microsoft Teams».
3. Увімкніть (за замовчуванням) автоматичне очищення без нуля (ZAP)

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Запустіть такий командлет:

   Set-TeamsProtectionPolicy -Identity "Teams Protection Policy" -ZapEnabled
   $true

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть «Система» > «Налаштування» > «Електронна пошта та співпраця» > «Налаштування автоматизації MDO».
3. Переконайтеся, що в розділі «Кластери повідомлень» позначено наступне: o Подібні файли o Подібні URL-адреси o Кілька подібних атрибутів

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до Microsoft Defender https://security.microsoft.com/
2. Розгорніть «Система» > «Налаштування» > «Електронна пошта та співпраця» > «Налаштування автоматизації MDO».
3. У розділі «Кластери повідомлень» перевірте таке: o Подібні файли o Подібні URL-адреси o Кілька подібних атрибутів
4. Натисніть «Зберегти», щоб застосувати зміни.