Naprawianie znalezisk

Ten przewodnik wyjaśnia, jak efektywnie przechodzić przez niespełnione kontrole i weryfikować poprawki.

Priorytetyzacja

Nie wszystkie niespełnione kontrole są równie ważne. Zacznij od problemów o najwyższym wpływie i najniższym nakładzie pracy naprawczej.

Zacznij tutaj:

1. Otwórz zakończony skan z dashboardu lub strony Scans
2. Przefiltruj wyniki do Failed
3. Sortuj według ważności - najpierw zajmij się znaleziskami Critical i High

Dobra zasada: napraw wszystko oznaczone jako Critical w ciągu 24 godzin, High w ciągu tygodnia, Medium w ciągu sprintu, Low jako część bieżącej higieny bezpieczeństwa.

Praca nad niespełnioną kontrolą

1. Przeczytaj opis ryzyka

Zrozum, dlaczego konfiguracja stanowi problem, zanim ją zmienisz. Niektóre kontrole wiążą się z kompromisami - na przykład zablokowanie przestarzałego uwierzytelniania może uniemożliwić działanie starszych urządzeń lub aplikacji. Wiedz, co zmieniasz.

2. Przejrzyj szczegóły

W skanach compliance każda niespełniona kontrola pokazuje identyfikator, tytuł i ważność. Rozwiń wiersz kontroli, aby zobaczyć pełny opis i kroki naprawcze.

W skanach exposure każde niespełnione znalezisko pokazuje usługę, do której należy, poziom ryzyka (HIGH lub MED) i status. Rozwiń kartę, aby zobaczyć wskazówki naprawcze i link do dokumentacji zewnętrznej.

3. Postępuj zgodnie z krokami naprawczymi

Kroki naprawcze są podawane w dwóch formach, jeśli ma to zastosowanie:

Centrum administracyjne (przeglądarka): Instrukcje krok po kroku przez interfejsy administracyjne Microsoft 365 lub Azure.

PowerShell: Polecenia, które możesz uruchomić bezpośrednio, jeśli wolisz skryptowanie lub musisz wprowadzić zmiany hurtowo.

Plany Pro i Enterprise

Szczegółowe kroki naprawcze dostępne są w planach Pro i Enterprise. Użytkownicy planu Free widzą wynik kontroli oraz zachętę do aktualizacji planu w celu uzyskania pełnych wskazówek.

4. Wprowadź poprawkę

Dokonaj zmiany w swoim tenancie Microsoft 365. Jeśli naprawiasz w środowisku produkcyjnym, rozważ:

• Przetestowanie w tenancie testowym lub dla ograniczonej grupy użytkowników
• Zaplanowanie zmian podczas okna serwisowego
• Przygotowanie planu wycofania - większość ustawień można cofnąć, jeśli użytkownicy zostaną dotknięci

5. Zweryfikuj nowym skanem

Po naprawie uruchom nowy skan z dashboardu (przycisk Run Scan). Gdy skan się zakończy, otwórz wyniki i potwierdź, że kontrola pokazuje teraz Passed lub Secure.

TIP

Skany trwają od 10 do 15 minut. Jeśli skonfigurowano raporty e-mail, otrzymasz powiadomienie po zakończeniu.

Typowe naprawy

Włączenie MFA dla wszystkich administratorów

Kontrola: CIS.M365.1.1.1Gdzie: Centrum administracyjne Microsoft Entra > Users > Per-user MFA lub Conditional Access

Najszybszym sposobem na wymuszenie MFA dla administratorów jest polityka dostępu warunkowego obejmująca role katalogowe przypisane do kont administratorów. MFA per-user to przestarzała metoda, która nie wymusza na etapie logowania.

Wyłączenie przestarzałego uwierzytelniania

Kontrola: CIS.M365.1.3.1Gdzie: Centrum administracyjne Microsoft Entra > Security > Conditional Access

Utwórz politykę dostępu warunkowego, która blokuje logowanie za pomocą przestarzałych protokołów (SMTP, IMAP, POP3, EWS). Przestarzałe uwierzytelnianie omija MFA. Niemal wszystkie nowoczesne klienty obsługują nowoczesne uwierzytelnianie - zweryfikuj przed zablokowaniem.

Włączenie ujednoliconego dziennika audytu

Kontrola: CIS.M365.3.1.1Gdzie: Portal zgodności Microsoft Purview > Audit

Uruchom w PowerShell:

Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Poczekaj 30-60 minut na pojawienie się zdarzeń audytu po włączeniu.

Włączenie audytu skrzynek pocztowych

Kontrola: CIS.M365.6.1.1Gdzie: Exchange Online PowerShell

Set-OrganizationConfig -AuditDisabled $false
Get-Mailbox -ResultSize Unlimited | Set-Mailbox -AuditEnabled $true

Blokowanie federacji Teams z niezarządzanych domen

Gdzie: Centrum administracyjne Microsoft Teams > External access

Ustaw dostęp zewnętrzny na Allow specific external domains zamiast zezwalania na wszystkie organizacje zewnętrzne.

Śledzenie postępów

Po sprincie naprawczym uruchom ponownie skan i sprawdź wykres osi czasu postawy na stronie Scans, aby zobaczyć trend wyniku w czasie. Dashboard pokazuje również wskaźnik zmiany (np. +5 pkt) porównujący najnowszy skan z poprzednim.

Jako dowód zgodności użyj przycisku Download na stronie szczegółów każdego skanu, aby wyeksportować pełne raporty, lub wyeksportuj wyniki jako CSV ze strony Scans.

Opcje eksportu przez API znajdziesz w sekcji Eksportowanie wyników.