Defender for Office 365: ההגדרות שחשובות, מה כלול בכל רישיון, והטעויות הנפוצות

מה כלול בכל רישיון

דרך מהירה לדעת מה יש לכם: אם בפורטל של Defender מופיע Explorer, יש לכם Plan 2. אם מופיע Real-time detections, יש לכם Plan 1.

ההגדרות שחשובות

1. Preset policies. יש שלוש: Built-in protection, Standard ו-Strict. רק Built-in protection פועלת כברירת מחדל, והיא חלשה יותר: מאפשרת ללחוץ על קישור גם אחרי אזהרה ולא מגינה מפני שולחים פנימיים. Standard ו-Strict מחמירות יותר, ו-Microsoft ממליצה להחיל אותן על כל המשתמשים.
2. Safe Links. בודק קישורים בזמן הלחיצה, במייל, ב-Teams ובאפליקציות Office. אין צורך "להפעיל בדיקה בכל לחיצה", זו הדרך שבה הוא עובד. מה שכן צריך לבדוק: שהוא חל על כל המשתמשים, כולל שולחים פנימיים, ושמשתמשים לא יכולים לעקוף את האזהרה.
3. Safe Attachments. הפעולה המומלצת היא Block. אם עיכוב במסירה מפריע, Dynamic Delivery מוסר את גוף ההודעה מיד ומצרף את הקבצים אחרי הסריקה. יש הגדרה נפרדת להגנה על קבצים ב-SharePoint, OneDrive ו-Teams.
4. הגנת התחזות. Mailbox intelligence פועל כברירת מחדל. אבל ההגנה על משתמשים ספציפיים, כמו מנכ"ל ומנהלת כספים, לא פועלת עד שמוסיפים אותם לרשימה, עד 350 משתמשים למדיניות. במדיניות מותאמת אישית גם הפעולה כברירת מחדל היא "לא לעשות כלום".
5. Priority accounts. סמנו עד 250 משתמשים רגישים כ-Priority accounts. ב-Plan 2 הם מקבלים הגנה נוספת, ובכל מקרה קל יותר לסנן עליהם התראות ודוחות.
6. Configuration analyzer. משווה את המדיניות שלכם להגדרות Standard ו-Strict ומראה איפה אתם חלשים יותר. הלשונית שמציגה שינויים לאורך זמן דורשת Audit פעיל.

הטעויות הנפוצות

• מדיניות מותאמת אישית שאף אחד לא בודק. מדיניות מותאמת עדיפה על Built-in protection, אבל Preset policy גוברת עליה. מי שבנה מדיניות לפני כמה שנים, בדרך כלל לא יודע מה חל בפועל על כל משתמש.
• הגנת התחזות בלי משתמשים מוגנים. הרישיון קיים וההגדרה פועלת, אבל הרשימה ריקה.
• ציפייה ליכולות של Plan 2. Threat Explorer, AIR ו-Attack simulation training לא כלולים ב-Business Premium וב-E3.
• AIR שממתין לאישור. גם ב-Plan 2, רוב פעולות התיקון של AIR ממתינות לאישור של צוות האבטחה, ופגות אחרי שבוע. מישהו צריך לעבור עליהן.

כפתור דיווח של KnowBe4, Hoxhunt או Cofense: לחבר אותו ל-Microsoft

ארגונים שמשתמשים בכפתור דיווח של ספק אחר יכולים לשלוח את ההודעות שהמשתמשים מדווחים גם ל-Microsoft, כך שהן מופיעות בדף User reported בפורטל Defender, יוצרות התראות, וב-Plan 2 מפעילות AIR. ההגדרה:

1. תיבת דיווח. הכפתור צריך לשלוח את הדיווחים לתיבת דואר ב-Exchange Online. לא רשימת תפוצה ולא תיבה מחוץ לארגון.
2. הגדרות בפורטל. ב-Settings > Email & collaboration > User reported settings בוחרים Use a non-Microsoft add-in button, וב-Reported item destinations בוחרים Microsoft and my reporting mailbox.
3. פורמט הדיווח. ההודעה המקורית מצורפת כקובץ EML או MSG, בלי שינוי ובלי דחיסה, הודעה אחת בכל דיווח. נושא הדיווח מתחיל ב-1| (Junk), 2| (Not junk) או 3| (Phishing). דיווח בלי קידומת נחשב פישינג.
4. החרגות. מגדירים את התיבה כ-SecOps mailbox ב-Advanced delivery policy, ומחריגים אותה מ-DLP, כדי שההודעות יגיעו אליה כמו שהן.

שימו לב: הודעות סימולציה שדווחו דרך כפתור של ספק אחר לא יופיעו בדוחות של Attack simulation training.

רוצים לדעת מה מוגדר אצלכם ב-Defender for Office 365? Griffin31 בודק את הגדרות האבטחה בטננט Microsoft 365 באופן רציף, כולל Safe Links, Safe Attachments ו-Preset policies, ומראה מה לתקן קודם.

מקורות

• Microsoft: Microsoft Defender for Office 365 overview
• Microsoft: Preset security policies
• Microsoft: Safe Links
• Microsoft: Safe Attachments
• Microsoft: Anti-phishing policies
• Microsoft: Priority account protection
• Microsoft: Configuration analyzer
• Microsoft: Use a reporting mailbox with non-Microsoft add-ins (user reported settings)
• Microsoft: Automated investigation and response (AIR)
• Microsoft: Defender for Office 365 service description (plans and licensing)
• Microsoft: What’s new in Defender for Office 365