Griffin31
ENקביעת הדגמה
EN
כיסויאיומיםחבילותאמוןמרכז העזרהבלוגכלים חינמייםצור קשרקביעת הדגמה
בלוג

הגדרות שגויות ב-Microsoft 365 שכדאי לבדוק עכשיו: זהויות, מידע ומכשירים

1 בנובמבר 2026 · Shlomi Fanan

איומים

חלק גדול מהפערים שאנחנו רואים בטננטים הם לא חולשה בתוכנה, אלא ברירת מחדל שאף אחד לא שינה.

זהויות: Microsoft Entra ID

ההגדרהלמה זה מסוכןמה לעשות
MFA לא נאכף על כל המשתמשיםחשבון בלי MFA נפרץ עם סיסמה אחת שדלפהמדיניות Conditional Access שדורשת MFA מכולם, ו-MFA עמיד לפישינג לאדמינים
יותר מדי Global Administratorsכל חשבון כזה הוא דרך לשליטה מלאה בטננטMicrosoft ממליצה על פחות מחמישה. שני חשבונות חירום (break-glass), והשאר בתפקידים מצומצמים או ב-PIM
משתמשים יכולים לאשר הרשאות לכל אפליקציהאפליקציה זדונית מקבלת גישה לדואר ולקבצים ישר מהמשתמש (Consent phishing)לאפשר אישור רק לאפליקציות של Verified publisher ולהרשאות בסיכון נמוך, ולהפעיל Admin consent workflow
כל אחד, כולל אורחים, יכול להזמין אורחיםאין שליטה מי נכנס לטננט ולמהלהגביל הזמנות לאדמינים ולתפקיד Guest Inviter
משתמשים יכולים ליצור טננטיםמי שיוצר טננט הופך בו ל-Global Administrator, מחוץ לשליטה של הארגוןלהפעיל את Restrict non-admin users from creating tenants, ולתת את התפקיד Tenant Creator רק למי שצריך
משתמשים יכולים לרשום אפליקציות וליצור קבוצות אבטחהאובייקטים בלי בעלים ובלי בקרה מצטברים בטננטלכבות את שתי ההגדרות ב-User settings ולתת אותן דרך תפקידים

הגנה נוספת על החשבונות היא על הטוקנים שנוצרים אחרי ההתחברות. כתבנו על זה מדריך נפרד: טוקנים ב-Microsoft Entra ID.

מידע: SharePoint, OneDrive ו-DLP

ההגדרהלמה זה מסוכןמה לעשות
קישורי Anyone with the link מותריםכל מי שמקבל את הקישור פותח את הקובץ, בלי להתחברלהגביל ברמת הארגון או באתרים רגישים, ולקבוע תפוגה לקישורים
שיתוף חיצוני פתוח לכל דומייןמידע יוצא לגורמים שאף אחד לא אישרלהגביל לדומיינים מאושרים במקומות שצריך, ולבדוק גישת אורחים באופן קבוע
אין מדיניות DLPמידע רגיש יוצא במייל או בשיתוף בלי שמישהו יודעלהתחיל מתבנית מוכנה של Microsoft Purview, במצב בדיקה, ורק אחר כך לחסום

מכשירים: Intune

ההגדרהלמה זה מסוכןמה לעשות
Conditional Access לא דורש מכשיר תואםמכשיר לא מנוהל, כולל של תוקף, ניגש למידע הארגונימדיניות שדורשת מכשיר תואם, לפחות ב-Windows וב-macOS
מכשיר בלי מדיניות תאימות נחשב תואםזו ברירת המחדל ב-Intune. מכשיר ששכחו לשייך אליו מדיניות עובר את Conditional Accessלשנות את Mark devices with no compliance policy assigned as ל-Not compliant, כמו ש-Microsoft ממליצה
מדיניות התאימות חלשה מדימכשיר בלי הצפנה או חומת אש נחשב תקיןלדרוש לפחות BitLocker, Secure Boot, חומת אש, TPM ואנטי וירוס, לפי ההמלצות של Microsoft
Security baselines לא מוטמעיםכל מכשיר מוגדר קצת אחרת, ונשארים פעריםלהטמיע את ה-baselines של Windows ושל Defender for Endpoint, ולעדכן אותם כש-Microsoft מפרסמת גרסה חדשה
אין App protection policies לטלפוניםמידע ארגוני נשאר בטלפון פרטי כשעובד עוזבמדיניות שמגינה על המידע בתוך Outlook, Teams ו-OneDrive, גם בלי לנהל את כל הטלפון

הבעיה האמיתית: ההגדרות משתנות

גם טננט שהוגדר נכון לא נשאר כך. אדמין מחריג את עצמו ממדיניות לצורך בדיקה, ספק מקבל הרשאות "לשבוע", ומדיניות מכובה בזמן תקלה. בלי בדיקה רציפה, את השינויים האלה מגלים רק כשמשהו קורה.

מאיפה מתחילים

  1. MFA לכולם, ו-MFA עמיד לפישינג לאדמינים.
  2. ספרו את ה-Global Administrators והורידו אותם לפחות מחמישה.
  3. הגבילו אישור אפליקציות, הזמנת אורחים ויצירת טננטים.
  4. שנו את ברירת המחדל של Intune למכשירים בלי מדיניות תאימות, ודרשו מכשיר תואם ב-Conditional Access.
  5. הגבילו קישורי Anyone והפעילו DLP במצב בדיקה.

איך Griffin31 עוזר

Griffin31 בודק את הגדרות האבטחה בטננט Microsoft 365 שלכם באופן רציף, כולל Entra ID, שיתוף ו-Intune, ומראה מה לתקן קודם, עם ההוכחה מאחורי התוצאות.

רוצים לדעת כמה מההגדרות האלה פתוחות אצלכם? Griffin31 בודק את הגדרות האבטחה ב-Microsoft 365 באופן רציף ומראה מה לתקן קודם.

קביעת הדגמה

מקורות