Náprava zistení

Tento sprievodca vysvetľuje, ako efektívne prechádzať neúspešnými kontrolami a overovať vaše opravy.

Prioritizácia

Nie všetky neúspešné kontroly sú rovnaké. Začnite s problémami, ktoré majú najväčší dopad a najnižšie náklady na nápravu.

Začnite tu:

1. Otvorte dokončený sken z dashboardu alebo zo stránky Scans
2. Filtrujte len na Failed výsledky
3. Zoraďte podľa závažnosti - najprv prechádzajte Critical a High zistenia

Dobré pravidlo: opravte čokoľvek Critical do 24 hodín, High do týždňa, Medium v rámci šprintu, Low ako súčasť priebežnej údržby.

Práca s neúspešnou kontrolou

1. Prečítajte si vysvetlenie rizika

Pochopte, prečo je konfigurácia problémom, skôr než ju zmeníte. Niektoré kontroly majú kompromisy - napríklad blokovanie starej autentifikácie môže narušiť staršie zariadenia alebo aplikácie. Vedzte, čo meníte.

2. Skontrolujte podrobnosti

Pre compliance skeny každá neúspešná kontrola zobrazuje ID kontroly, názov a závažnosť. Rozbaľte riadok kontroly pre zobrazenie úplného popisu a krokov nápravy.

Pre exposure skeny každé neúspešné zistenie zobrazuje službu, ku ktorej patrí, úroveň rizika (HIGH alebo MED) a stav. Rozbaľte kartu pre zobrazenie pokynov na nápravu a odkazu na externú dokumentáciu.

3. Postupujte podľa krokov nápravy

Kroky nápravy sú poskytované v dvoch formách, kde je to relevantné:

Admin center (prehliadač): Podrobné pokyny cez rozhrania administrátorského centra Microsoft 365 alebo Azure.

PowerShell: Príkazy, ktoré môžete spustiť priamo, ak preferujete skriptovanie alebo potrebujete aplikovať zmeny hromadne.

Pro a Enterprise

Podrobné kroky nápravy sú dostupné na plánoch Pro a Enterprise. Používatelia plánu Free vidia výsledok kontroly a výzvu na upgrade pre úplné pokyny.

4. Aplikujte opravu

Vykonajte zmenu vo vašom Microsoft 365 tenante. Ak nápravu vykonávate v produkčnom prostredí, zvážte:

• Testovanie v testovacom tenante alebo s obmedzenou skupinou používateľov najprv
• Plánovanie zmien počas okna údržby
• Pripravenie plánu na návrat - väčšinu nastavení je možné vrátiť, ak sú používatelia postihnutí

5. Overte novým skenom

Po náprave spustite nový sken z dashboardu (tlačidlo Run Scan). Keď sa sken dokončí, otvorte výsledky a potvrďte, že kontrola teraz zobrazuje Passed alebo Secure.

TIP

Skeny trvajú 10 až 15 minút. Ak sú nastavené e-mailové správy, po dokončení dostanete e-mailovú notifikáciu.

Bežné nápravy

Povolenie MFA pre všetkých administrátorov

Kontrola: CIS.M365.1.1.1Kde: Microsoft Entra admin center > Users > Per-user MFA alebo Conditional Access

Najrýchlejší spôsob, ako vyžadovať MFA pre administrátorov, je cez politiku Conditional Access cielenú na adresárové role priradené administrátorským účtom. MFA na používateľa je zastarané a nevynucuje sa pri prihlásení.

Zákaz starej autentifikácie

Kontrola: CIS.M365.1.3.1Kde: Microsoft Entra admin center > Security > Conditional Access

Vytvorte politiku Conditional Access, ktorá blokuje prihlásenia používajúce staré autentifikačné protokoly (SMTP, IMAP, POP3, EWS). Stará autentifikácia obchádza MFA. Takmer všetci moderní klienti podporujú modernú autentifikáciu - overte pred blokovaním.

Povolenie zjednoteného auditného logu

Kontrola: CIS.M365.3.1.1Kde: Microsoft Purview compliance portal > Audit

Spustite v PowerShell:

Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Po povolení počítajte 30-60 minút, kým sa začnú zobrazovať auditné udalosti.

Povolenie auditu poštových schránok

Kontrola: CIS.M365.6.1.1Kde: Exchange Online PowerShell

Set-OrganizationConfig -AuditDisabled $false
Get-Mailbox -ResultSize Unlimited | Set-Mailbox -AuditEnabled $true

Blokovanie externej federácie Teams z nespravovaných domén

Kde: Microsoft Teams admin center > External access

Nastavte externý prístup na Allow specific external domains namiesto povolenia všetkých externých organizácií.

Sledovanie pokroku

Po šprinte náprav znovu spustite sken a skontrolujte graf časovej osi stavu na stránke Scans, aby ste videli trend vášho skóre v čase. Dashboard tiež zobrazuje indikátor zmeny (napr. +5 bodov) porovnávajúci posledný sken s predchádzajúcim.

Pre dokazovanie compliance použite tlačidlo Download na každej stránke s detailom skenu na export úplných správ, alebo exportujte výsledky ako CSV zo stránky Scans.

Pozrite Export výsledkov pre možnosti exportu cez API.