Общие политики безопасности для организаций Microsoft 365

Организации могут беспокоиться о развертывании Microsoft 365 для своей организации. Политики условного доступа, защиты приложений и устройств, на которые ссылается эта статья, основаны на рекомендациях Майкрософт и трех руководящих принципах нулевого доверия:

• Прямая проверка
• Использование наименьших привилегий
• Предполагайте наличие бреши в системе безопасности

Организации могут использовать эти политики как есть или настраивать их в соответствии с потребностями. По возможности проверьте политики в нерабочей среде перед развертыванием для рабочих пользователей. Тестирование крайне важно для выявления и обмена данными о возможных последствиях для пользователей.

Мы группируем эти политики на три уровня защиты на основе того, где вы находитесь в пути развертывания:

• Отправная точка — базовые элементы управления, которые вводят многофакторную проверку подлинности, безопасные изменения паролей и политики защиты приложений.
• Enterprise — расширенные элементы управления, которые вводят соответствие устройств.
• Специализированная безопасность — политики, требующие многофакторной проверки подлинности каждый раз для определенных наборов данных или пользователей.

На следующей схеме показано, какой уровень защиты применяется к каждой политике и к каким политикам применяются компьютеры или телефоны и планшеты, или обе категории устройств.

Эту схему можно скачать как PDF-файл .

Необходимые компоненты

Разрешения

• Пользователи, которые будут управлять политиками условного доступа, должны иметь возможность войти в портал Azure как минимум администратор условного доступа.
• Пользователи, которые будут управлять политиками защиты приложений и устройств, должны иметь возможность войти в Intune как минимум администратор Intune.
• Пользователям, которым требуется только просматривать конфигурации, можно назначить роли средства чтения безопасности или глобального читателя.

Дополнительные сведения о ролях и разрешениях см. в статье о встроенных ролях Microsoft Entra.

Регистрация пользователей

Убедитесь, что пользователи регистрируются для многофакторной проверки подлинности, прежде чем требовать его использования. Если у вас есть лицензии, включающие идентификатор Microsoft Entra ID P2, вы можете использовать политику регистрации MFA в Защита идентификации Microsoft Entra, чтобы требовать, чтобы пользователи регистрировались. Мы предоставляем шаблоны коммуникации, которые можно скачать и настроить, чтобы повысить уровень регистрации.

Группы

Все группы Microsoft Entra, используемые в рамках этих рекомендаций, должны быть созданы как группа Microsoft 365, а не группа безопасности. Это требование важно для развертывания меток конфиденциальности при защите документов в Microsoft Teams и SharePoint позже. Дополнительные сведения см. в статье о группах и правах доступа в идентификаторе Microsoft Entra

Назначение политик

Политики условного доступа могут назначаться пользователям, группам и ролям администратора. Защита приложений Intune и политики соответствия устройств могут быть назначены только группам. Перед настройкой политик следует определить, кто должен быть включен и исключен. Как правило, политики уровня защиты начальной точки применяются ко всем пользователям в организации.

Ниже приведен пример назначения групп и исключений для требования MFA после завершения регистрации пользователей.

Будьте осторожны при применении более высокого уровня защиты к группам и пользователям. Цель безопасности заключается в том, чтобы не добавлять ненужные трения в взаимодействие с пользователем. Например, членам группы Top Secret Project Buckeye потребуется использовать MFA при каждом входе, даже если они не работают над специализированным контентом безопасности для своего проекта. Чрезмерное трение в области безопасности может привести к усталости.

Вы можете включить методы проверки подлинности без пароля, такие как Windows Hello для бизнеса или ключи безопасности FIDO2, чтобы снизить некоторые трения, созданные определенными элементами управления безопасностью.

Учетные записи для аварийного доступа

У всех организаций должна быть по крайней мере одна учетная запись аварийного доступа, отслеживаемая для использования и исключенная из политик. Эти учетные записи используются только в том случае, если все остальные учетные записи администратора и методы проверки подлинности будут заблокированы или недоступны. Дополнительные сведения см. в статье об управлении учетными записями аварийного доступа в идентификаторе Microsoft Entra.

Исключения

Рекомендуется создать группу Microsoft Entra для исключений условного доступа. Эта группа предоставляет средства для предоставления доступа пользователю при устранении неполадок с доступом.

Чтобы добавить эту группу исключений в любые существующие политики, выполните указанные ниже действия.

1. Войдите в Центр администрирования Microsoft Entra в качестве администратора условного доступа.
2. Перейдите к условному доступу к защите>.
3. Выберите существующую политику.
4. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.
   1. В разделе "Исключить" выберите "Пользователи и группы " и выберите учетную запись аварийного доступа или учетные записи условного доступа и группу исключений условного доступа.

Развертывание

Мы рекомендуем реализовать политики начальной точки в порядке, указанном в этой таблице. Однако политики MFA для корпоративных и специализированных уровней безопасности могут быть реализованы в любое время.

Начальная точка

Функции корпоративного уровня

Специализированная безопасность

политики защита приложений

политики защита приложений определяют, какие приложения разрешены, а также действия, которые они могут предпринять с данными вашей организации. Есть много вариантов, и это может быть запутано для некоторых. Ниже приведены рекомендуемые конфигурации Майкрософт, которые могут быть адаптированы к вашим потребностям. Мы предоставляем три шаблона для выполнения, но думаю, что большинство организаций выберет уровни 2 и 3.

Уровень 2 сопоставляется с тем, что мы считаем начальной точкой или безопасностью корпоративного уровня, уровень 3 сопоставляется с специализированной безопасностью.

• Уровень 1 корпоративная базовая защита данных. Корпорация Майкрософт рекомендует эту конфигурацию в качестве минимальной конфигурации защиты данных для корпоративного устройства.

• Расширенная защита данных уровня 2 предприятия. Корпорация Майкрософт рекомендует эту конфигурацию для устройств, где пользователи получают доступ к конфиденциальной или конфиденциальной информации. Эта конфигурация применима к большинству мобильных пользователей, обращаюющихся к рабочим или учебным данным. Некоторые элементы управления могут повлиять на взаимодействие с пользователем.

• Уровень 3 корпоративный высокий уровень защиты данных. Корпорация Майкрософт рекомендует эту конфигурацию для устройств, работающих организацией с более крупной или более сложной командой безопасности, или для конкретных пользователей или групп, которые подвергаются уникально высокому риску (пользователи, обрабатывающие конфиденциальные данные, в которых несанкционированное раскрытие данных приводит к значительной потере материала в организации). Организация, скорее всего, будет нацелена на хорошо финансируемых и сложных злоумышленников, должна стремиться к этой конфигурации.

Создание политик защиты приложений

Создайте новую политику защиты приложений для каждой платформы (iOS и Android) в Microsoft Intune с помощью параметров платформы защиты данных:

• Вручную создайте политики, выполнив инструкции по созданию и развертыванию политик защиты приложений с помощью Microsoft Intune.
• Импортируйте примеры шаблонов JSON политики защиты приложений Intune с помощью скриптов PowerShell Intune.

Политики соответствия устройств

Политики соответствия устройств Intune определяют требования, которые должны соответствовать устройствам.

Необходимо создать политику для каждого компьютера, телефона или планшетной платформы. В этой статье рассматриваются рекомендации для следующих платформ:

• Android
• iOS/iPadOS
• Windows 10 и более поздние версии

Создание политик соответствия устройств

Чтобы создать политики соответствия устройств, войдите в Центр администрирования Microsoft Intune и перейдите к политикам соответствия>устройств>. Выберите " Создать политику".

Пошаговые инструкции по созданию политик соответствия в Intune см. в статье "Создание политики соответствия в Microsoft Intune".

Параметры регистрации и соответствия для iOS/iPadOS

IOS/iPadOS поддерживает несколько сценариев регистрации, два из которых рассматриваются в рамках этой платформы:

• Регистрация устройств для личных устройств — эти устройства принадлежат лично и используются как для работы, так и для личного использования.
• Автоматическая регистрация устройств для корпоративных устройств — эти устройства являются корпоративными, связанными с одним пользователем, и используются исключительно для работы и не личного использования.

Использование принципов, описанных в конфигурациях доступа к устройству и удостоверению нулевого доверия:

• Начальные точки и уровни защиты предприятия тесно соответствуют параметрам повышенной безопасности уровня 2.
• Специализированный уровень защиты безопасности тесно сопоставляется с высокими параметрами безопасности уровня 3.

Параметры соответствия для личных зарегистрированных устройств

• Личная базовая безопасность (уровень 1) — корпорация Майкрософт рекомендует эту конфигурацию в качестве минимальной конфигурации безопасности для личных устройств, где пользователи получают доступ к рабочим или учебным данным. Эта конфигурация выполняется путем применения политик паролей, характеристик блокировки устройства и отключения некоторых функций устройств, таких как ненадежные сертификаты.
• Личная улучшенная безопасность (уровень 2) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, где пользователи получают доступ к конфиденциальной или конфиденциальной информации. Эта конфигурация принимает элементы управления общим доступом к данным. Эта конфигурация применима к большинству мобильных пользователей, обращаюющихся к рабочим или учебным данным на устройстве.
• Личная высокая безопасность (уровень 3) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, используемых определенными пользователями или группами, которые уникально подвержены высокому риску (пользователи, обрабатывающие конфиденциальные данные, в которых несанкционированное раскрытие данных приводит к значительной потере материала в организации). Эта конфигурация принимает более строгие политики паролей, отключает определенные функции устройства и применяет дополнительные ограничения на передачу данных.

Параметры соответствия для автоматической регистрации устройств

• Защищенный базовый уровень безопасности (уровень 1) — корпорация Майкрософт рекомендует эту конфигурацию в качестве минимальной конфигурации безопасности для защищенных устройств, где пользователи получают доступ к рабочим или учебным данным. Эта конфигурация выполняется путем применения политик паролей, характеристик блокировки устройства и отключения некоторых функций устройств, таких как ненадежные сертификаты.
• Защищенный расширенный уровень безопасности (уровень 2) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, где пользователи получают доступ к конфиденциальной или конфиденциальной информации. Эта конфигурация принимает элементы управления доступом к данным и блокирует доступ к USB-устройствам. Эта конфигурация применима к большинству мобильных пользователей, обращаюющихся к рабочим или учебным данным на устройстве.
• Защищенный высокий уровень безопасности (уровень 3) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, используемых определенными пользователями или группами, которые являются уникально высоким риском (пользователи, обрабатывающие конфиденциальные данные, в которых несанкционированное раскрытие данных приводит к значительной потере материала в организации). Эта конфигурация принимает более строгие политики паролей, отключает определенные функции устройства, применяет дополнительные ограничения передачи данных и требует установки приложений через программу приобретения томов Apple.

Параметры регистрации и соответствия для Android

Android Enterprise поддерживает несколько сценариев регистрации, два из которых рассматриваются в рамках этой платформы:

• Рабочий профиль Android Enterprise — эта модель регистрации обычно используется для личных устройств, где ИТ-специалисты хотят обеспечить четкую границу разделения между рабочими и личными данными. Политики, контролируемые ИТ-службой, гарантируют, что рабочие данные не могут быть переданы в личный профиль.
• Полностью управляемые устройства Android Enterprise — эти устройства являются корпоративными, связанными с одним пользователем, и используются исключительно для работы, а не личного использования.

Платформа конфигурации безопасности Android Enterprise организована в несколько различных сценариев конфигурации, предоставляя рекомендации по рабочим профилям и полностью управляемым сценариям.

Использование принципов, описанных в конфигурациях доступа к устройству и удостоверению нулевого доверия:

• Начальные точки и уровни защиты предприятия тесно соответствуют параметрам повышенной безопасности уровня 2.
• Специализированный уровень защиты безопасности тесно сопоставляется с высокими параметрами безопасности уровня 3.

Параметры соответствия для устройств рабочего профиля Android Enterprise

• Из-за параметров, доступных для личных устройств рабочего профиля, нет базового предложения безопасности (уровня 1). Доступные параметры не оправдывают разницу между уровнем 1 и уровнем 2.
• Улучшенная безопасность рабочего профиля (уровень 2) — корпорация Майкрософт рекомендует эту конфигурацию в качестве минимальной конфигурации безопасности для личных устройств, где пользователи получают доступ к рабочим или учебным данным. Эта конфигурация содержит требования к паролям, отделяет рабочие и личные данные и проверяет аттестацию устройств Android.
• Высокий уровень безопасности рабочего профиля (уровень 3) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, используемых определенными пользователями или группами, которые однозначно подвержены высокому риску (пользователи, обрабатывающие конфиденциальные данные, в которых несанкционированное раскрытие данных приводит к значительной потере материала в организации). Эта конфигурация представляет защиту мобильных угроз или Microsoft Defender для конечной точки, устанавливает минимальную версию Android, принимает более строгие политики паролей, а также ограничивает работу и личное разделение.

Параметры соответствия для полностью управляемых устройств Android Enterprise

• Полностью управляемая базовая безопасность (уровень 1) — корпорация Майкрософт рекомендует эту конфигурацию в качестве минимальной конфигурации безопасности для корпоративного устройства. Эта конфигурация применима к большинству мобильных пользователей, обращаюющихся к рабочим или учебным данным. Эта конфигурация вводит требования к паролям, задает минимальную версию Android и принимает определенные ограничения устройств.
• Полностью управляемая расширенная безопасность (уровень 2) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, где пользователи получают доступ к конфиденциальной или конфиденциальной информации. Эта конфигурация принимает более строгие политики паролей и отключает возможности пользователя или учетной записи.
• Полностью управляемая высокая безопасность (уровень 3) — корпорация Майкрософт рекомендует эту конфигурацию для устройств, используемых определенными пользователями или группами, которые являются уникальными высокими рисками. Эти пользователи могут обрабатывать конфиденциальные данные, в которых несанкционированное раскрытие может привести к значительной потере материала организации. Эта конфигурация увеличивает минимальную версию Android, вводит защиту от угроз для мобильных устройств или Microsoft Defender для конечной точки и применяет дополнительные ограничения устройств.

Рекомендуемые параметры соответствия для Windows 10 и более поздних версий

На шаге 2 настроены следующие параметры: параметры соответствия требованиям, процесс создания политики соответствия для устройств Windows 10 и более новых версий. Эти параметры соответствуют принципам, описанным в конфигурациях доступа к устройству и удостоверению нулевого доверия.

Правила оценки службы аттестации работоспособности > Windows см. в этой таблице.

Для свойств устройства укажите соответствующие значения версий операционной системы на основе политик ИТ и безопасности.

Для соответствия Configuration Manager, если вы находитесь в совместно управляемой среде с Configuration Manager, выберите "Требовать в противном случае" выберите "Не настроено".

Сведения о системной безопасности см. в этой таблице.

Для Microsoft Defender для конечной точки

Политики условного доступа

После создания политик защиты приложений и соответствия устройств в Intune можно включить принудительное применение с помощью политик условного доступа.

Требовать многофакторную проверку подлинности на основе риска входа

Следуйте указаниям в статье Общая политика условного доступа: проверка подлинности на основе многофакторной проверки подлинности на основе рисков для входа в систему, чтобы создать политику, чтобы требовать многофакторную проверку подлинности на основе риска входа.

При настройке политики используйте следующие уровни риска.

Блокировать клиенты, не поддерживающие многофакторную проверку подлинности

Следуйте указаниям в статье Общая политика условного доступа: блокировка устаревшей проверки подлинности для блокировки устаревшей проверки подлинности .

Пользователи с высоким уровнем риска должны сменить пароль

Следуйте указаниям в политике общего условного доступа: изменение пароля на основе рисков пользователей требует от пользователей с скомпрометированных учетных данных для изменения пароля.

Используйте эту политику вместе с защитой паролей Microsoft Entra, которая обнаруживает и блокирует известные слабые пароли и их варианты в дополнение к условиям, характерным для вашей организации. Использование защиты паролей Microsoft Entra гарантирует, что измененные пароли сильнее.

Требовать утвержденные приложения и политики защиты приложений

Чтобы применить политики защиты приложений, созданные в Intune, необходимо создать политику условного доступа. Для применения политик защиты приложений требуется политика условного доступа и соответствующая политика защиты приложений.

Чтобы создать политику условного доступа, требующую утвержденных приложений и защиты приложений, выполните действия, описанные в разделе "Требовать утвержденные клиентские приложения" или политику защиты приложений с мобильными устройствами. Эта политика позволяет учетным записям только в мобильных приложениях, защищенных политиками защиты приложений, получать доступ к конечным точкам Microsoft 365.

Блокировка устаревшей проверки подлинности для других клиентских приложений на устройствах iOS и Android гарантирует, что эти клиенты не могут обойти политики условного доступа. Если вы используете инструкции в этой статье, вы уже настроили блочные клиенты, которые не поддерживают современную проверку подлинности.

Требовать совместимые компьютеры и мобильные устройства

Следующие шаги помогут создать политику условного доступа для требования, чтобы устройства, обращающиеся к ресурсам, были помечены как соответствующие политикам соответствия организации Intune.

1. Войдите на портал Azure.
2. Перейдите к условному доступу к идентификаторам Microsoft Entra ID>>.
3. Выберите Новая политика.
4. Присвойте политике имя. Мы рекомендуем организациям присваивать политикам понятные имена.
5. В разделе Назначения выберите Идентификаторы пользователей или рабочих нагрузок.
   1. В разделе Включить выберите Все пользователи.
   2. В разделе Исключить выберите Пользователи и группы, а затем выберите учетные записи для аварийного доступа или для обхода стандартной системы контроля доступа в вашей организации.
6. В разделе Облачные приложения или действия>Включить выберите Все облачные приложения.
   1. Если необходимо исключить из политики определенные приложения, их можно выбрать на вкладке Исключение в разделе Выберите исключенные облачные приложения и нажмите кнопку Выбрать.
7. Выберите Элементы управления доступом>Предоставить разрешение.
   1. Выберите " Требовать, чтобы устройство было помечено как соответствующее".
   2. Выберите Выбрать.
8. Подтвердите параметры и задайте для параметра Включить политику значение Включить.
9. Нажмите Создать, чтобы создать и включить политику.

Активация подписки

Организации, использующие функцию активации подписки, чтобы пользователи могли "шагнуть" из одной версии Windows в другую, может потребоваться исключить API-интерфейсы универсальной службы магазина и веб-приложение, AppID 45a30b1-b1ec-4cc1-9161-9f03992aa49f из политики соответствия устройств.

Всегда требуется многофакторная проверка подлинности

Следуйте указаниям в политике общего условного доступа. Требовать многофакторную проверку подлинности для всех пользователей , которым требуются специализированные пользователи уровня безопасности для всегда выполнения многофакторной проверки подлинности.

Следующие шаги

Сведения о рекомендациях политики для гостевых и внешних пользователей