← До повного змісту CIS Microsoft 365 Foundations Benchmark

CIS Benchmark

CIS Benchmark • Microsoft 365 v7.0.0

7. Безпека та спільний доступ у SharePoint Online

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Безпека та спільний доступ у SharePoint Online».

Рекомендацій: 12

Microsoft 365 v7.0.0

7.2.1 Переконайтеся, що для програм SharePoint потрібна сучасна автентифікація (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure modern authentication for SharePoint applications is  required (Automated)
        

Сучасна автентифікація в Microsoft 365 підтримує такі функції автентифікації, як багатофакторна автентифікація (MFA) за допомогою смарт-карт, автентифікація на основі сертифіката (CBA) та сторонні постачальники посвідчень SAML.

💡 Обґрунтування безпеки:

Можуть бути суворі засоби контролю автентифікації, наприклад використання багатофакторної автентифікації обійти, якщо базова автентифікація використовується програмами SharePoint. Вимагаючи сучасна автентифікація для програм SharePoint забезпечує надійну автентифікацію механізми використовуються під час встановлення сеансів між цими програмами, SharePoint і підключення користувачів.

⚠️ Вплив на робочий процес (Impact):

Реалізація сучасної автентифікації для SharePoint вимагатиме від користувачів автентифікуватися в SharePoint за допомогою сучасної автентифікації. Це може спричинити неповнолітнього вплив на типову поведінку користувача. Це також може перешкодити програмам сторонніх розробників отримати доступ до ресурсів SharePoint Online. Крім того, це також блокуватиме програми, які використовують для доступу клас SharePointOnlineCredentials Ресурси SharePoint Online.

Сторінка 464

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint.
Розгорніть Політики та виберіть Контроль доступу.
Виберіть Програми, які не використовують сучасну автентифікацію, і переконайтеся, що для нього встановлено значення Блокувати доступ.

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:

Connect-SPOService -Url https://tenant-admin.sharepoint.com replacing tenant with your value.

Виконайте таку команду SharePoint Online PowerShell:
```
Get-SPOTenant | ft LegacyAuthProtocolsEnabled
```
Переконайтеся, що повернуте значення False.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint.
Розгорніть Політики та виберіть Контроль доступу.
Виберіть Програми, які не використовують сучасну автентифікацію.
Виберіть перемикач Блокувати доступ.
Натисніть Зберегти.

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:

Connect-SPOService -Url https://tenant-admin.sharepoint.com replacing tenant with your value.

Виконайте таку команду SharePoint Online PowerShell:
```
Set-SPOTenant -LegacyAuthProtocolsEnabled $false
```

Значення за замовчуванням: Правда (дозволено програми, які не використовують сучасну автентифікацію)

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/powershell/module/sharepoint-online/set-
spotenant?view=sharepoint-ps

CIS Controls V8: 6.7
IG 1, 2

Centralize Access Control Centralize access control for all enterprise assets through a directory service or SSO provider, where supported.

Page 466

7.2.2 Переконайтеся, що інтеграцію SharePoint і OneDrive з Azure AD B2B увімкнено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure SharePoint and OneDrive integration with Azure AD  B2B is enabled (Automated)
        

Entra ID B2B забезпечує автентифікацію та керування гостями. Аутентифікація відбувається за допомогою одноразового пароля, якщо вони ще не мають робочого чи навчального облікового запису або обліковий запис Microsoft. Інтеграція з SharePoint і OneDrive дозволяє більше детальний контроль того, як облікові записи гостьових користувачів керуються в AAD організації, уніфікація подібного гостьового досвіду, який уже розгорнуто в інших службах Microsoft 365 наприклад Teams. Примітка. Зараз роль Global Reader не може отримати доступ до SharePoint за допомогою PowerShell.

💡 Обґрунтування безпеки:

Зовнішні користувачі, яким призначено гостьові облікові записи, підпадають під політику доступу до Entra ID, наприклад як багатофакторна автентифікація. Це надає можливість керувати ідентифікаторами гостей і контролювати доступ до ресурсів SharePoint і OneDrive. Без цієї інтеграції файли можуть ділитися без реєстрації облікового запису, що ускладнює перевірку та керування хто має доступ до даних організації.

⚠️ Вплив на робочий процес (Impact):

Після ввімкнення інтеграції Microsoft Entra B2B зовнішні користувачі намагаються отримати доступ попередні посилання (одноразовий пароль) виникнуть проблеми з доступом. Вони отримати помилку «Ця організація оновила налаштування гостьового доступу». Для відновлення доступу, вашим користувачам потрібно повторно ділитися файлами/папками/сайтами із зовнішніми користувачами.

🔍 Аудит (перевірка налаштувань)

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService
```

Виконайте таку команду:

Get-SPOTenant | ft EnableAzureADB2BIntegration

Перевірте, чи повернуте значення True.

⚙️ Виправлення (Remediation / Налаштування)

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService
```

Виконайте таку команду:

Set-SPOTenant -EnableAzureADB2BIntegration $true

Значення за замовчуванням: Неправда

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/sharepoint-azureb2b-
integration#enabling-the-integration
https://learn.microsoft.com/en-us/entra/external-id/what-is-b2b
https://learn.microsoft.com/en-us/powershell/module/sharepoint-online/set-
spotenant?view=sharepoint-ps

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

Page 468

7.2.3 Переконайтеся, що зовнішній доступ до вмісту обмежено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure external content sharing is restricted (Automated)
        

Параметри зовнішнього спільного доступу керують спільним доступом для організації в цілому. Кожен сайт має власне налаштування спільного доступу, яке можна встановити незалежно, хоча воно має бути одночасно або більш обмежувальне налаштування, як організація. Для опції нових і наявних гостей потрібні люди, які отримали запрошення увійти за допомогою свого робочого або навчального облікового запису (якщо їх організація використовує Microsoft 365) або a обліковий запис Microsoft або надати код для підтвердження своєї особи. Користувачі можуть ділитися з гостей, які вже є в каталозі вашої організації, і вони можуть надсилати запрошення людям які будуть додані до каталогу, якщо вони ввійдуть. Рекомендований стан: «Нові та наявні гості» або менш дозволений.

💡 Обґрунтування безпеки:

Примусова гостьова автентифікація орендаря організації дозволяє реалізувати контроль і нагляд за зовнішнім обміном файлами. Коли гість зареєстрований у організації, вони тепер мають ідентичність, яку можна пояснити. Ця ідентичність може також мають інші обмеження, застосовані до нього через членство в групі та умовне правила доступу.

⚠️ Вплив на робочий процес (Impact):

Якщо використовується інтеграція B2B, параметри зовнішньої співпраці Entra ID, як-от гостьовий застосовуються налаштування запрошень і обмеження щодо співпраці.

Сторінка 469

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Знайдіть розділ «Зовнішній доступ».
У розділі SharePoint переконайтеся, що для повзунка встановлено значення «Нові та наявні гості» або менш дозволений рівень.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Запустіть такий командлет:
```
Get-SPOTenant | fl SharingCapability
```
Переконайтеся, що для параметра SharingCapability встановлено одне з таких значень: o ExternalUserSharingOnly o ExistingExternalUserSharingOnly o Disabled

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Знайдіть розділ «Зовнішній доступ».
У розділі SharePoint перемістіть повзунок до «Нові та наявні гості» або до менш дозволеного рівня. o OneDrive також буде перенесено на той самий рівень і ніколи не буде більш дозволеним, ніж SharePoint.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Запустіть такий командлет, щоб встановити мінімальний рекомендований стан:
```
Set-SPOTenant -SharingCapability ExternalUserSharingOnly
```

ℹ️ Примітка: Інші прийнятні значення цього параметра, які є більш обмежувальними, включають:
Вимкнено та ExistingExternalUserSharingOnly.

Значення за замовчуванням: Усі (ExternalUserAndGuestSharing)

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-off
https://learn.microsoft.com/en-us/powershell/module/sharepoint-online/set-
spotenant?view=sharepoint-ps

CIS Controls V8: 3.3
IG 1, 2, 3

Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

Page 471

7.2.4 Переконайтеся, що спільний доступ до вмісту OneDrive обмежено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure OneDrive content sharing is restricted (Automated)
        

Цей параметр керує глобальною дозволеністю спільного використання вмісту OneDrive у організації. Обмін вмістом OneDrive можна обмежити незалежно від SharePoint, але ніколи більш дозволеним, ніж рівень, встановлений у SharePoint. Рекомендований стан – Лише люди у вашій організації.

💡 Обґрунтування безпеки:

OneDrive, розроблений для хмарного сховища кінцевих користувачів, за своєю суттю забезпечує менше нагляду та контроль порівняно з SharePoint, який часто залучає додаткових контролерів вмісту або адміністратори сайту. Ця автономія може призвести до потенційних ризиків, таких як ненавмисне обмін привілейованою інформацією кінцевими користувачами. Обмеження зовнішнього доступу до OneDrive вимагатиме від користувачів перенесення вмісту до папок SharePoint, які мають тіснішу папку елементи керування.

⚠️ Вплив на робочий процес (Impact):

Користувачі повинні будуть вжити додаткових заходів, щоб поділитися вмістом OneDrive або використовувати інші офіційні канали.

Сторінка 472

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Знайдіть розділ «Зовнішній доступ».
У OneDrive переконайтеся, що повзунок встановлено на Лише люди у вашій організації.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Запустіть такий командлет:
```
Get-SPOTenant | fl OneDriveSharingCapability
```
Переконайтеся, що повернуте значення вимкнено. Альтернативний метод аудиту за допомогою PowerShell:
Підключіться до SharePoint Online.:
```
Connect to SharePoint Online.
```
Скористайтеся одним із таких методів: # Замініть [tenant] на свій ідентифікатор клієнта Get-SPOSite -Identity https://[tenant]-my.sharepoint.com/ | fl Url,SharingCapability # Або запустіть це, щоб відфільтрувати певний сайт без надання імені клієнта. $OneDriveSite = Get-SPOSite -Filter { Url -like “*-my.sharepoint.com/” } Get-SPOSite -Identity $OneDriveSite | fl Url,SharingCapability
Переконайтеся, що повернуте значення для SharingCapability вимкнено

ℹ️ Примітка: Станом на березень 2024 року використання Get-SPOSite з Where-Object або фільтрування за
весь сайт, а потім повернення параметра SharingCapability може призвести до a
інше значення на відміну від запуску командлета спеціально для OneDrive
певний сайт за допомогою перемикача -Identity, як показано в прикладі.
Примітка 2. Параметр OneDriveSharingCapability може бути ще не повністю доступним у
всі орендарі. Це продемонстровано в офіційній документації Microsoft, за посиланням у
розділ посилань, але не в самому командлеті Set-SPOTenant. Якщо параметр є
недоступний, тоді скористайтеся методом інтерфейсу користувача або альтернативним методом аудиту PowerShell.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Знайдіть розділ «Зовнішній доступ».
У OneDrive встановіть повзунок на Лише люди у вашій організації.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```

Запустіть такий командлет:

Set-SPOTenant -OneDriveSharingCapability Disabled
Alternative remediation method using PowerShell:

Підключіться до SharePoint Online.:
```
Connect to SharePoint Online.
```

Виконайте одну з наступних дій:

# Replace [tenant] with your tenant id
Set-SPOSite -Identity https://[tenant]-my.sharepoint.com/ -SharingCapability
Disabled
# Or run this to filter to the specific site without supplying the tenant
name.
$OneDriveSite = Get-SPOSite -Filter { Url -like "*-my.sharepoint.com/" }
Set-SPOSite -Identity $OneDriveSite -SharingCapability Disabled

Значення за замовчуванням: Усі (ExternalUserAndGuestSharing)

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/powershell/module/sharepoint-online/set-
spotenant?view=sharepoint-ps#-onedrivesharingcapability

CIS Controls V8: 3.3
IG 1, 2, 3

Page 474

7.2.5 Переконайтеся, що гостьові користувачі SharePoint не можуть ділитися елементами, якими вони не володіють (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure that SharePoint guest users cannot share items they  don’t own (Automated)
        

SharePoint надає користувачам можливість спільно використовувати файли, папки та колекції сайтів. внутрішній користувачі можуть ділитися із зовнішніми співавторами, і з відповідними дозволами можуть ділитися іншим зовнішнім сторонам.

💡 Обґрунтування безпеки:

Обмін і співпраця є ключовими; однак власники файлів, папок або колекцій сайтів повинні мати повноваження щодо того, з ким зовнішні користувачі отримують доступ, щоб запобігти неавторизованим розкриття інформації.

⚠️ Вплив на робочий процес (Impact):

Вплив, пов’язаний із цією зміною, сильно залежить від поточної практики. Якщо користувачі не регулярно діляться із зовнішніми сторонами, тоді ймовірний мінімальний вплив. Однак, якщо користувачі регулярно діляться з гостями/за межами, вплив може бути мінімальним відбуваються, оскільки ці зовнішні користувачі не зможуть повторно поділитися вмістом.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Розгорніть Інші параметри зовнішнього спільного доступу, переконайтеся, що прапорець Дозволити гостям ділитися елементами, якими вони не володіють, знято.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Виконайте таку команду SharePoint Online PowerShell:
```
Get-SPOTenant | ft PreventExternalUsersFromResharing
```
Перевірте, чи повернуте значення True.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Розгорніть Інші параметри зовнішнього доступу, зніміть прапорець Дозволити гостям ділитися об’єктами, якими вони не володіють.
Натисніть Зберегти.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Виконайте таку команду SharePoint Online PowerShell:
```
Set-SPOTenant -PreventExternalUsersFromResharing $True
```

Значення за замовчуванням: Перевірено (False)

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 14.6
IG 1, 2, 3

Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

Page 476

7.2.6 Переконайтеся, що зовнішній доступ SharePoint обмежено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure SharePoint external sharing is restricted (Automated)
        

Функції зовнішнього спільного доступу SharePoint і OneDrive дозволяють користувачам в організації обмінюватися вмістом з людьми за межами організації (наприклад, партнерами, постачальниками, клієнтами, або клієнтів). Його також можна використовувати для спільного використання між ліцензованими користувачами на кількох Передплати Microsoft 365, якщо ваша організація має більше ніж одну підписку. Рекомендований стан: Обмежити зовнішній доступ доменом > Лише дозволити конкретні домени

💡 Обґрунтування безпеки:

Зловмисники часто намагаються надати конфіденційну інформацію зовнішнім особам через обміну та обмеження доменів, з якими користувачі можуть ділитися документами, зменшиться цю площу поверхні.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть ініціювати новий спільний доступ до сторін, чиї домени не входять до затверджений білий список, який може потребувати адміністративних дій перед співпрацею з можуть початися нові партнери або постачальники. Адміністратори повинні підтримувати білий список в актуальному стані відображати активні ділові відносини; застарілий список може блокувати законний обмін і створювати запити на підтримку. Зауважте, що наявні спільні доступи до доменів, яких немає в білому списку, є не скасовується, коли цей параметр налаштовано.

Сторінка 477

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Знайдіть розділ «Зовнішній доступ».
Якщо для повзунка SharePoint встановлено значення Лише люди у вашій організації, ця рекомендація відповідає вимогам.
В іншому випадку розгорніть Інші параметри зовнішнього доступу та переконайтеся, що встановлено прапорець Обмежити зовнішній доступ доменом.
Переконайтеся, що вибрано параметр «Дозволити лише певні домени» та що перелічені домени схвалено організацією.

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService.
```

Виконайте таку команду PowerShell:

Get-SPOTenant | fl
SharingCapability,SharingDomainRestrictionMode,SharingAllowedDomainList

Перевірте, чи виконується одна з таких умов: o SharingCapability вимкнено, АБО o SharingDomainRestrictionMode має значення AllowList, а SharingAllowedDomainList містить домени, яким організація довіряє для зовнішнього спільного доступу.

ℹ️ Примітка: Якщо для повзунка зовнішнього спільного доступу SharePoint установлено значення Лише люди у вашому
організація, ця рекомендація є сумісною незалежно від налаштованого значення для
Обмеження зовнішнього доступу до домену.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint.
Розгорніть Політики > Спільний доступ.
Розгорніть Інші параметри зовнішнього доступу та поставте прапорець Обмежити зовнішній доступ доменом.
Виберіть Додати домени, виберіть Дозволити лише певні домени, уведіть список затверджених доменних імен і виберіть Готово.
Натисніть Зберегти внизу сторінки.

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService.
```

Виконайте таку команду PowerShell:

Set-SPOTenant -SharingDomainRestrictionMode AllowList -
SharingAllowedDomainList "domain1.com domain2.com"

Значення за замовчуванням: Обмеження зовнішнього спільного доступу за доменом знято SharingDomainRestrictionMode: None SharingAllowedDomainList: (порожній)

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-
off?WT.mc_id=365AdminCSH_spo#more-external-sharing-settings

Page 479

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V7: 13.4
IG 1, 2

Only Allow Access to Authorized Cloud Storage or Email Providers Only allow access to authorized cloud storage or email providers.

CIS Controls V7: 14.6
IG 1, 2, 3

Page 480

7.2.7 Переконайтеся, що спільний доступ за посиланням обмежено в SharePoint і OneDrive (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure link sharing is restricted in SharePoint and OneDrive (Automated)
        

Цей параметр встановлює тип посилання за замовчуванням, який користувач бачитиме під час обміну вмістом OneDrive або SharePoint. Це не обмежує та не виключає жодних інших варіантів. Рекомендований стан – «Конкретні люди» (лише люди, які користувач вказує) або Лише люди у вашій організації.

💡 Обґрунтування безпеки:

Встановлюючи за замовчуванням певних людей, користувач спочатку повинен розглянути, чи є вміст, яким спільно користуються, має бути доступним для всієї організації, а не для окремих особи. Це допомагає зміцнити концепцію найменших привілеїв.

⚠️ Вплив на робочий процес (Impact):

Зміна типового типу посилання для спільного доступу впливає на взаємодію користувача під час обміну файлами і папки в SharePoint і OneDrive. Налаштована опція за замовчуванням з’явиться перед вибрано в діалоговому вікні спільного доступу, спрямовуючи користувачів до бажаного спільного доступу в організації метод.

Сторінка 481

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Перейдіть до розділу Посилання на файли та папки.
Переконайтеся, що для параметра Виберіть тип посилання, який вибрано за замовчуванням, коли користувачі надають спільний доступ до файлів і папок у SharePoint і OneDrive, встановлено значення «Певні люди» (лише ті люди, яких вказує користувач) або «Лише люди у вашій організації».

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService.
```
Виконайте таку команду PowerShell:
```
Get-SPOTenant | fl DefaultSharingLinkType
```
Переконайтеся, що повернене значення є прямим або внутрішнім.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Перейдіть до розділу Посилання на файли та папки.
Виберіть тип посилання, який вибирається за замовчуванням, коли користувачі надають спільний доступ до файлів і папок у SharePoint і OneDrive, як «Певні люди» (лише ті люди, яких вказує користувач) або «Лише люди у вашій організації».

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService.
```

Виконайте одну з наведених нижче команд PowerShell залежно від бажаного

compliant state:
To set the default sharing link to specific people:
Set-SPOTenant -DefaultSharingLinkType Direct
To set the default sharing link to people in the organization:
Set-SPOTenant -DefaultSharingLinkType Internal

Значення за замовчуванням: Лише люди у вашій організації (внутрішній)

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/powershell/module/sharepoint-online/set-
spotenant?view=sharepoint-ps

CIS Controls V8: 3.3
IG 1, 2, 3

Page 483

7.2.8 Переконайтеся, що зовнішній спільний доступ обмежено групою безпеки (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure external sharing is restricted by security group (Automated)
        

Зовнішній доступ до вмісту можна обмежити певними групами безпеки. Це налаштування глобальний, застосовується до спільного використання в SharePoint і OneDrive і не може бути встановлений на сайті рівень у SharePoint.

💡 Обґрунтування безпеки:

Без обмеження зовнішнього спільного доступу до призначених груп безпеки будь-який користувач у організація може ділитися вмістом SharePoint або OneDrive із зовнішніми одержувачами. А скомпрометований обліковий запис або обліковий запис із загрозою внутрішньої інформації може викрадати конфіденційні дані шляхом обміну файлами зовні без додаткових елементів керування авторизацією. Обмеження зовнішнього доступу до члени певних груп безпеки Entra ID гарантують, що лише перевірені та авторизовані користувачі мають цю можливість, зменшуючи поверхню атаки для викрадання даних обмін.

⚠️ Вплив на робочий процес (Impact):

Користувачі, які не є членами призначених груп безпеки, втратять можливість створити нові зовнішні спільні ресурси або запросити нових зовнішніх гостей. Існуючі посилання для обміну вони раніше встановлені залишаться активними для поточних одержувачів. Організації повинні переконайтеся, що групи безпеки заповнені відповідними членами перед увімкненням це налаштування, щоб уникнути ненавмисного блокування всього зовнішнього спільного доступу. Обсяг служби підтримки може збільшується, оскільки користувачі в не призначених групах стикаються з обмеженнями спільного доступу.

Сторінка 484

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Знайдіть розділ «Зовнішній доступ».
Якщо для повзунка SharePoint встановлено значення Лише люди у вашій організації, ця рекомендація відповідає вимогам.
В іншому випадку прокрутіть і розгорніть додаткові параметри зовнішнього спільного доступу.
Перевірте наступне: o Дозволити зовнішній доступ лише користувачам у певних групах безпеки позначено o Керування групами безпеки містить принаймні одну групу безпеки.

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService.
```

Виконайте таку команду PowerShell:

Get-SPOTenant | fl SharingCapability, WhoCanShareAuthenticatedGuestAllowList

Перевірте вихідні дані за такою логікою: o Якщо SharingCapability вимкнено, рекомендація відповідає вимогам незалежно від значення WhoCanShareAuthenticatedGuestAllowList. o В іншому випадку переконайтеся, що WhoCanShareAuthenticatedGuestAllowList містить принаймні один GUID групи безпеки. Якщо значення порожнє або $null, рекомендація не відповідає вимогам.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Прокрутіть і розгорніть додаткові параметри зовнішнього доступу.
Установіть наступне: o Поставте прапорець «Дозволити лише користувачам у певних групах безпеки надавати зовнішній доступ» o Натисніть «Керувати групами безпеки», а потім додайте принаймні одну групу безпеки, авторизовану для зовнішнього спільного доступу.

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:
```
Connect-SPOService.
```

Виконайте таку команду, замінивши на GUID

security group to be authorized for external sharing:
Set-SPOTenant -WhoCanShareAuthenticatedGuestAllowList "<GroupObjectId>"

ℹ️ Примітка: Користувачам у визначених групах безпеки також має бути дозволено запрошувати гостей
Microsoft Entra. Перевірте це в Ідентифікація > Зовнішні ідентифікатори > Зовнішні
налаштування співпраці.

Значення за замовчуванням: За замовчуванням це обмеження не діє, дозволяючи будь-якому користувачеві в організації ділитися вмістом зовні, лише за умови повзунка верхнього рівня спільного доступу.

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/manage-security-groups
https://learn.microsoft.com/en-
us/powershell/module/microsoft.online.sharepoint.powershell/set-
spotenant?view=sharepoint-ps

CIS Controls V8: 3.3
IG 1, 2, 3

CIS Controls V8: 6.8
IG 1

Define and Maintain Role-Based Access Control Define and maintain role-based access control, through determining and documenting the access rights necessary for each role within the enterprise to successfully carry out its assigned duties. Perform access control reviews of enterprise assets to validate that all privileges are authorized, on a recurring schedule at a minimum annually, or more frequently.

Page 487

7.2.9 Забезпечте гостьовий доступ до сайту, інакше термін дії OneDrive закінчиться автоматично (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure guest access to a site or OneDrive will expire  automatically (Automated)
        

Цей параметр політики налаштовує час закінчення для кожного запрошеного гостя Сайт SharePoint або з ким користувачі надають спільний доступ до окремих файлів і папок. Термін дії може бути числом від 30 до 730. Рекомендований стан – 30.

💡 Обґрунтування безпеки:

Цей параметр гарантує, що гості, яким більше не потрібен доступ до сайту або посилання, більше не будуть отримати доступ після встановленого періоду часу. Надання гостьового доступу протягом невизначеного часу час може призвести до втрати конфіденційності даних і недогляду. Примітка. Гостьове членство застосовується на рівні групи Microsoft 365. Гості, які мають дозвіл на перегляд сайту SharePoint або використання посилання для спільного доступу також може мати доступ до a Команда або група безпеки Microsoft Teams.

⚠️ Вплив на робочий процес (Impact):

Адміністратори колекції сайтів повинні будуть поновити доступ для гостей, які все ще потребують доступу через 30 днів. Раз на тиждень вони отримуватимуть сповіщення електронною поштою про гостьовий доступ термін дії якого закінчується. Примітка. Політика закінчення терміну дії гостьового режиму стосується лише гостей, які використовують посилання для спільного доступу, або гостей які мають прямі дозволи на сайт SharePoint після ввімкнення гостьової політики. The гостьова політика не застосовується до гостьових користувачів, які вже мають дозволи або доступ через посилання для спільного доступу до того, як буде застосовано політику терміну дії гостьового режиму.

Сторінка 488

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Прокрутіть і розгорніть додаткові параметри зовнішнього доступу.
Переконайтеся, що гостьовий доступ до сайту або OneDrive закінчиться автоматично після того, як буде поставлено прапорець і встановлено значення 30 днів.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```

Запустіть такий командлет:

Get-SPOTenant | fl ExternalUserExpirationRequired,ExternalUserExpireInDays

Переконайтеся, що повертаються такі значення: o ExternalUserExpirationRequired має значення True. o ExternalUserExpireInDays становить 30.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Прокрутіть і розгорніть додаткові параметри зовнішнього доступу.
Налаштуйте гостьовий доступ до сайту, інакше OneDrive автоматично закінчиться через стільки днів до 30

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```

Запустіть такий командлет:

Set-SPOTenant -ExternalUserExpireInDays 30 -ExternalUserExpirationRequired
$True

Значення за замовчуванням: ExternalUserExpirationRequired $false ExternalUserExpireInDays 60 днів

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-
off#change-the-organization-level-external-sharing-setting
https://learn.microsoft.com/en-us/microsoft-365/community/sharepoint-security-a-team-effort

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

Page 490

7.2.10 Переконайтеся, що повторна автентифікація за допомогою коду підтвердження обмежена (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure reauthentication with verification code is restricted (Automated)
        

Цей параметр налаштовує, чи гості, які використовують код підтвердження для доступу до сайту або посилань потрібно повторно автентифікувати через встановлену кількість днів. Рекомендований стан — 15 або менше.

💡 Обґрунтування безпеки:

Завдяки збільшенню частоти повторної автентифікації гостей це гарантує гостю доступ користувача до даних не подовжується понад прийнятний проміжок часу.

⚠️ Вплив на робочий процес (Impact):

Гості, які використовують Microsoft 365 у своїй організації, можуть увійти за допомогою своєї роботи або шкільний обліковий запис для доступу до сайту або документа. Після одноразового пароля для перевірку було введено вперше, гості автентифікуватимуться своєю роботою або шкільний обліковий запис і створити гостьовий обліковий запис в організації, що приймає. Примітка. Якщо інтеграцію OneDrive та SharePoint із Entra ID B2B увімкнено відповідно до CIS Benchmark досвід одноразового пароля буде замінено. Відвідайте Secure зовнішній спільний доступ у SharePoint – SharePoint у Microsoft 365 | Microsoft Дізнайтеся більше інформації.

Сторінка 491

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Прокрутіть і розгорніть додаткові параметри зовнішнього доступу.
Переконайтеся, що люди, які використовують код підтвердження, повинні пройти повторну автентифікацію через 15 днів або менше.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```

Запустіть такий командлет:

Get-SPOTenant | fl EmailAttestationRequired,EmailAttestationReAuthDays

Переконайтеся, що повертаються такі значення: o EmailAttestationRequired True o EmailAttestationReAuthDays 15 або менше днів.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Прокрутіть і розгорніть додаткові параметри зовнішнього доступу.
Установіть для людей, які використовують код підтвердження, повторну автентифікацію через стільки днів до 15 або менше.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```

Запустіть такий командлет:

Set-SPOTenant -EmailAttestationRequired $true -EmailAttestationReAuthDays 15

Значення за замовчуванням: EmailAttestationRequired: False EmailAttestationReAuthDays: 30

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/what-s-new-in-sharing-in-targeted-release
https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-
off#change-the-organization-level-external-sharing-setting
https://learn.microsoft.com/en-us/entra/external-id/one-time-passcode

CIS Controls V8: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1

Explicitly Not Mapped Explicitly Not Mapped

Page 493

7.2.11 Переконайтеся, що стандартний дозвіл SharePoint на посилання для спільного доступу встановлено (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure the SharePoint default sharing link permission is  set (Automated)
        

Цей параметр налаштовує дозвіл, вибраний за замовчуванням для спільного використання посилання з a Сайт SharePoint. Рекомендований стан – Перегляд.

💡 Обґрунтування безпеки:

Встановлення дозволу перегляду за умовчанням гарантує, що користувачі повинні свідомо вибирати дозвіл на редагування під час надання доступу до посилання. Такий підхід знижує ризик ненавмисне надання привілеїв редагування ресурсу, який потребує доступу лише для читання, підтримку принципу найменших привілеїв.

⚠️ Вплив на робочий процес (Impact):

Не застосовується.

🔍 Аудит (перевірка налаштувань)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Перевірте налаштування в графічному веб-інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Перейдіть до розділу Посилання на файли та папки.
Переконайтеся, що для параметра Виберіть дозвіл, вибраний за замовчуванням для спільного використання посилань, встановлено значення Перегляд.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Запустіть такий командлет:
```
Get-SPOTenant | fl DefaultLinkPermission
```
Переконайтеся, що поверненим значенням є View.

⚙️ Виправлення (Remediation / Налаштування)

🖥️ Графічний інтерфейс (GUI / Admin Center)

Виконайте такі дії в графічному інтерфейсі:

Перейдіть до центру адміністрування SharePoint https://admin.microsoft.com/sharepoint
Розгорніть Політики > Спільний доступ.
Перейдіть до розділу Посилання на файли та папки.
Установити Виберіть дозвіл, вибраний за замовчуванням для спільного використання посилань для перегляду.

💻 PowerShell консоль (CLI)

Підключіться до служби SharePoint Online:
```
Connect-SPOService.
```
Запустіть такий командлет:
```
Set-SPOTenant -DefaultLinkPermission View
```

Значення за замовчуванням: DefaultLinkPermission: редагувати

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-off#file-and-folder-links

CIS Controls V8: 3.3
IG 1, 2, 3

Page 495 7.3 Settings

Page 496

7.3.1 Переконайтеся, що інфіковані файли Office 365 SharePoint заборонені для завантаження (Автоматизовано)

Level 1Автоматизовано

            Оригінал: Ensure Office 365 SharePoint infected files are disallowed  for download (Automated)
        

За замовчуванням SharePoint онлайн дозволяє файли, які виявив Defender для Office 365 заражені для завантаження.

💡 Обґрунтування безпеки:

Defender для Office 365 для SharePoint, OneDrive та Microsoft Teams захищає ваші організації від ненавмисного обміну шкідливими файлами. Коли виявлено заражений файл цей файл заблоковано, тому ніхто не зможе його відкрити, скопіювати, перемістити або поділитися ним до подальших дій приймаються службою безпеки організації.

⚠️ Вплив на робочий процес (Impact):

Єдиний потенційний вплив, пов’язаний із впровадженням цього параметра, – потенційний незручність, пов’язана з малим відсотком хибнопозитивних виявлень, які може виникнути.

🔍 Аудит (перевірка налаштувань)

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:

Connect-SPOService -Url https://tenant-admin.sharepoint.com, replacing "tenant" with the appropriate value.

Виконайте таку команду PowerShell:

Get-SPOTenant | Select-Object DisallowInfectedFileDownload

Переконайтеся, що для DisallowInfectedFileDownload встановлено значення True.

ℹ️ Примітка: За словами Microsoft, SharePoint не можна отримати через PowerShell
користувачів із роллю Global Reader. Для отримання додаткової інформації, будь ласка, зверніться до посилання
розділ.

⚙️ Виправлення (Remediation / Налаштування)

💻 PowerShell консоль (CLI)

Підключіться до SharePoint Online:

Connect-SPOService -Url https://tenant-admin.sharepoint.com, replacing "tenant" with the appropriate value.

Виконайте таку команду PowerShell, щоб установити рекомендоване значення:
```
Set-SPOTenant –DisallowInfectedFileDownload $true
```

ℹ️ Примітка: Роль Global Reader не може отримати доступ до SharePoint за допомогою PowerShell відповідно до
Microsoft. Для отримання додаткової інформації див. розділ довідок.

Значення за замовчуванням: Неправда

📋 CIS Controls & Нормативні посилання

https://learn.microsoft.com/en-us/defender-office-365/safe-attachments-for-spo-
odfb-teams-configure?view=o365-worldwide
https://learn.microsoft.com/en-us/defender-office-365/anti-malware-protection-
for-spo-odfb-teams-about?view=o365-worldwide
https://learn.microsoft.com/en-us/entra/identity/role-based-access-
control/permissions-reference#global-reader

CIS Controls V8: 10.1
IG 1, 2, 3

Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.

CIS Controls V7: 7.10
IG 1

Sandbox All Email Attachments Use sandboxing to analyze and block inbound email attachments with malicious behavior.

CIS Controls V7: 8.1
IG 1, 2

Utilize Centrally Managed Anti-malware Software Utilize centrally managed anti-malware software to continuously monitor and defend each of the organization’s workstations and servers.

Page 498 8 Microsoft Teams admin center The Microsoft Teams admin center contains settings related to Microsoft Teams. UI Direct link

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.

До повного змісту CIS Microsoft 365 Foundations Benchmark →