← До повного змісту CIS Microsoft 365 Foundations Benchmark

CIS Benchmark

CIS Benchmark • Microsoft 365 v7.0.0

6. Безпека поштової служби Exchange Online

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Безпека поштової служби Exchange Online».


Рекомендацій: 13


Microsoft 365 v7.0.0

6.1.1 Переконайтеся, що для параметра «AuditDisabled» організаційно встановлено значення «False» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘AuditDisabled’ organizationally is set to ‘False’ (Automated)

Значення False вказує, що аудит поштової скриньки ввімкнено за замовчуванням для організації. Аудит поштової скриньки, увімкнений за замовчуванням в організації, замінює поштову скриньку параметри аудиту окремих поштових скриньок. Наприклад, якщо аудит поштової скриньки вимкнено для поштової скриньки (властивість AuditEnabled для поштової скриньки має значення False), поштова скринька за замовчуванням дії все ще перевіряються для поштової скриньки, оскільки аудит поштової скриньки ввімкнено за замовчуванням на для організації. Вимкнення аудиту поштової скриньки за замовчуванням ($true) має такі результати: • Аудит поштової скриньки вимкнено для вашої організації. • Після того, як ви вимкнете аудит поштової скриньки за замовчуванням, жодні дії щодо поштової скриньки не відбуватимуться перевірено, навіть якщо для поштової скриньки ввімкнено аудит (AuditEnabled властивість поштової скриньки має значення True). • Аудит поштової скриньки не ввімкнено для нових поштових скриньок і параметр AuditEnabled властивість нової або існуючої поштової скриньки на значення True ігнорується. • Будь-які параметри асоціації обходу аудиту поштової скриньки (налаштовані за допомогою Set- Командлет MailboxAuditBypassAssociation) ігноруються. • Існуючі записи аудиту поштової скриньки зберігаються до граничного віку журналу аудиту для запис закінчується. Рекомендований стан для цього параметра – False на рівні організації. Це буде увімкнути аудит і застосувати значення за замовчуванням.

💡 Обґрунтування безпеки:

Застосування за замовчуванням гарантує, що аудит не було вимкнено навмисно чи випадково. Аудит дій поштових скриньок дозволить криміналістам і групам інфрачервоних зв’язків відстежувати різні зловмисники дії, які можуть генерувати TTP, викликані доступом до папки “Вхідні” та підробкою.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка з 2019 року.

Сторінка 418

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Get-OrganizationConfig | Format-List AuditDisabled
  3. Переконайтеся, що для параметра AuditDisabled встановлено значення False.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Set-OrganizationConfig -AuditDisabled $false

Значення за замовчуванням: Неправда
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/purview/audit-mailboxes?view=o365-worldwide
  2. https://learn.microsoft.com/en-us/powershell/module/exchange/set-
  3. organizationconfig?view=exchange-ps#-auditdisabled

CIS Controls V8: 8.2
IG 1, 2, 3
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

CIS Controls V7: 6.2
IG 1, 2, 3
Activate audit logging Ensure that local logging has been enabled on all systems and networking devices.

Page 419

6.1.2 Переконайтеся, що дії перевірки поштової скриньки налаштовано (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure mailbox audit actions are configured (Automated)

Журнал аудиту поштової скриньки ввімкнено за умовчанням у всіх організаціях. Ця спроба розпочалася в січня 2019 р. і означає, що певні дії власників поштових скриньок, делегатів, і адміністратори автоматично реєструються. Відповідні записи аудиту поштової скриньки є доступний для адміністраторів для пошуку в журналі аудиту поштової скриньки. Поштові скриньки та спільні поштові скриньки мають окремі дії, призначені для них, щоб аудит даних, які організація вважає цінними на рівні поштової скриньки. Рекомендований стан для кожної поштової скриньки від AuditEnabled до True, включаючи всі перевірки за замовчуванням дії з додатковими діями, описаними нижче в розділах аудиту та виправлення. Примітка. Станом на жовтень ліцензування аудиту (стандарт) дозволяє зберігати журнали до 180 днів 2023 рік.

💡 Обґрунтування безпеки:

Незалежно від того, чи це для відповідності нормативним вимогам, чи для відстеження неавторизованої конфігурації зміни в Microsoft 365, увімкнувши аудит поштової скриньки та гарантуючи належну поштову скриньку враховані дії дозволяють командам Microsoft 365 виконувати операції безпеки, криміналістика або загальні розслідування діяльності поштових скриньок. Наступні типи поштових скриньок ігнорують організаційні стандарти за замовчуванням і повинні мати AuditEnabled має значення True на рівні поштової скриньки, щоб отримати відповідні дані аудиту. • Поштові скриньки ресурсів • Поштові скриньки загальнодоступних папок • Поштова скринька DiscoverySearch

Сторінка 420

⚠️ Вплив на робочий процес (Impact):

Додавання додаткових типів дій аудиту та збільшення AuditLogAgeLimit з 90 до 180 днів матиме обмежений вплив на зберігання поштової скриньки. Записи журналу аудиту поштової скриньки є зберігається у вкладеній папці (під назвою Audits) у папці Recoverable Items у папці кожного користувача поштова скринька. • Записи аудиту поштової скриньки враховуються в квоті зберігання елементів, які можна відновити папку. • Записи аудиту поштової скриньки також враховуються в обмеженні папок для Recoverable Папка елементів. Максимально 3 мільйони елементів (аудиторських записів) можуть зберігатися в Вкладена папка Audits. Наступний командлет в Exchange Online PowerShell можна запустити для відображення розміру та кількість елементів у підпапці Audits у папці Recoverable Items: Get-MailboxFolderStatistics -Identity -FolderScope RecoverableItems | Where-Object {$_.Name -eq ‘Audits’} | Формат-список FolderPath,FolderSize,ItemsInFolder Примітка. Малоймовірно, що аудит поштової скриньки, увімкнений за замовчуванням, вплине на квоту пам’яті або на обмеження папки для папки Recoverable Items.

Сторінка 421

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Запустіть такий сценарій PowerShell:
    $AdminActions = @(
    "ApplyRecord", "Copy", "Create", "FolderBind", "HardDelete",
    "MailItemsAccessed", "Move", "MoveToDeletedItems", "SendAs",
    "SendOnBehalf", "Send", "SoftDelete", "Update",
    "UpdateCalendarDelegation", "UpdateFolderPermissions",
    "UpdateInboxRules"
)
$DelegateActions = @(
    "ApplyRecord", "Create", "FolderBind", "HardDelete", "Move",
    "MailItemsAccessed", "MoveToDeletedItems", "SendAs", "SendOnBehalf",
    "SoftDelete", "Update", "UpdateFolderPermissions", "UpdateInboxRules"
)
$OwnerActions = @(
    "ApplyRecord", "Create", "HardDelete", "MailboxLogin", "Move",
    "MailItemsAccessed", "MoveToDeletedItems", "Send", "SoftDelete",
    "Update", "UpdateCalendarDelegation", "UpdateFolderPermissions",
    "UpdateInboxRules"
)
function VerifyActions {
    param (
        [array]$ExpectedActions,
        [array]$ActualActions
    )
    $Missing = $ExpectedActions | Where-Object { $_ -notin $ActualActions }
    return $Missing
}
$MBX = Get-EXOMailbox -PropertySets Audit, Minimum -ResultSize Unlimited |
    Where-Object { $_.RecipientTypeDetails -eq "UserMailbox" }
$Results = foreach ($mailbox in $MBX) {
    $AdminMissing = VerifyActions -ExpectedActions $AdminActions `
        -ActualActions $mailbox.AuditAdmin
    $DelegateMissing = VerifyActions -ExpectedActions $DelegateActions `
        -ActualActions $mailbox.AuditDelegate
    $OwnerMissing = VerifyActions -ExpectedActions $OwnerActions `
        -ActualActions $mailbox.AuditOwner
    $IsCompliant = $AdminMissing.Count -eq 0 -and
                   $DelegateMissing.Count -eq 0 -and
                   $OwnerMissing.Count -eq 0 -and
                   $mailbox.AuditEnabled
    [PSCustomObject]@{
        Mailbox         = $mailbox.UserPrincipalName
        AuditEnabled    = $mailbox.AuditEnabled
        AdminMissing    = if ($AdminMissing.Count -gt 0) {
            $AdminMissing -join ", " } else { "None" }
        DelegateMissing = if ($DelegateMissing.Count -gt 0) {
            $DelegateMissing -join ", " } else { "None" }
        OwnerMissing    = if ($OwnerMissing.Count -gt 0) {
            $OwnerMissing -join ", " } else { "None" }
        ComplianceState = if ($IsCompliant) { "Compliant" } else {
            "Non-Compliant" }
    }
}
# Display results in table format
$Results | Format-Table -AutoSize
<# Optional: Export methods
$Results | Out-GridView -Title "Mailbox Audit Results"
$Results | Export-Csv -Path "6.1.2.csv" -NoTypeInformation
$Results | ConvertTo-Json | Out-File -FilePath "6.1.2.json"
#>
  3. Перегляньте результати. Поштові скриньки буде позначено як відповідні або невідповідні разом із супровідними деталями, які описують відсутні дії для кожного типу та поточний стан AuditEnabled. Додаткові методи для експорту даних у CSV, JSON або GridView також показані в кінці сценарію.
ℹ️ Примітка: Поштові скриньки з ліцензіями Audit (Premium), які включені в E5, можуть зберігатися
журнали аудиту понад 180 днів.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Запустіть наступний сценарій PowerShell, щоб виправити кожну «UserMailbox» у
    organization:
$AuditAdmin = @(
    "ApplyRecord", "Copy", "Create", "FolderBind", "HardDelete",
    "MailItemsAccessed", "Move", "MoveToDeletedItems", "SendAs",
    "SendOnBehalf", "Send", "SoftDelete", "Update",
    "UpdateCalendarDelegation", "UpdateFolderPermissions",
    "UpdateInboxRules"
)
$AuditDelegate = @(
    "ApplyRecord", "Create", "FolderBind", "HardDelete", "Move",
    "MailItemsAccessed", "MoveToDeletedItems", "SendAs", "SendOnBehalf",
    "SoftDelete", "Update", "UpdateFolderPermissions", "UpdateInboxRules"
)
$AuditOwner = @(
    "ApplyRecord", "Create", "HardDelete", "MailboxLogin", "Move",
    "MailItemsAccessed", "MoveToDeletedItems", "Send", "SoftDelete",
    "Update", "UpdateCalendarDelegation", "UpdateFolderPermissions",
    "UpdateInboxRules"
)
$MBX = Get-EXOMailbox -ResultSize Unlimited | Where-Object {
    $_.RecipientTypeDetails -eq "UserMailbox"
}
$MBX | Set-Mailbox -AuditEnabled $true `
-AuditLogAgeLimit 180 -AuditAdmin $AuditAdmin -AuditDelegate $AuditDelegate `
-AuditOwner $AuditOwner
  3. Сценарій застосовуватиме встановлені дії аудиту для кожного типу входу (власник, делегат, адміністратор) і AuditLogAgeLimit до кожної поштової скриньки користувача в організації.
ℹ️ Примітка: Поштові скриньки з ліцензіями Audit (Premium), які включені в E5, можуть зберігатися
журнали аудиту понад 180 днів.

Значення за замовчуванням: AuditEnabled: вірно для всіх поштових скриньок, крім наведених нижче: • Поштові скриньки ресурсів • Поштові скриньки загальнодоступних папок • Поштова скринька DiscoverySearch AuditAdmin: ApplyRecord, Create, HardDelete, MailItemsAccessed, MoveToDeletedItems, Send, SendAs, SendOnBehalf, SoftDelete, Update, UpdateCalendarDelegation, UpdateFolderPermissions, UpdateInboxRules AuditDelegate: ApplyRecord, Create, HardDelete, MailItemsAccessed, MoveToDeletedItems, SendAs, SendOnBehalf, SoftDelete, Update, UpdateFolderPermissions, UpdateInboxRules AuditOwner: ApplyRecord, HardDelete, MailItemsAccessed, MoveToDeletedItems, Send, SoftDelete, Update, UpdateCalendarDelegation, UpdateFolderPermissions, UpdateInboxRules
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/purview/audit-mailboxes?view=o365-worldwide

CIS Controls V8: 8.2
IG 1, 2, 3
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

CIS Controls V8: 8.5
IG 1, 2
Collect Detailed Audit Logs Configure detailed audit logging for enterprise assets containing sensitive data. Include event source, date, username, timestamp, source addresses, destination addresses, and other useful elements that could assist in a forensic investigation.

CIS Controls V7: 6.2
IG 1, 2, 3
Activate audit logging Ensure that local logging has been enabled on all systems and networking devices.

Page 426

6.1.3 Переконайтеся, що «AuditBypassEnabled» не ввімкнено для поштових скриньок (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘AuditBypassEnabled’ is not enabled on mailboxes (Automated)

Під час налаштування облікового запису користувача або комп’ютера для обходу журналювання аудиту поштової скриньки, система не буде фіксувати будь-який доступ або дії, виконані вказаним користувачем або комп’ютером обліковий запис на будь-яку поштову скриньку. Це було введено адміністративно, щоб зменшити обсяг записи в журналах перевірки поштових скриньок облікових записів довірених користувачів або комп’ютерів. Переконайтеся, що AuditBypassEnabled не ввімкнено в облікових записах без письмового винятку.

💡 Обґрунтування безпеки:

Якщо для облікового запису додано асоціацію обходу аудиту поштової скриньки, обліковий запис може отримати доступ будь-яка поштова скринька в організації, до якої їй призначено права доступу, без створення будь-яких записів журналу аудиту поштової скриньки для такого доступу або запису вжиті дії, наприклад видалення повідомлень. Навмисне чи ненавмисне ввімкнення цього параметра може дозволити інсайдерам або зловмисники, щоб приховати свою діяльність у певних поштових скриньках. Забезпечення правильної рубки дій користувача та операцій із поштовою скринькою в журналі аудиту дасть змогу всеосяжно реагування на інциденти та криміналістика.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

Сторінка 427

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    $MBXData = Get-MailboxAuditBypassAssociation -ResultSize unlimited
$Report = $MBXData | ? {$_.AuditBypassEnabled -eq $true} |
select Name,AuditBypassEnabled
$Report
<# Optional: Export methods
$Report | Out-GridView -Title "Mailbox Audit Bypass Association"
$Report | Export-Csv -Path "6.1.3.csv" -NoTypeInformation
#>
  3. Якщо нічого не повертається, це означає, що немає облікових записів з увімкненим обходом аудиту.
ℹ️ Примітка: Командлет Get-MailboxAuditBypassAssociation може відображати ПОПЕРЕДЖЕННЯ
для системних об’єктів, які починаються з «Asc-2X1», це не є частиною процедури аудиту та
можна ігнорувати.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Наступний приклад сценарію PowerShell вимкне AuditBypass для всіх поштових скриньок, у яких наразі його ввімкнено: # Отримайте поштові скриньки з AuditBypassEnabled зі значенням $true $MBXAudit = Get-MailboxAuditBypassAssociation -ResultSize unlimited | Where- Object { $_.AuditBypassEnabled -eq $true } foreach ($mailbox in $MBXAudit) { $mailboxName = $mailbox.Name Set-MailboxAuditBypassAssociation -Identity $mailboxName – AuditBypassEnabled $false Write-Host “Обхід аудиту вимкнено для ідентифікатора поштової скриньки: $mailboxName” – ForegroundColor Green }

Значення за замовчуванням: AuditBypassEnabled False
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/powershell/module/exchange/get-
  2. mailboxauditbypassassociation?view=exchange-ps

CIS Controls V8: 8.2
IG 1, 2, 3
Collect Audit Logs Collect audit logs. Ensure that logging, per the enterprise’s audit log management process, has been enabled across enterprise assets.

Page 429 6.2 Mail flow

Page 430

6.2.1 Переконайтеся, що всі форми пересилання пошти заблоковано та/або вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure all forms of mail forwarding are blocked and/or disabled (Automated)

Exchange Online пропонує кілька методів керування потоком повідомлень електронної пошти. Це політики віддаленого домену, транспортних правил і вихідної політики захисту від спаму. Ці методи працюють разом, щоб забезпечити повне охоплення потенційних автоматичних канали переадресації: • Пересилання Outlook за правилами папки “Вхідні”. • Переадресація Outlook налаштована за допомогою правила OOF. • Налаштування пересилання OWA (ForwardingSmtpAddress). • Переадресація, встановлена адміністратором за допомогою EAC (ForwardingAddress). • Переадресація за допомогою Power Automate / Flow. Переконайтеся, що для блокування пошти використовуються правило транспорту та вихідна політика захисту від спаму пересилання. ПРИМІТКА. Будь-які виключення слід застосовувати на основі політики організації.

💡 Обґрунтування безпеки:

Зловмисники часто створюють ці правила, щоб викрасти дані з вашої оренди, це може бути здійснюється через доступ до облікового запису кінцевого користувача або іншим чином. Інсайдер також може скористатися один із цих методів як вторинний канал для вилучення конфіденційних даних.

⚠️ Вплив на робочий процес (Impact):

Перед впровадженням слід подбати про те, щоб у цьому немає потреби для бізнесу автоматичне пересилання від випадку до випадку. Вимкнення автоматичної переадресації на віддалені домени вплине усі користувачі в організації. Будь-які виключення слід реалізовувати на основі організаційна політика.

Сторінка 431

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до Microsoft 365 Defender https://security.microsoft.com/
  2. Розгорніть Електронна пошта та співпраця, а потім виберіть Політика та правила.
  3. Виберіть Політика загроз > Захист від спаму.
  4. Перевірте вихідну політику захисту від спаму (за замовчуванням) і переконайтеся, що автоматичне пересилання вимкнено – пересилання вимкнено
  5. Перевірте будь-які додаткові користувацькі вихідні політики та переконайтеся, що автоматичне пересилання вимкнено – пересилання вимкнено відповідно до політики виключення організації.
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange онлайн:
    Connect-ExchangeOnline.
  2. Запустіть такий командлет PowerShell:
    Get-HostedOutboundSpamFilterPolicy | ft Name, AutoForwardingMode
  3. У кожній вихідній політиці переконайтеся, що AutoForwardingMode вимкнено.
ℹ️ Примітка: Відповідно до Microsoft, якщо одержувач визначено в кількох політиках однієї й тієї самої
типу (антиспам, антифішинг тощо), застосовується лише політика з найвищим пріоритетом
одержувач. Будь-які інші політики цього типу не оцінюються для одержувача
(включаючи політику за умовчанням). Однак ми рекомендуємо провести аудит за замовчуванням
політику, а також у випадку видалення спеціальної політики з вищим пріоритетом. Це дозволить зберегти
стійка безпека організації.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до Microsoft 365 Defender https://security.microsoft.com/
  2. Розгорніть Електронна пошта та співпраця, а потім виберіть Політика та правила.
  3. Виберіть Політика загроз > Захист від спаму.
  4. Виберіть політику захисту від спаму (за замовчуванням)
  5. Натисніть Змінити параметри захисту
  6. Установіть для спадного меню «Правила автоматичної пересилання» значення «Вимк. — пересилання вимкнено» та натисніть «Зберегти».
  7. Повторіть кроки 4-6 для будь-якої додаткової спеціальної політики з вищим пріоритетом.
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Set-HostedOutboundSpamFilterPolicy -Identity {policyName} -AutoForwardingMode
Off
  3. Щоб видалити автопересилання з усіх вихідних політик, ви також можете запустити: Get-HostedOutboundSpamFilterPolicy | Set-HostedOutboundSpamFilterPolicy – AutoForwardingMode Off
ℹ️ Примітка: Процедура відновлення складається з двох етапів:
КРОК 1: Правила транспортування

📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/exchange/security-and-compliance/mail-flow-rules/mail-flow-rules
  2. https://techcommunity.microsoft.com/t5/exchange-team-blog/all-you-need-to-know-about-automatic-email-forwarding-in/ba-
  3. p/2074888#:~:text=%20%20%20Automatic%20forwarding%20option%20%20,%
  4. https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-policies-
  5. external-email-forwarding?view=o365-worldwide

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 434

6.2.2 Переконайтеся, що правила транспортування пошти не вносять певні домени в білий список (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure mail transport rules do not whitelist specific domains (Automated)

Правила потоку пошти (правила транспортування) в Exchange Online можна налаштувати для встановлення спаму рівень достовірності (SCL) повідомлення до -1, що обходить фільтрацію спаму та фішингу. Коли правило застосовує цю дію до повідомлень на основі домену відправника, уся пошта із цього домену розглядається як надійний і пропускає захист від шкідливих програм і фішингу оцінка незалежно від змісту повідомлення.

💡 Обґрунтування безпеки:

Додавання доменів у білий список у правилах транспортування обходить звичайне шкідливе програмне забезпечення та фішинг сканування, яке може дозволити зловмиснику здійснювати атаки на ваших користувачів із a безпечний домен. Примітка: якщо організація визначає бізнес-потребу для винятку, домен повинен це зробити заносити в білий список, лише якщо вхідні електронні листи з цього домену надходять із певної IP-адреси адресу. Ці винятки слід документувати та регулярно переглядати.

⚠️ Вплив на робочий процес (Impact):

Видалення правил обходу SCL призведе до стандартних доменів, які раніше були в білому списку фільтрація спаму та фішингу. Пошта з тих доменів, яка не проходить фільтрацію, може бути карантин або відхилення, що може порушити налагоджене ділове спілкування. Перед видаленням визначте обсяг будь-яких правил і погодьте їх із постраждалим бізнесом власники. Якщо існує законна потреба, подумайте про заміну білого списку на основі домену на затверджені списки відправників на рівні підключення.

Сторінка 435

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до центру адміністрування Exchange https://admin.exchange.microsoft.com
  2. Натисніть, щоб розгорнути Потік пошти, а потім виберіть Правила.
  3. Перегляньте кожне правило та переконайтеся, що одне правило не містить обох цих властивостей разом: o У розділі «Застосувати це правило», якщо: Частина домену адреси відправника належить до будь-якого з цих доменів: «<домен>» o У розділі Виконайте наступне: установіть рівень надійності спаму (SCL) на «-1».
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange онлайн:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Get-TransportRule | Where-Object { $_.setscl -eq -1 -and $_.SenderDomainIs -
ne $null }  | ft Name,SenderDomainIs,SetSCL
  3. Буде показано транспортні правила, які не пройшли аудит. Якщо результат не відображається, рекомендація проходить. Для проходження всі правила, для яких SetSCL встановлено на -1, не повинні містити жодних доменів у властивості SenderDomainIs.
ℹ️ Примітка: Встановлення рівня надійності спаму на -1 вказує на те, що повідомлення надійшло від довіреної особи
відправника, тому повідомлення обходить фільтрацію спаму. Рекомендація не виконується, якщо така є
зовнішній домен має SCL -1.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до центру адміністрування Exchange https://admin.exchange.microsoft.com
  2. Натисніть, щоб розгорнути Потік пошти, а потім виберіть Правила.
  3. Для кожного правила, яке встановлює рівень надійності спаму на -1 для певного домену, виберіть правило та натисніть «Видалити».
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange онлайн:
    Connect-ExchangeOnline.
  2. Щоб видалити конкретне невідповідне правило: Remove-TransportRule -Identity “RuleName”
ℹ️ Примітка: Якщо це правило служить законній меті, крім білого списку доменів, подумайте
змінюючи його, щоб видалити умову SenderDomainIs або дію SetSCL -1
ніж повністю його видалити.

Значення за замовчуванням: За замовчуванням не існує правил потоку пошти, які встановлюють SCL на -1 на основі домену відправника.
📋 CIS Controls & Нормативні посилання

6.2.3 Переконайтеся, що електронні листи від зовнішніх відправників ідентифіковано (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure email from external senders is identified (Automated)

Зовнішні виноски забезпечують нативний досвід ідентифікації електронних листів від відправників за межами організації. Це досягається шляхом представлення нового тегу в електронних листах під назвою «Зовнішній» ( рядок локалізовано на основі налаштувань мови клієнта) і розкриває відповідного користувача у верхній частині вікна читання повідомлень, щоб побачити та перевірити справжнього відправника адреса електронної пошти. Рекомендований стан ExternalInOutlook має значення Enabled True

💡 Обґрунтування безпеки:

Позначення електронних листів від зовнішніх відправників допомагає інформувати кінцевих користувачів про походження електронною поштою. Це може дозволити їм діяти з більшою обережністю та приймати обґрунтовані рішення коли йдеться про виявлення спаму чи фішингових електронних листів. Правила потоку пошти часто використовуються адміністраторами Exchange для виконання зовнішнього тегування електронної пошти шляхом додавання тегу на початку рядка теми. Існують обмеження щодо це викладено тут. Переважним методом у CIS Benchmark є використання рідного досвід. Примітка. Наявні електронні листи в папці “Вхідні” від зовнішніх відправників не позначаються тегами заднім числом.

⚠️ Вплив на робочий процес (Impact):

Правила потоку пошти, які використовують зовнішнє тегування, мають бути вимкнені разом із поштою сторонніх розробників інструменти фільтрації, які пропонують подібні функції, щоб уникнути дублювання тегів [External]. Зовнішні теги можуть займати додатковий простір на екрані в системах з обмеженою площею, наприклад тонкі клієнти або мобільні пристрої. Після ввімкнення цієї функції через PowerShell користувачам може знадобитися 24–48 годин, щоб побачити Тег зовнішнього відправника в електронних листах із-за меж вашої організації. Відкат функції займає стільки ж часу. Примітка. Інструменти сторонніх розробників, які надають подібні функції, також відповідатимуть вимогам вимоги, хоча Microsoft рекомендує використовувати нативний досвід для кращого сумісність.

Сторінка 438

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange онлайн:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Get-ExternalInOutlook
  3. Для кожної перевірки ідентифікації для параметра Enabled встановлено значення True, а AllowList містить лише адреси електронної пошти, яким організація дозволила обходити зовнішнє тегування.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange онлайн:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Set-ExternalInOutlook -Enabled $true

Значення за замовчуванням: Вимкнено (False)
📋 CIS Controls & Нормативні посилання
  1. https://techcommunity.microsoft.com/t5/exchange-team-blog/native-external-sender-callouts-on-email-in-outlook/ba-p/2250098
  2. https://learn.microsoft.com/en-us/powershell/module/exchange/set-
  3. externalinoutlook?view=exchange-ps

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 439 6.3 Roles

Page 440

6.3.1 Переконайтеся, що користувачам, які встановлюють надбудови Outlook, заборонено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure users installing Outlook add-ins is not allowed (Automated)

Політики призначення ролей в Exchange Online контролюють, чи можуть користувачі встановлювати та керувати надбудовами для Outlook. Цією можливістю керують три управлінські ролі: Моя Користувацькі програми дозволяють користувачам завантажувати спеціальні надбудови, а My Marketplace Apps дозволяє користувачі можуть установлювати надбудови з торгової площадки, а My ReadWriteMailbox Apps дозволяє користувачам для встановлення надбудов, які запитують дозволи на читання/запис поштової скриньки. Коли ці ролі призначено політиці призначення ролей користувача, користувачі можуть самостійно встановлювати надбудови в обох Outlook для робочого столу та Outlook в Інтернеті, надаючи цим надбудовам доступ до поштової скриньки даних. Ця рекомендація стосується політики призначення ролей за замовчуванням, яка є автоматично призначається новим поштовим скринькам, якщо не вказано спеціальну політику.

💡 Обґрунтування безпеки:

Зловмисники використовують вразливі або зловмисні надбудови, щоб читати, викрадати або змінювати поштову скриньку вміст, включаючи електронну пошту, елементи календаря та контакти. Обмеження встановлених користувачами надбудов зменшує цю поверхню для атаки та централізує затвердження надбудов адміністраторами.

⚠️ Вплив на робочий процес (Impact):

Кінцеві користувачі не зможуть самостійно інсталювати сторонні надбудови Outlook. Адміністратори можуть отримувати запити на оцінку та розгортання надбудов від імені користувачів. Організації, які покладатися на розгорнуті користувачем надбудови для бізнес-процесів, слід інвентаризувати ці надбудови і розгорніть їх централізовано за допомогою централізованого розгортання перед впровадженням цього рекомендація.

Сторінка 441

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до центру адміністрування Exchange https://admin.exchange.microsoft.com.
  2. Розгорніть Ролі та виберіть Ролі користувачів.
  3. Виберіть «Політика призначення ролей за замовчуванням».
  4. На панелі властивостей праворуч натисніть Керувати дозволами.
  5. Переконайтеся, що в розділі «Інші ролі» не встановлено прапорці «Мої спеціальні програми», «Мої програми Marketplace» і «Мої програми ReadWriteMailbox».
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Запустіть такий сценарій:
    $RoleList = @(
    "My Custom Apps", "My Marketplace Apps", "My ReadWriteMailbox Apps"
)
$DefaultPolicy = Get-RoleAssignmentPolicy |
    Where-Object { $_.IsDefault -eq $true }
$NonCompliantRoles = $DefaultPolicy.AssignedRoles |
    Where-Object { $_ -in $RoleList }
Write-Host "Checking Default Role Assignment Policy: $($DefaultPolicy.Name)"
if ($NonCompliantRoles) {
    "Non-compliant - the following roles are assigned: " +
        ($NonCompliantRoles -join ", ")
} else {
    "Compliant - no add-in roles are assigned to the default policy."
}
  3. Переконайтеся, що результат вказує на відповідність. Якщо в списку є Мої спеціальні програми, Мої програми Marketplace або Мої програми ReadWriteMailbox, політика за умовчанням не відповідає вимогам.
ℹ️ Примітка: Починаючи з цього випуску тесту, посилання на керування дозволами більше не використовується
відображає будь-що, коли користувач, якому призначено роль глобального читача, клацає на ньому. Як ан
альтернативно, користувачі, яким призначено роль глобального каталогу читачів, можуть перевіряти ролі
або скористайтеся методом PowerShell для виконання аудиту.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до центру адміністрування Exchange https://admin.exchange.microsoft.com.
  2. Натисніть, щоб розгорнути Ролі, і виберіть Ролі користувачів.
  3. Виберіть «Політика призначення ролей за замовчуванням».
  4. На панелі властивостей праворуч натисніть Керувати дозволами.
  5. У розділі «Інші ролі» зніміть прапорці з усіх невідповідних ролей: «Мої спеціальні програми», «Мої програми Marketplace» і «Мої програми ReadWriteMailbox».
  6. Натисніть Зберегти зміни.
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Запустіть такий сценарій:
    $TargetRoles = @(
    "My Custom Apps", "My Marketplace Apps", "My ReadWriteMailbox Apps"
)
$DefaultPolicy = Get-RoleAssignmentPolicy |
    Where-Object { $_.IsDefault -eq $true }
$Assignments = Get-ManagementRoleAssignment -RoleAssignee
$DefaultPolicy.Identity |
    Where-Object { $_.Role -in $TargetRoles }
foreach ($Assignment in $Assignments) {
    Remove-ManagementRoleAssignment -Identity $Assignment.Identity -
Confirm:$false
}

Значення за замовчуванням: Інтерфейс користувача – Мої спеціальні програми, Мої програми Marketplace і Мої програми ReadWriteMailbox позначено. PowerShell – Мої спеціальні програми, Мої програми Marketplace і Мої програми ReadWriteMailbox призначені.
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/add-ins-for-outlook/specify-who-can-install-and-manage-add-
  2. ins?source=recommendations
  3. https://learn.microsoft.com/en-us/exchange/permissions-exo/role-assignment-policies

Page 443

CIS Controls V8: 9.4
IG 1, 2
Restrict Unnecessary or Unauthorized Browser and Email Client Extensions Restrict, either through uninstalling or disabling, any unauthorized or unnecessary browser or email client plugins, extensions, and add-on applications.

Page 444

6.3.2 Переконайтеся, що можливість додавання особистих облікових записів електронної пошти та календарів вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure the ability to add personal email accounts and calendars is disabled (Automated)

Політики поштової скриньки Outlook в Інтернеті (OWA) включають два параметри, які керують особистими інтеграція облікового запису в Outlook. PersonalAccountsEnabled контролює, чи можуть користувачі додати особисті облікові записи електронної пошти (наприклад, Outlook.com, Gmail, Yahoo) у новому Outlook для вікна. PersonalAccountCalendarsEnabled контролює можливість підключення користувачів особисті календарі Outlook.com або Google в Outlook в Інтернеті. Ні налаштування застосовується до класичних програм Outlook для Windows, Outlook для Mac або мобільних програм Outlook. Рекомендований стан для політики поштової скриньки OWA за замовчуванням: • PersonalAccountsEnabled має значення False • Для параметра PersonalAccountCalendarsEnabled встановлено значення False

💡 Обґрунтування безпеки:

Особисті облікові записи електронної пошти не підлягають корпоративному контролю безпеки, такому як сканування зловмисного програмного забезпечення, запобігання втраті даних (DLP), безпечні посилання або журнал аудиту. Дозволяючи особисті облікові записи поряд із корпоративною поштовою скринькою дає змогу передавати дані стороннього каналу ексфільтрації (наприклад, пересилання конфіденційного вмісту в особисту папку «Вхідні») і створює вхідний шлях для зловмисного програмного забезпечення та фішингових корисних даних, які оминають потік пошти клієнта захисту.

⚠️ Вплив на робочий процес (Impact):

Цей елемент керування не застосовується до класичного Outlook для Windows, Outlook для Mac або Outlook мобільні програми. Організації, які потребують ширшого охоплення, повинні оцінити додаткові елементи керування, як-от політики керування програмами для обмеження використання особистого облікового запису тих клієнтів. Це також не блокує користувачам доступ до особистих облікових записів через інші клієнти електронної пошти або веб-браузери. Зміни в політиках поштових скриньок OWA набудуть чинності протягом 60 хвилин. Якщо користувачі раніше додані особисті облікові записи до застосування цієї політики, ці облікові записи будуть буде вимкнено, коли політику буде виявлено, і зачеплені користувачі побачать повідомлення з порадою щоб видалити особистий обліковий запис із Outlook, що може створити службу підтримки запити.

Сторінка 445 Перевірка стосується лише політики поштової скриньки OWA за замовчуванням. Користувачі, призначені не стандартна політика поштової скриньки OWA не поширюється; за бажанням можуть бути спеціальні політики переглядається окремо, щоб забезпечити рівень дотримання поза межами відповідності вимоги цього контролю.

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте наступне:
    Get-OwaMailboxPolicy | Where-Object { $_.IsDefault } |
Format-List PersonalAccountsEnabled, PersonalAccountCalendarsEnabled
  3. Переконайтеся, що результат відповідає наступному:
    Очікувані параметри в консолі:
    PersonalAccountsEnabled          : False
PersonalAccountCalendarsEnabled  : False
ℹ️ Примітка: Політика поштової скриньки OWA за умовчанням є єдиною політикою, необхідною для відповідності
цей контроль. Інші політики щодо поштових скриньок залишаються на розсуд організації
аудит за потреби.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте наступне:
    $DefaultPolicy = Get-OwaMailboxPolicy | Where-Object { $_.IsDefault }
Set-OwaMailboxPolicy -Identity $DefaultPolicy.Identity -
PersonalAccountsEnabled $false -PersonalAccountCalendarsEnabled $false

Значення за замовчуванням: • PersonalAccountsEnabled має значення True. • PersonalAccountCalendarsEnabled має значення True.
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/powershell/module/exchangepowershell/set-
  2. owamailboxpolicy?view=exchange-ps#-personalaccountsenabled
  3. https://learn.microsoft.com/en-us/microsoft-365-apps/outlook/get-
  4. started/supported-account-types#prevent-adding-personal-accounts
  5. https://learn.microsoft.com/en-us/microsoft-365-apps/outlook/manage/policy-management

CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

Page 447 6.4 Reports This section is intentionally blank and exists to ensure the structure of the benchmark is consistent.

Page 448 6.5 Settings

Page 449

6.5.1 Переконайтеся, що сучасну автентифікацію для Exchange Online увімкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure modern authentication for Exchange Online is enabled (Automated)

Сучасна автентифікація в Microsoft 365 підтримує такі функції автентифікації, як багатофакторна автентифікація (MFA) за допомогою смарт-карт, автентифікація на основі сертифіката (CBA) та сторонні постачальники посвідчень SAML. Коли ви вмикаєте сучасну автентифікацію в Exchange Online, Outlook 2016 і Outlook 2013 використовують сучасну автентифікацію для входу до поштових скриньок Microsoft 365. Коли ви вимикаєте сучасну автентифікацію в Exchange Онлайн, Outlook 2016 і Outlook 2013 використовують базову автентифікацію для входу в Microsoft 365 поштових скриньок. Коли користувачі спочатку налаштовують певні поштові клієнти, наприклад Outlook 2013 і Outlook 2016, їм може знадобитися автентифікація за допомогою розширених механізмів автентифікації, наприклад як багатофакторна автентифікація. Інші клієнти Outlook, доступні в Microsoft 365 (наприклад, Outlook Mobile і Outlook для Mac 2016) завжди використовуйте modern автентифікація для входу в поштові скриньки Microsoft 365.

💡 Обґрунтування безпеки:

Можуть бути суворі засоби контролю автентифікації, наприклад використання багатофакторної автентифікації обходиться, якщо базова автентифікація використовується клієнтами електронної пошти Exchange Online, такими як Outlook 2016 і Outlook 2013. Увімкнення сучасної автентифікації для Exchange Online забезпечує використання надійних механізмів автентифікації під час встановлення сеансів між поштовими клієнтами та Exchange Online.

⚠️ Вплив на робочий процес (Impact):

Користувачі старіших поштових клієнтів, таких як Outlook 2013 і Outlook 2016, більше не будуть можливість автентифікації в Exchange за допомогою базової автентифікації, що вимагатиме перехід на сучасні методи автентифікації.

Сторінка 450

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
  2. Розгорніть Налаштування та виберіть Налаштування організації.
  3. Виберіть Сучасна автентифікація.
  4. Переконайтеся, що встановлено прапорець Увімкнути сучасну автентифікацію для Outlook 2013 для Windows і новіших версій (рекомендовано).
💻 PowerShell консоль (CLI)
  1. Запустіть модуль Microsoft Exchange Online PowerShell.
    Run the Microsoft Exchange Online PowerShell Module.
  2. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  3. Виконайте таку команду PowerShell:
    Get-OrganizationConfig | Format-Table -Auto Name, OAuth*
  4. Переконайтеся, що OAuth2ClientProfileEnabled має значення True.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
  2. Розгорніть Налаштування та виберіть Налаштування організації.
  3. Виберіть Сучасна автентифікація.
  4. Поставте прапорець біля пункту Увімкнути сучасну автентифікацію для Outlook 2013 для Windows і новіших версій (рекомендовано), щоб увімкнути сучасну автентифікацію.
💻 PowerShell консоль (CLI)
  1. Запустіть модуль Microsoft Exchange Online PowerShell.
    Run the Microsoft Exchange Online PowerShell Module.
  2. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  3. Виконайте таку команду PowerShell:
    Set-OrganizationConfig -OAuth2ClientProfileEnabled $True

Значення за замовчуванням: правда
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/enable-or-disable-modern-authentication-in-exchange-online

Page 451

CIS Controls V8: 6.7
IG 1, 2
Centralize Access Control Centralize access control for all enterprise assets through a directory service or SSO provider, where supported.

CIS Controls V7: 16.5
IG 1, 2
Encrypt Transmittal of Username and Authentication Credentials Ensure that all account usernames and authentication credentials are transmitted across networks using encrypted channels.

Page 452

6.5.2 Переконайтеся, що MailTips увімкнено для кінцевих користувачів (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure MailTips are enabled for end users (Automated)

Підказки – це інформативні повідомлення, які відображаються користувачам під час створення повідомлення. Поки нове повідомлення відкрито та створюється, Exchange аналізує його повідомлення (включно з одержувачами). У разі виявлення потенційної проблеми користувач отримує сповіщення з підказкою перед надсиланням повідомлення. Використовуючи інформацію в MailTip, користувач може налаштувати повідомлення, щоб уникнути небажаних ситуацій або звітів про недоставку (також відомі як NDR або повідомлення про відмову).

💡 Обґрунтування безпеки:

Налаштування MailTips надає візуальну допомогу користувачам, коли вони надсилають електронні листи великим групам одержувачів або надсилати електронні листи одержувачам за межами орендаря.

⚠️ Вплив на робочий процес (Impact):

Не застосовується.

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Get-OrganizationConfig | fl MailTips*
  3. Переконайтеся, що для параметрів MailTipsAllTipsEnabled, MailTipsExternalRecipientsTipsEnabled і MailTipsGroupMetricsEnabled встановлено значення True, а для MailTipsLargeAudienceThreshold встановлено прийнятне значення; 25 — значення за замовчуванням.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    $TipsParams = @{
    MailTipsAllTipsEnabled                 = $true
    MailTipsExternalRecipientsTipsEnabled  = $true
    MailTipsGroupMetricsEnabled            = $true
    MailTipsLargeAudienceThreshold         = '25'
}
Set-OrganizationConfig @TipsParams

Значення за замовчуванням: MailTipsAllTipsEnabled: True MailTipsExternalRecipientsTipsEnabled: False MailTipsGroupMetricsEnabled: True MailTipsLargeAudienceThreshold: 25
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/mailtips/mailtips
  2. https://learn.microsoft.com/en-us/powershell/module/exchange/set-
  3. organizationconfig?view=exchange-ps

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 454

6.5.3 Переконайтеся, що додаткові постачальники сховища обмежені в Outlook в Інтернеті (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure additional storage providers are restricted in Outlook on the web (Automated)

Цей параметр дозволяє користувачам відкривати певні зовнішні файли під час роботи в Outlook на Інтернет. Якщо дозволено, майте на увазі, що Microsoft не контролює умови використання чи конфіденційність політики цих сторонніх служб. Переконайтеся, що AdditionalStorageProvidersAvailable обмежено для OWA за замовчуванням політики.

💡 Обґрунтування безпеки:

За замовчуванням додаткові постачальники сховища дозволені в Office в Інтернеті (наприклад, Box, Dropbox, Facebook, Google Drive, OneDrive Personal тощо). Це може призвести до витік інформації та додатковий ризик зараження від ненадійних організацій постачальники сховищ. Обмеження цього за своєю суттю зменшить ризик, оскільки він звузиться можливості зараження та витоку даних.

⚠️ Вплив на робочий процес (Impact):

Вплив, пов’язаний із цією зміною, значною мірою залежить від поточної практики в орендар. Якщо користувачі не користуються іншими постачальниками сховищ, то ймовірний вплив буде мінімальним. Однак, якщо користувачі регулярно використовують постачальників за межами орендаря, це вплине на їх здатність продовжувати це робити.

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell, щоб перевірити політику OWA за замовчуванням:
    Get-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default |
fl AdditionalStorageProvidersAvailable
  3. Переконайтеся, що AdditionalStorageProvidersAvailable має значення False.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Set-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default -
AdditionalStorageProvidersAvailable $false

Значення за замовчуванням: AdditionalStorageProvidersAvailable: True
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/powershell/module/exchange/set-
  2. owamailboxpolicy?view=exchange-ps
  3. https://support.microsoft.com/en-us/topic/3rd-party-cloud-storage-services-supported-by-office-apps-fce12782-eccc-4cf5-8f4b-d1ebec513f72

CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 13.4
IG 1, 2
Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.

Page 456

6.5.4 Переконайтеся, що SMTP AUTH вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure SMTP AUTH is disabled (Automated)

Це налаштування вмикає або вимикає автентифіковане клієнтське надсилання SMTP (SMTP AUTH) на рівні організації в Exchange Online. Рекомендований стан – Вимкнути протокол AUTH SMTP для вашого організація (перевірено).

💡 Обґрунтування безпеки:

SMTP AUTH є застарілим протоколом. Вимкнення на рівні організації підтримує принцип найменшої функціональності та служить для додаткового забезпечення додаткових елементів керування, які блокують застарілих протоколів, наприклад, умовного доступу. Практично всі сучасні поштові клієнти підключатися до поштових скриньок Exchange Online у Microsoft 365 можна без використання SMTP АВТОР.

⚠️ Вплив на робочий процес (Impact):

Це забезпечує поведінку за замовчуванням, тому не очікується жодного впливу, якщо тільки організація використовувати його в усьому світі. Існує налаштування для кожної поштової скриньки, яке перекриває налаштування для всього клієнта, надання можливості індивідуальної поштової скриньки SMTP AUTH для особливих випадків.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

  1. Перейдіть до центру адміністрування Exchange https://admin.exchange.microsoft.com.
  2. Розгорніть Налаштування та виберіть Потік пошти.
  3. Переконайтеся, що для вашої організації встановлено прапорець Вимкнути протокол AUTH SMTP.
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Get-TransportConfig | Format-List SmtpClientAuthenticationDisabled
  3. Перевірте, чи повернуте значення True.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

  1. Перейдіть до центру адміністрування Exchange https://admin.exchange.microsoft.com.
  2. Розгорніть Налаштування та виберіть Потік пошти.
  3. Поставте прапорець Вимкнути протокол SMTP AUTH для вашої організації, щоб вимкнути протокол.
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Set-TransportConfig -SmtpClientAuthenticationDisabled $true

Значення за замовчуванням: SmtpClientAuthenticationDisabled : True
📋 CIS Controls & Нормативні посилання
  1. https://learn.microsoft.com/en-us/exchange/clients-and-mobile-in-exchange-online/authenticated-client-smtp-submission

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

Page 458

6.5.5 Переконайтеся, що подання прямого надсилання відхилено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure Direct Send submissions are rejected (Automated)

Пряме надсилання – це метод, який використовується для надсилання електронних листів безпосередньо клієнтам Exchange Online розміщені поштові скриньки з локальних пристроїв, програм або хмарних служб сторонніх розробників використання власного прийнятного домену клієнта. Цей метод не вимагає жодної форми автентифікації, оскільки за своєю природою вона імітує вхідні анонімні електронні листи від Інтернет, окрім домену відправника. Рекомендований стан — налаштувати RejectDirectSend на True.

💡 Обґрунтування безпеки:

Пряме надсилання дозволяє пристроям і програмам безпосередньо передавати неавтентифіковані електронні листи до Exchange Online. Хоча цей метод може підтримувати застарілі системи, такі як принтери або сканерів, це створює значні ризики для безпеки: • Неавтентифікована доставка електронної пошти: пряме надсилання не вимагає автентифікації, що робить його привабливим вектором для розповсюдження підроблених або шкідливих загроз електронні листи, які начебто походять із надійних внутрішніх джерел. • Ризики фішингу та спуфінгу: оскільки ці електронні листи обходять стандарт механізми автентифікації, вони можуть легко видати себе за внутрішніх користувачів або послуг, що підвищує ймовірність успішних фішингових атак. • Відсутність видимості та контролю: електронні листи, надіслані за допомогою прямого надсилання, можуть не підпадати під дію ті самі політики безпеки, журналювання або фільтрація, що й автентифікований трафік, зменшення здатність організації відстежувати загрози та ефективно реагувати на них. Дослідження загроз від Varonis показало, що зловмисники активно використовують Direct Надсилайте, щоб імітувати внутрішні облікові записи та поширювати шкідливий вміст без потреби скомпрометувати будь-які облікові дані. Ці кампанії успішно націлені організацій, використовуючи для створення передбачувану інфраструктуру та публічні дані користувачів переконливі фішингові листи. Оскільки ці повідомлення надходять ззовні орендаря але здаються внутрішніми, вони часто ухиляються від механізмів виявлення та фільтрації.

Сторінка 459

⚠️ Вплив на робочий процес (Impact):

На думку Microsoft, ця функція може вплинути на сценарій пересилання. Це так Можливо, хтось у вашій організації надсилає повідомлення третій стороні, і вони входять перешліть його до іншої поштової скриньки у вашій організації. Якщо постачальник електронної пошти третьої сторони не підтримує схему перезапису відправника (SRS), повідомлення повернеться з оригінальну адресу відправника. До ввімкнення цієї функції ці повідомлення будуть вже покарані несправністю SPF, але все одно можуть опинитися у вхідних. Увімкнення Відхилення Функція прямого надсилання без налаштування з’єднувача потоку пошти партнера призведе до цього повідомлень, які відхиляються повністю.

🔍 Аудит (перевірка налаштувань)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Get-OrganizationConfig | fl RejectDirectSend
  3. Переконайтеся, що значення, повернуте для RejectDirectSend, має значення True.

⚙️ Виправлення (Remediation / Налаштування)
💻 PowerShell консоль (CLI)
  1. Підключіться до Exchange Online:
    Connect-ExchangeOnline.
  2. Виконайте таку команду PowerShell:
    Set-OrganizationConfig -RejectDirectSend $true

Значення за замовчуванням: RejectDirectSend: False
📋 CIS Controls & Нормативні посилання
  1. https://techcommunity.microsoft.com/blog/exchange/introducing-more-control-
  2. over-direct-send-in-exchange-online/4408790?WT.mc_id=M365-MVP-9501
  3. https://techcommunity.microsoft.com/blog/exchange/direct-send-vs-sending-directly-to-an-exchange-online-tenant/4439865
  4. https://learn.microsoft.com/en-us/powershell/module/exchangepowershell/set-
  5. organizationconfig?view=exchange-ps
  6. https://www.varonis.com/blog/direct-send-exploit
  7. https://techcommunity.microsoft.com/discussions/microsoft-365/disable-direct-send-in-exchange-online-to-mitigate-ongoing-phishing-threats/4434649

Page 460

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V8: 12.6
IG 1, 2
Use of Secure Network Management and Communication Protocols Use secure network management and communication protocols (e.g., 802.1X, Wi-Fi Protected Access 2 (WPA2) Enterprise or greater).

Page 461 7 SharePoint admin center The SharePoint admin center contains settings related to SharePoint and OneDrive. UI Direct link

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Microsoft 365 Foundations Benchmark →