Náprava nálezů

Tento průvodce vysvětluje, jak efektivně projít neúspěšné kontroly a ověřit vaše opravy.

Prioritizace

Ne všechny neúspěšné kontroly mají stejnou váhu. Začněte problémy s nejvyšším dopadem a nejnižším úsilím na nápravu.

Začněte zde:

1. Otevřete dokončený sken z dashboard nebo stránky Skeny
2. Filtrujte pouze na Neúspěšné výsledky
3. Seřaďte podle závažnosti - nejprve projděte Kritické a Vysoké nálezy

Dobré pravidlo: opravte vše Kritické do 24 hodin, Vysoké do týdne, Střední v rámci sprintu, Nízké jako součást průběžné údržby.

Postup u neúspěšné kontroly

1. Přečtěte si vysvětlení rizika

Pochopte, proč je konfigurace problematická, než ji začnete měnit. Některé kontroly mají kompromisy - například blokování starší autentizace může narušit starší zařízení nebo aplikace. Vězte, co měníte.

2. Prostudujte podrobnosti

U compliance skenů každá neúspěšná kontrola zobrazuje ID kontroly, název a závažnost. Rozbalte řádek kontroly pro zobrazení úplného popisu a kroků k nápravě.

U exposure skenů každý neúspěšný nález zobrazuje službu, ke které patří, úroveň rizika (HIGH nebo MED) a stav. Rozbalte kartu pro zobrazení pokynů k nápravě a odkazu na externí dokumentaci.

3. Postupujte podle kroků k nápravě

Kroky k nápravě jsou poskytovány ve dvou formách, pokud je to relevantní:

Administrátorské centrum (prohlížeč): Podrobné pokyny přes rozhraní administrátorských center Microsoft 365 nebo Azure.

PowerShell: Příkazy, které můžete spustit přímo, pokud preferujete skriptování nebo potřebujete aplikovat změny hromadně.

Pro a Enterprise

Podrobné kroky k nápravě jsou dostupné v tarifech Pro a Enterprise. Uživatelé tarifu Free vidí výsledek kontroly a výzvu k upgradu pro úplné pokyny.

4. Aplikujte opravu

Proveďte změnu ve vašem Microsoft 365 tenantu. Pokud provádíte nápravu v produkčním prostředí, zvažte:

• Testování ve zkušebním tenantu nebo s omezenou skupinou uživatelů
• Naplánování změn na dobu údržby
• Připravení plánu návratu - většinu nastavení lze vrátit zpět, pokud jsou uživatelé ovlivněni

5. Ověřte novým skenem

Po nápravě spusťte nový sken z dashboard (tlačítko Spustit sken). Po dokončení skenu otevřete výsledky a potvrďte, že kontrola nyní zobrazuje Úspěšný nebo Bezpečný.

TIP

Skeny trvají 10 až 15 minut. Pokud máte nakonfigurované e-mailové reporty, obdržíte e-mailové upozornění po dokončení.

Běžné nápravy

Povolení MFA pro všechny administrátory

Kontrola: CIS.M365.1.1.1Kde: Administrátorské centrum Microsoft Entra > Uživatelé > MFA na uživatele nebo Podmíněný přístup

Nejrychlejší způsob, jak vyžadovat MFA pro administrátory, je zásada podmíněného přístupu cílená na role adresáře přiřazené administrátorským účtům. MFA na uživatele je starší přístup a nevynucuje se při přihlášení.

Zakázání starší autentizace

Kontrola: CIS.M365.1.3.1Kde: Administrátorské centrum Microsoft Entra > Zabezpečení > Podmíněný přístup

Vytvořte zásadu podmíněného přístupu, která blokuje přihlášení pomocí starších autentizačních protokolů (SMTP, IMAP, POP3, EWS). Starší autentizace obchází MFA. Téměř všichni moderní klienti podporují moderní autentizaci - ověřte před blokováním.

Povolení sjednoceného protokolu auditu

Kontrola: CIS.M365.3.1.1Kde: Portál Microsoft Purview compliance > Audit

Spusťte v PowerShellu:

Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Po povolení počkejte 30-60 minut, než se začnou zobrazovat události auditu.

Povolení auditování poštovních schránek

Kontrola: CIS.M365.6.1.1Kde: Exchange Online PowerShell

Set-OrganizationConfig -AuditDisabled $false
Get-Mailbox -ResultSize Unlimited | Set-Mailbox -AuditEnabled $true

Blokování externí federace Teams z nespravovaných domén

Kde: Administrátorské centrum Microsoft Teams > Externí přístup

Nastavte externí přístup na Povolit konkrétní externí domény místo povolení všech externích organizací.

Sledování pokroku

Po nápravném sprintu spusťte nový sken a zkontrolujte graf časové osy stavu na stránce Skeny pro zobrazení trendu vašeho skóre v čase. Dashboard také zobrazuje ukazatel změny (např. +5 bodů) porovnávající váš poslední sken s předchozím.

Pro evidenci compliance použijte tlačítko Stáhnout na stránce detailu každého skenu pro export úplných reportů, nebo exportujte výsledky jako CSV ze stránky Skeny.

Viz Export výsledků pro možnosti exportu přes API.