1. Центр адміністрування Microsoft 365

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/.
2. Розгорніть Ідентифікація > Користувачі та виберіть Усі користувачі.
3. Праворуч від вікна пошуку натисніть кнопку Додати фільтр.
4. Додайте фільтр із увімкненою локальною синхронізацією зі значенням «Так» і натисніть «Застосувати».
5. Переконайтеся, що у відфільтрованому списку немає облікових записів користувачів із адміністративними ролями.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All"

2. Запустіть такий сценарій PowerShell:

   $DirectoryRoles = Get-MgDirectoryRole
   # Get privileged role IDs
   $PrivilegedRoles = $DirectoryRoles | Where-Object {
       $_.DisplayName -like "*Administrator*" -or $_.DisplayName -eq "Global
   Reader"
   }
   # Get the members of these various roles
   $RoleMembers = $PrivilegedRoles | ForEach-Object { Get-MgDirectoryRoleMember
   -DirectoryRoleId $_.Id } |
       Select-Object Id -Unique
   # Retrieve details about the members in these roles
   $PrivilegedUsers = $RoleMembers | ForEach-Object {
       Get-MgUser -UserId $_.Id -Property UserPrincipalName, DisplayName, Id,
   OnPremisesSyncEnabled
   }
   $PrivilegedUsers | Where-Object { $_.OnPremisesSyncEnabled -eq $true } |
       ft DisplayName,UserPrincipalName,OnPremisesSyncEnabled

3. Сценарій виведе всіх гібридних користувачів, які також є членами привілейованих ролей. Якщо нічого не повертається, то користувачів із таким критерієм не існує.

Для виправлення потрібно спочатку визначити привілейовані облікові записи, які синхронізуються локально, а потім створити новий обліковий запис лише для хмари для цього користувача. Після встановлення облікового запису для заміни роль гібридного облікового запису слід зменшити до ролі непривілейованого користувача або видалити залежно від потреби.

Крок 1. Переконайтеся, що в організації діють політика та процедура: • Щоб облікові записи могли ефективно використовуватися в критичній ситуації, відповідні політики та процедури мають бути затверджені та поширені вищим керівництвом. • Ключі безпеки FIDO2 мають бути замкнені в безпечному окремому вогнетривкому місці. • Паролі мають містити принаймні 16 символів, які генеруються випадковим чином і МОЖУТЬ бути розділені на кілька частин, щоб з’єднати їх у разі надзвичайної ситуації. Крок 2. Переконайтеся, що визначено два облікові записи екстреного доступу:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com
2. Розгорніть Користувачі > Активні користувачі
3. Перевірте призначені облікові записи екстреного доступу та переконайтеся в наступному: o Облікові записи названі правильно та НЕ ідентифікуються з конкретною особою. o Облікові записи використовують домен .onmicrosoft.com за умовчанням, а не домен організації. o Облікові записи доступні лише в хмарі. o Облікові записи не ліцензовані. o Облікові записи не вимкнено або вхід не заблоковано. o Обліковим записам призначається роль каталогу глобального адміністратора. Крок 3. Переконайтеся, що принаймні один обліковий запис виключено з усіх правил умовного доступу:
4. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
5. Розгорніть Захист > Умовний доступ.
6. Перегляньте правила умовного доступу.
7. Переконайтеся, що один із облікових записів екстреного доступу виключено з усіх правил. Попередження: станом на 15.10.2024 MFA потрібен для всіх користувачів, включаючи облікові записи Break Glass. Рекомендується оновити ці облікові записи, щоб використовувати ключ доступу (FIDO2) або налаштувати автентифікацію на основі сертифіката для MFA. Обидва методи задовольняють вимоги МЗС.

Крок 1. Створіть два облікові записи екстреного доступу:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com
2. Розгорніть Користувачі > Активні користувачі
3. Натисніть «Додати користувача» та створіть нового користувача за такими критеріями: o Назвіть обліковий запис таким чином, щоб НЕ ідентифікувати його з конкретною особою. o Призначити обліковий запис домену .onmicrosoft.com за умовчанням, а не домену організації. o Пароль має містити щонайменше 16 символів і генеруватися випадковим чином. o Не призначати ліцензію. o Призначити користувачеві роль глобального адміністратора.
4. Повторіть описані вище дії для другого облікового запису. Крок 2. Виключіть принаймні один обліковий запис із політики умовного доступу:
5. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
6. Розгорніть Захист > Умовний доступ.
7. Перегляньте політики умовного доступу.
8. Для кожного правила додайте виключення принаймні для одного облікового запису екстреного доступу.
9. Користувачі > Виключити > Користувачі та групи та виберіть один обліковий запис екстреного доступу. Крок 3. Переконайтеся, що необхідні процедури та політики діють: • Для того, щоб облікові записи могли ефективно використовуватися в ситуації розбитого скла, відповідні політики та процедури мають бути затверджені та поширені вищим керівництвом. • Ключі безпеки FIDO2 мають бути замкнені в безпечному окремому вогнетривкому місці. • Паролі мають містити принаймні 16 символів, які генеруються випадковим чином і МОЖУТЬ бути розділені на кілька частин, щоб з’єднати їх у разі надзвичайної ситуації. Попередження: станом на 15.10.2024 MFA потрібен для всіх користувачів, включаючи облікові записи Break Glass. Рекомендується оновити ці облікові записи, щоб використовувати ключ доступу (FIDO2) або налаштувати автентифікацію на основі сертифіката для MFA. Обидва методи задовольняють вимоги МЗС. Додаткові пропозиції щодо екстреного керування обліковими записами: • Створіть огляди доступу для цих користувачів. • Виключити користувачів із правил умовного доступу. • Додайте обліковий запис до адміністративної одиниці з обмеженим керуванням. Попередження: якщо групою керується виключення CA (умовний доступ), цю групу слід додати до PIM для груп (потрібна ліцензія) або створити як групу з можливістю призначення ролей. Якщо це звичайна група безпеки, користувачі з роллю адміністратора групи можуть повністю обійти центр сертифікації.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com
2. Виберіть Ролі > Призначення ролей.
3. Виберіть зі списку роль глобального адміністратора та натисніть «Призначено».
4. Перегляньте список глобальних адміністраторів. o Якщо присутні групи, перевірте кожну групу та її членів. o Зверніть увагу на загальну кількість глобальних адміністраторів у групах і поза ними.
5. Переконайтеся, що кількість глобальних адміністраторів становить від двох до чотирьох.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes Directory.Read.All

2. Запустіть такий сценарій PowerShell:

   # Determine Id of GA role using the immutable RoleTemplateId value.
   $GlobalAdminRole = Get-MgDirectoryRole -Filter "RoleTemplateId eq '62e90394-
   69f5-4237-9190-012177145e10'"
   $RoleMembers = Get-MgDirectoryRoleMember -DirectoryRoleId $GlobalAdminRole.Id
   $GlobalAdmins = [System.Collections.Generic.List[Object]]::new()
   foreach ($object in $RoleMembers) {
       $Type = $object.AdditionalProperties.'@odata.type'
       # Check for and process role assigned groups
       if ($Type -eq '#microsoft.graph.group') {
           $GroupId = $object.Id
           $GroupMembers = (Get-MgGroupMember -GroupId
   $GroupId).AdditionalProperties
           foreach ($member in $GroupMembers) {
               if ($member.'@odata.type' -eq '#microsoft.graph.user') {
                   $GlobalAdmins.Add([PSCustomObject][Ordered]@{
                           DisplayName       = $member.displayName
                           UserPrincipalName = $member.userPrincipalName
                       })
               }
           }
       } elseif ($Type -eq '#microsoft.graph.user') {
           $DisplayName = $object.AdditionalProperties.displayName
           $UPN = $object.AdditionalProperties.userPrincipalName
           $GlobalAdmins.Add([PSCustomObject][Ordered]@{
                   DisplayName       = $DisplayName
                   UserPrincipalName = $UPN
               })
       }
   }
   $GlobalAdmins = $GlobalAdmins | select DisplayName,UserPrincipalName -Unique
   Write-Host "*** There are" $GlobalAdmins.Count "Global Administrators in the
   organization."

3. Перегляньте вихідні дані та переконайтеся, що є від 2 до 4 глобальних адміністраторів.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com
2. Виберіть Користувачі > Активні користувачі.
3. У полі пошуку введіть ім’я користувача, якого потрібно зробити глобальним адміністратором.
4. Щоб створити нового глобального адміністратора:
5. Виберіть ім’я користувача.
6. Праворуч з’явиться вікно.
7. Виберіть Керувати ролями.
8. Виберіть Доступ до центру адміністрування.
9. Перевірте глобального адміністратора.
10. Натисніть Зберегти зміни.
11. Щоб видалити глобального адміністратора:
12. У полі пошуку введіть ім’я користувача, якого потрібно видалити.
13. Виберіть ім’я користувача.
14. Праворуч з’явиться вікно.
15. У розділі Ролі виберіть Керувати ролями.
16. Зніміть прапорець Глобальний адміністратор.
17. Натисніть Зберегти зміни.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Користувачі > Активні користувачі.
3. Сортувати за стовпцем Ліцензії.
4. Для кожного облікового запису користувача з адміністративною роллю переконайтеся, що обліковому запису призначено ліцензію, яка не пов’язана з програмами, наприклад (Microsoft Entra ID P1, Microsoft Entra ID P2). o Якщо організація використовує PIM для підвищення щоденного облікового запису водія до привілейованих рівнів, цю вимогу контролю та ліцензування можна вважати виконаною.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "RoleManagement.Read.Directory","User.Read.All"

2. Запустіть такий сценарій PowerShell:

   $DirectoryRoles = Get-MgDirectoryRole
   # Get privileged role IDs
   $PrivilegedRoles = $DirectoryRoles | Where-Object {
       $_.DisplayName -like "*Administrator*" -or $_.DisplayName -eq "Global
   Reader"
   }
   # Get the members of these various roles
   $RoleMembers = $PrivilegedRoles | ForEach-Object { Get-MgDirectoryRoleMember
   -DirectoryRoleId $_.Id } |
       Select-Object Id -Unique
   # Retrieve details about the members in these roles
   $PrivilegedUsers = $RoleMembers | ForEach-Object {
       Get-MgUser -UserId $_.Id -Property UserPrincipalName, DisplayName, Id
   }
   $Report = [System.Collections.Generic.List[Object]]::new()
   foreach ($Admin in $PrivilegedUsers) {
       $License = $null
       $License = (Get-MgUserLicenseDetail -UserId $Admin.id).SkuPartNumber -
   join ", "
       $Object = [pscustomobject][ordered]@{
           DisplayName           = $Admin.DisplayName
           UserPrincipalName     = $Admin.UserPrincipalName
           License               = $License
       }
       $Report.Add($Object)
   }
   $Report

3. Вихідні дані відображатимуть користувачів, яким призначено привілейовані ролі разом із призначеними ліцензіями. Потрібна додаткова оцінка вручну, щоб визначити, чи підходить ліцензування для користувача.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Користувачі > Активні користувачі.
3. Натисніть Додати користувача.
4. Заповніть відповідні поля для імені, користувача тощо.
5. Коли буде запропоновано призначити ліцензії, виберіть за потреби Microsoft Entra ID P1 або Microsoft Entra ID P2, а потім натисніть «Далі».
6. На екрані налаштувань параметрів ви можете вибрати один із кількох типів привілейованих ролей. Виберіть Доступ до центру адміністрування, потім відповідну роль і натисніть Далі.
7. Виберіть Завершити додавання.

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Команди та групи > Активні команди та групи.
3. На сторінці «Активні команди та групи» переконайтеся, що жодна група не має статусу «Відкрита» в стовпці конфіденційності.

1. Підключіться до служби Microsoft Graph:

   Connect-MgGraph -Scopes "Group.Read.All".

2. Виконайте таку команду Microsoft Graph PowerShell:

   $Groups = Get-MgGroup -All -Filter "groupTypes/any(c:c eq 'Unified')" `
       -Property Id,DisplayName,Visibility,GroupTypes
   # Displays the groups to the console for review
   $Groups | ft Id,DisplayName,Visibility

3. Переконайтеся, що видимість є приватною для кожної групи.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Команди та групи > Активні команди та групи.
3. На сторінці «Активні команди та групи» виберіть загальнодоступну назву групи.
4. На сторінці назви спливаючих груп виберіть Налаштування.
5. У розділі «Конфіденційність» виберіть «Приватно».

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com/
2. Розгорніть «Команди та групи» та виберіть «Спільні поштові скриньки».
3. Зверніть увагу на всі спільні поштові скриньки.
4. Розгорніть Користувачі та виберіть Активні користувачі.
5. Виберіть обліковий запис спільної поштової скриньки, щоб відкрити панель властивостей, і перегляньте.
6. Переконайтеся, що під іменем написано Вхід заблоковано.
7. Повторіть для всіх додаткових спільних поштових скриньок.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline

2. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "User.Read.All"

3. Виконайте такі команди PowerShell:

   $MBX = Get-EXOMailbox -RecipientTypeDetails SharedMailbox -ResultSize
   Unlimited
   $MBX | ForEach-Object { Get-MgUser -UserId $_.ExternalDirectoryObjectId `
       -Property DisplayName, UserPrincipalName, AccountEnabled } |
       Format-Table DisplayName, UserPrincipalName, AccountEnabled

4. Переконайтеся, що для параметра AccountEnabled встановлено значення False для всіх спільних поштових скриньок.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com/
2. Натисніть, щоб розгорнути «Команди та групи», і виберіть «Спільні поштові скриньки».
3. Зверніть увагу на всі спільні поштові скриньки.
4. Натисніть, щоб розгорнути Користувачі та виберіть Активні користувачі.
5. Виберіть обліковий запис спільної поштової скриньки, щоб відкрити його панель властивостей, а потім виберіть Блокувати вхід.
6. Поставте прапорець Заблокувати цьому користувачу вхід.
7. Повторіть для всіх додаткових спільних поштових скриньок.

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "User.ReadWrite.All"

2. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

3. Щоб вимкнути вхід для одного облікового запису:

   $MBX = Get-EXOMailbox -Identity [email protected]
   Update-MgUser -UserId $MBX.ExternalDirectoryObjectId -AccountEnabled:$false
   The following can be used block sign-in to all Shared Mailboxes:
   $MBX = Get-EXOMailbox -RecipientTypeDetails SharedMailbox
   $MBX | ForEach-Object { Update-MgUser -UserId $_.ExternalDirectoryObjectId -
   AccountEnabled:$false }

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. Натисніть Безпека та конфіденційність.
4. Виберіть «Політика закінчення терміну дії паролів» і переконайтеся, що встановлено прапорець «Встановити, що термін дії паролів ніколи не закінчується (рекомендовано)».

1. Підключіться до служби Microsoft Graph:

   Connect-MgGraph -Scopes "Domain.Read.All".

2. Виконайте таку команду Microsoft Online PowerShell:

   Get-MgDomain | ft id,PasswordValidityPeriodInDays

3. Переконайтеся, що для дійсних доменів повернуто значення 2147483647

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. Натисніть Безпека та конфіденційність.
4. Поставте прапорець Установити паролі так, щоб вони не закінчувалися (рекомендовано).
5. Натисніть Зберегти.

1. Підключіться до служби Microsoft Graph:

   Connect-MgGraph -Scopes "Domain.ReadWrite.All".

2. Виконайте таку команду Microsoft Graph PowerShell:

   Update-MgDomain -DomainId <Domain> -PasswordValidityPeriodInDays 2147483647

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Захист > Умовний доступ.
3. Перевірте наявні правила умовного доступу, щоб знайти таке, яке відповідає наведеним нижче умовам: o Користувачі або агенти (попередній перегляд) налаштовано на включення всіх користувачів. o Хмарні програми або дії > Для вибраних програм встановлено Office 365. o Умови > Клієнтські програми — це браузер і нічого більше. o Для сеансу встановлено значення Використовувати обмеження, які застосовуються програмою. o Для параметра Enable Policy встановлено значення On

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Policy.Read.All":

2. Запустіть такий сценарій:

   $Caps = Get-MgIdentityConditionalAccessPolicy -All |
       Where-Object {
   $_.SessionControls.ApplicationEnforcedRestrictions.IsEnabled }
   $CapReport = [System.Collections.Generic.List[Object]]::new()
   # Filter to policies with "Use app enforced restrictions" enabled
   # Loop through policies and generate a per policy report.
   foreach ($policy in $Caps) {
       $Name = $policy.DisplayName
       $Users = $policy.Conditions.Users.IncludeUsers
       $Targets = $policy.Conditions.Applications.IncludeApplications
       $ClientApps = $policy.Conditions.ClientAppTypes
       $Restrictions =
   $policy.SessionControls.ApplicationEnforcedRestrictions.IsEnabled
       $State = $policy.State
       $CountPass = $Targets.count -eq 1 -and $ClientApps.count -eq 1
       $Pass = $Targets -eq 'Office365' -and $ClientApps -eq 'browser' -and
               $Restrictions -and $CountPass -and $State -eq 'enabled'
       $obj = [PSCustomObject]@{
           DisplayName             = $Name
           AuditState              = if ($Pass) { "PASS" } else { "FAIL" }
           IncludeUsers            = $Users
           IncludeApplications     = $Targets
           ClientAppTypes          = $ClientApps
           AppEnforcedRestrictions = $Restrictions
           State                   = $State
       }
       $CapReport.Add($obj)
   }
   if ($Caps) {
       $CapReport
   } else {
       Write-Host "** FAIL **: There are no qualifying conditional access
   policies."
   }

3. Сценарій виведе відповідні політики умовного доступу. Якщо одна політика проходить, то і рекомендація проходить. Політика проходження матиме такі властивості:
   Очікувані параметри в консолі:

   DisplayName             : (CIS) Idle timeout for unmanaged
   AuditState              : PASS
   IncludeUsers            : {All}   # IncludeUsers not currently scored
   IncludeApplications     : {Office365}
   ClientAppTypes          : {browser}
   AppEnforcedRestrictions : True
   State                   : enabled

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft Entra https://entra.microsoft.com/
2. Розгорніть Захист > Умовний доступ.
3. Клацніть «Нова політика» та введіть назву політики. o Виберіть Користувачі > Усі користувачі. o Виберіть «Хмарні програми або дії» > «Вибрати програми» та виберіть «Office 365» o Виберіть «Умови» > «Клієнтські програми» > «Так», поставте прапорець лише «Браузер», знімаючи всі інші прапорці. o Виберіть «Сеанси» та поставте прапорець «Використовувати обмеження, встановлені програмою».
4. Установіть для параметра «Увімкнути політику» значення «Увімкнути» та натисніть «Створити».

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У розділі Служби натисніть Календар.
4. Переконайтеся, що прапорець «Дозволити користувачам ділитися своїми календарями з людьми за межами вашої організації, які мають Office 365 або Exchange» знято.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду Exchange Online PowerShell:

   Get-SharingPolicy -Identity "Default Sharing Policy" | ft Name,Enabled

3. Переконайтеся, що для параметра Enabled встановлено значення False

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування, виберіть Налаштування організації.
3. У розділі Служби натисніть Календар.
4. Зніміть прапорець «Дозвольте своїм користувачам ділитися своїми календарями з людьми за межами вашої організації, які мають Office 365 або Exchange».
5. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду Exchange Online PowerShell:

   Set-SharingPolicy -Identity "Default Sharing Policy" -Enabled $False

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У «Службах» виберіть «Програми та служби, що належать користувачу».
4. Переконайтеся, що не встановлено прапорці «Дозволити користувачам доступ до Office Store» і «Дозволити користувачам запускати пробні версії від імені вашої організації».

1. Підключіться до служби Microsoft Graph:

   Connect-MgGraph -Scopes "OrgSettings-AppsAndServices.Read.All".

2. Виконайте таку команду Microsoft Graph PowerShell:

   $Uri = "https://graph.microsoft.com/beta/admin/appsAndServices/settings"
   Invoke-MgGraphRequest -Uri $Uri

3. Переконайтеся, що параметри isOfficeStoreEnabled і isAppAndServicesTrialEnabled мають значення False.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У «Службах» виберіть «Програми та служби, що належать користувачу».
4. Зніміть прапорці «Дозволити користувачам доступ до Office Store» і «Дозволити користувачам запускати пробні версії від імені вашої організації».
5. Натисніть Зберегти. Для виправлення за допомогою PowerShell
6. Підключіться до служби Microsoft Graph за допомогою Connect-MgGraph -Scopes “OrgSettings-AppsAndServices.ReadWrite.All”.
7. Виконайте такі команди Microsoft Graph PowerShell: $uri = “https://graph.microsoft.com/beta/admin/appsAndServices” $body = @{ “Settings” = @{ “isAppAndServicesTrialEnabled” = $false “isOfficeStoreEnabled” = $false } } | ConvertTo-Json Invoke-MgGraphRequest -Method PATCH -Uri $uri -Body $body

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У розділі Служби виберіть Microsoft Forms.
4. Переконайтеся, що прапорець Додати внутрішній захист від фішингу встановлено в розділі Захист від фішингу.

1. Підключіться до служби Microsoft Graph:

   Connect-MgGraph -Scopes "OrgSettings-Forms.Read.All".

2. Виконайте такі команди Microsoft Graph PowerShell:

   $uri = 'https://graph.microsoft.com/beta/admin/forms/settings'
   Invoke-MgGraphRequest -Uri $uri | select isInOrgFormsPhishingScanEnabled

3. Переконайтеся, що параметр isInOrgFormsPhishingScanEnabled має значення True.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У розділі Служби виберіть Microsoft Forms.
4. Установіть прапорець Додати внутрішній захист від фішингу в розділі Захист від фішингу.
5. Натисніть Зберегти. Для виправлення за допомогою PowerShell
6. Підключіться до служби Microsoft Graph за допомогою Connect-MgGraph -Scopes “OrgSettings-AppsAndServices.ReadWrite.All”.
7. Виконайте такі команди Microsoft Graph PowerShell: $uri = ‘https://graph.microsoft.com/beta/admin/forms/settings’ $body = @{ “isInOrgFormsPhishingScanEnabled” = $true } | ConvertTo-Json Invoke-MgGraphRequest -Method PATCH -Uri $uri -Body $body

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. Виберіть вкладку Безпека та конфіденційність.
4. Клацніть Скринька клієнта.
5. Переконайтеся, що встановлено прапорець Потрібне схвалення для всіх запитів на доступ до даних.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Get-OrganizationConfig | Select-Object CustomerLockBoxEnabled

3. Перевірте, чи встановлено значення True.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. Виберіть вкладку Безпека та конфіденційність.
4. Клацніть Скринька клієнта.
5. Поставте прапорець Потрібне схвалення для всіх запитів на доступ до даних.
6. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Set-OrganizationConfig -CustomerLockBoxEnabled $true

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com
2. Перейдіть до Налаштування > Налаштування організації > Служби > Microsoft 365 в Інтернеті
3. Переконайтеся, що не встановлено прапорець «Дозволити користувачам відкривати файли, збережені в сторонніх службах зберігання в Microsoft 365 в Інтернеті».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Application.Read.All".

2. Запустіть такий сценарій:

   $SP = Get-MgServicePrincipal -Filter "appId eq 'c1f33bc0-bdb4-4248-ba9b-
   096807ddb43e'"
   if ((-not $SP) -or $SP.AccountEnabled) {
       Write-Host "Audit Result: ** FAIL **"
   } else {
       Write-Host "Audit Result: ** PASS **"
   }

3. Переконайтеся, що параметр AccountEnabled має значення False.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com
2. Перейдіть до Налаштування > Налаштування організації > Служби > Microsoft 365 в Інтернеті
3. Зніміть прапорець «Дозволити користувачам відкривати файли, збережені в службах зберігання сторонніх розробників у Microsoft 365 в Інтернеті».

1. Підключіться до Microsoft Graph:

   Connect-MgGraph -Scopes "Application.ReadWrite.All"

2. Запустіть такий сценарій:

   $SP = Get-MgServicePrincipal -Filter "appId eq 'c1f33bc0-bdb4-4248-ba9b-
   096807ddb43e'"
   # If the service principal doesn't exist then create it first.
   if (-not $SP) {
       $SP = New-MgServicePrincipal -AppId "c1f33bc0-bdb4-4248-ba9b-
   096807ddb43e"
   }
   Update-MgServicePrincipal -ServicePrincipalId $SP.Id -AccountEnabled:$false

Перевірте налаштування в графічному веб-інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У розділі Служби виберіть Sway.
4. Переконайтеся, що в розділі «Спільний доступ» не встановлено прапорець: o Дозволити людям у вашій організації ділитися своїми вправами з людьми за межами вашої організації.

Виконайте такі дії в графічному інтерфейсі:

1. Перейдіть до центру адміністрування Microsoft 365 https://admin.microsoft.com.
2. Розгорніть Налаштування > Налаштування організації.
3. У розділі «Сервіси» виберіть «Вплив» o Зніміть прапорець: дозволити людям у вашій організації ділитися своїми перевагами з людьми за межами вашої організації.
4. Натисніть Зберегти.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду:

   Get-OwaMailboxPolicy -Identity OwaMailboxPolicy-Default | fl
   BookingsMailboxCreationEnabled

3. Переконайтеся, що для параметра BookingsMailboxCreationEnabled встановлено значення False. відповідний стан.
   Очікувані параметри в консолі:

   Optionally: If Bookings is disabled at the organization level, this is also considered a

4. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

5. Виконайте таку команду:

   Get-OrganizationConfig | fl BookingsEnabled

6. Якщо для BookingsEnabled встановлено значення False, організація використовує більш жорстку та сумісну конфігурацію. У цьому випадку змінювати стандартну політику OWA не потрібно для відповідності.

1. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

2. Виконайте таку команду PowerShell:

   Set-OwaMailboxPolicy "OwaMailboxPolicy-Default" -
   BookingsMailboxCreationEnabled $false
   Optionally: For a more restrictive state Bookings can be disabled at the organization
   level

3. Підключіться до Exchange Online:

   Connect-ExchangeOnline.

4. Виконайте таку команду:

   Set-OrganizationConfig -BookingsEnabled $false