Microsoft Office 365 Advanced Threat Protection: Kompleksowy przegląd
W dzisiejszych czasach istnieje niezliczona ilość zagrożeń, które mogą doprowadzić do naruszenia bezpieczeństwa i wynikającej z tego utraty danych. W 2021 roku spam i e-maile phishingowe stanowiły najczęstszy sposób dostarczania oprogramowania wymuszającego okup zakażeń. Ręczne wykrywanie i powstrzymywanie złośliwych ataków jest zadaniem niemożliwym do wykonania. Jednak w przypadku aplikacji i usług Office 365 firma Microsoft oferuje pakiet narzędzi do wykrywania i reagowania, które automatyzują i upraszczają zapewnienie bezpieczeństwa.
Office 365 Advanced Threat Protection (ATP), który od września 2020 r. stał się Microsoft Defender dla Office 365, to zbiór narzędzi przeznaczonych do zapobiegania zagrożeniom internetowym. Różne zasady i reguły pozwalają chronić środowiska lokalne i w chmurze poprzez filtrowanie komunikacji przychodzącej i wychodzącej oraz weryfikację innych udostępnianych treści.
Czym jest usługa Advanced Threat Protection?
Usługa Office 365 Advanced Threat Protection (ATP) to oparta na chmurze usługa filtrowania służąca do zapobiegania cyberzagrożeniom i ich wykrywania. ATP może chronić Twoją organizację przed wirusami i innym złośliwym oprogramowaniem, w tym atakami typu zero-day, rozprzestrzeniającymi się za pośrednictwem usług Office 365. ATP może rozpoznawać najnowsze wirusy oraz niezidentyfikowane, złożone zagrożenia, które nie zostały jeszcze zbadane i nie mogą być wykryte nawet przez większość programów antywirusowych korzystających z najnowszych baz sygnatur wirusów.
Jak działa Office 365 Advanced Threat Protection
Office 365 Advanced Threat Protection opiera się na zasadach ochrony danych, które powinien skonfigurować administrator systemu. ATP filtruje dane, podejrzane zachowania i inne parametry na poziomie organizacji, domeny, użytkownika i odbiorcy.
Office 365 Advanced Threat Protection może współpracować z Ochrona Exchange Online (EOP) i Office 365 Threat Intelligence. Korzystanie z ATP w chmurze może odciążyć serwery pocztowe i systemy zabezpieczeń na serwerach pocztowych, lokalnie. Nie zaleca się wyłączania funkcji Office 365 Advanced Threat Protection, nawet jeśli korzystasz z innych narzędzi, takich jak EOP.
Advanced Threat Protection może chronić załączniki e-mailowe, linki oraz pliki przesyłane przez użytkowników do OneDrive dla Firm, SharePoint Online i Teams. Ponadto ATP może wykrywać linki do stron phishingowych, witryn z zamieszczonym złośliwym oprogramowaniem oraz obecność złośliwego kodu w pobranych/przesłanych plikach. Funkcje śledzenia adresów URL mogą pomóc w blokowaniu potencjalnych źródeł zagrożeń oraz zrozumieniu ich charakteru i pochodzenia.
Funkcje zaawansowanej ochrony przed zagrożeniami
Zaawansowana ochrona przed zagrożeniami w Office 365 zawiera wiele przydatnych funkcji służących do ochrony danych podczas korzystania z usług Office 365. Przyjrzyjmy się tym funkcjom bardziej szczegółowo.
Zasady
Zasady określają poziom ochrony i reakcję na zdefiniowane wcześniej zagrożenia, przy czym oba te elementy można ustawić na różnych poziomach. Zasady zapewniają elastyczne opcje, które może skonfigurować administrator systemu zarządzający Microsoft 365. Jako administrator systemu możesz określić, kogo dotyczą zasady i jak rygorystyczne mają one być.
Bezpieczne załączniki
Bezpieczne załączniki gwarantują, że pliki dołączone do wiadomości e-mail nie są złośliwe. Zapewniona jest ochrona typu zero-day w celu zabezpieczenia systemu poczty elektronicznej. Zanim wiadomość trafi do skrzynki pocztowej użytkownika, jest ona kierowana do specjalnego środowiska, gdzie pliki załączników są sprawdzane przy użyciu sygnatur wirusów, uczenia maszynowego oraz zaawansowanych technik analitycznych w celu wykrycia wirusów. Jeśli w załączniku wiadomości e-mail nie wykryto żadnych wirusów, wiadomość jest przekazywana do skrzynki pocztowej. Funkcja odpowiedzialna za bezpieczne załączniki nosi nazwę „sandboxingu załączników”.
Bezpieczne linki
Bezpieczne linki działają na zasadzie podobnej do bezpiecznych załączników. Ta funkcja sprawdza linki w wiadomościach e-mail i innych plikach, które są przesyłane/pobierane w środowisku Microsoft 365. Jeśli Microsoft 365 ATP wykryje, że link nie jest bezpieczny, wyświetlany jest komunikat ostrzegawczy (podobnie jak w przypadku plików do pobrania).
Można skonfigurować tę funkcję tak, aby przekierowywała użytkowników na stronę ostrzegawczą, jeśli użytkownik spróbuje kliknąć link wykryty jako złośliwy. System dynamicznie blokuje złośliwe linki. Funkcja Bezpieczne linki została zaktualizowana i obecnie nie zastępuje oryginalnego linku zmodyfikowanym linkiem do strony internetowej w chmurze Microsoft.
ATP dla SharePoint Online
ATP dla SharePoint Online chroni użytkowników współpracujących za pomocą witryn SharePoint Online i plików udostępnionych w organizacji. Ta funkcja wykrywa i blokuje podejrzane pliki w bibliotekach dokumentów i witrynach zespołów, w tym pliki przechowywane na OneDrive. Zidentyfikowana złośliwa zawartość jest blokowana. Użytkownicy nie mogą otwierać, kopiować, przenosić, edytować ani udostępniać zablokowanego pliku, który został sklasyfikowany jako złośliwy. Złośliwy plik można jedynie usunąć. Możliwość pobrania pliku zależy od konfiguracji.
Ochrona przed phishingiem
Po zdefiniowaniu zasad przeciwdziałania phishingowi wykorzystywane są samouczące się modele systemowe oparte na złożonych algorytmach, które automatycznie i szybko wykrywają ataki phishingowe. Funkcja analizy skrzynek pocztowych analizuje nawyki użytkowników związane z e-mailem i komunikacją oraz agreguje dane, aby pomóc w wykrywaniu prób phishingu w przyszłości. Te rygorystyczne środki utrudniają przeprowadzenie jakiegokolwiek ataku oszukańczego.
Kwarantanna
Niechciane i potencjalnie niebezpieczne pliki można przenieść do kwarantanny. Jako administrator systemu możesz ręcznie przywrócić lub usunąć dane znajdujące się w kwarantannie. W przeciwnym razie dane te zostaną usunięte po upływie skonfigurowanego okresu przechowywania. Jeśli korzystałeś z usługi Microsoft 365 Exchange Online Protection, prawdopodobnie znasz zasadę działania kwarantanny.
Spoof Intelligence
Hakerzy mogą wysyłać e-maile w imieniu jednego lub kilku kont, podszywając się pod nadawcę. Gdy użytkownik otrzyma taką „sfałszowaną” wiadomość e-mail, może ona wydawać się bezpieczna, jeśli nadawca poda w polu nadawcy imię i nazwisko przełożonego. Sfałszowana wiadomość e-mail, która może zawierać prośbę o przelanie pieniędzy, przesłanie danych uwierzytelniających lub złośliwe skrypty, nie jest bezpieczna i stanowi zagrożenie dla użytkowników oraz całej organizacji.
Usługa Office 365 Advanced Threat Protection zawiera funkcję Spoof Intelligence, która pozwala wykryć, czy nadawca używa prawdziwego imienia i nazwiska, czy też sfałszowanego. Można wyświetlić pełną listę użytkowników korzystających z określonej domeny firmowej oraz sprawdzić, kto podszywa się pod domenę organizacji lub dowolne domeny zewnętrzne. Jako administrator można zablokować nadawcę używającego nazwy domeny lub nazwy użytkownika podszywającego się pod pracownika organizacji.
Raporty
Usługa Office 365 Advanced Threat Protection zapewnia rozbudowane raporty, dzięki którym można sprawdzić stan ochrony i analizować nadchodzące zagrożenia. Raport to pojedynczy widok, który łączy informacje o wykrytych zagrożeniach, w tym złośliwych wiadomościach e-mail i innych złośliwych treściach. W raportach wyświetlane są zagrożenia wykryte przez usługę Office 365 Advanced Threat Protection i Exchange Online Protection. W raportach wyświetlane są informacje z ostatnich 90 dni (maksymalny okres, który można skonfigurować). Po przeanalizowaniu raportów można dostosować zasady.
Badanie zagrożeń i reagowanie na nie
Jeśli pracujesz w dużej firmie z wieloma użytkownikami Office 365, możesz czuć się przytłoczony dużą liczbą alertów bezpieczeństwa, którymi musisz się zająć. Sortowanie dużej liczby wiadomości e-mail na podstawie atrybutów jest czasochłonnym zadaniem. Analiza zagrożeń i reagowanie w usłudze Office 365 może pomóc w administracji systemem i w pracy specjalistów ds. bezpieczeństwa. Możesz przeglądać wykryte zagrożenia i konfigurować automatyczne działania w celu łagodzenia różnych rodzajów zagrożeń. Możesz tworzyć scenariusze zawierające odpowiednie działania dla wykrytych zagrożeń, a także przeglądać i zatwierdzać działania lub zalecenia sugerowane przez Office 365 Advanced Threat Protection po automatycznym dochodzeniu w celu usunięcia zagrożeń.
Licencjonowanie Microsoft 365
W przeciwieństwie do usługi Exchange Online Protection, która jest domyślnie dostępna dla użytkowników Microsoft 365, usługa Advanced Threat Protection jest dostępna w ramach najlepszych planów subskrypcyjnych lub można ją kupić osobno. Na przykład nawet plan Microsoft 365 E3 nie obejmuje zaawansowanej ochrony przed zagrożeniami.
Usługa Microsoft Office 365 Advanced Threat Protection jest zawarta w następujących planach subskrypcyjnych:
- Microsoft 365 E5
- Microsoft 365 A5
- Microsoft 365 Business Premium
Można jednak dokupić licencję na usługę Office 365 Advanced Threat Protection w ramach następujących planów subskrypcyjnych:
- Exchange Online Plan 1
- Exchange Online Plan 2
- Exchange Online Kiosk
- Exchange Online Protection
- Microsoft 365 Business Basic
- Microsoft 365 Business Standard
- Microsoft 365 Enterprise E1
- Microsoft 365 Enterprise E3
- Microsoft 365 Enterprise F3
- Microsoft 365 A1
- Microsoft 365 A3
Jeśli usługa Office 365 Advanced Threat Protection nie jest zawarta w Twoim planie subskrypcji, możesz kupić jeden z samodzielnych ATP planów subskrypcji, korzystając z modelu licencjonowania na użytkownika:
- Advanced Threat Protection Plan 1
- Advanced Threat Protection Plan 2
Konfiguracja Advanced Threat Protection
Aktualizacja: Office 365 Advanced Threat Protection zostało Microsoft Defender dla Office 365 we wrześniu 2020 r. Aby skonfigurować którąkolwiek z poniższych funkcji, należy przejść do Portal dla obrońców .
Przyjrzyjmy się, jak skonfigurować zaawansowaną ochronę przed zagrożeniami w Office 365:
- Otwórz interfejs internetowy Centrum administracyjne Microsoft 365 za pomocą linku https://admin.microsoft.com i przejdź do
Admin Centers > Securityw lewym panelu okna.
Alternatywnie możesz otworzyć bezpośredni link do centrum administracyjnego zgodności z zabezpieczeniami Microsoft 365 & : https://protection.office.com
- W lewym panelu kliknij
Threat manager, a następnie kliknijDashboard.
Pulpit nawigacyjny zabezpieczeń, zwany również pulpitem nawigacyjnym zagrożeń, wyświetla aktualny stan ochrony przed zagrożeniami oraz linki do stron konfiguracji.
Zasady ochrony przed złośliwym oprogramowaniem
Kliknij Policy w lewym panelu lub panelu nawigacyjnym, a pojawi się strona, na której można przeglądać, edytować i tworzyć zasady. Można skonfigurować zasady ochrony przed phishingiem, spamem i złośliwym oprogramowaniem. Przyjrzyjmy się, jak utworzyć nową zasadę ochrony przed złośliwym oprogramowaniem:
- Kliknij
Anti-malware.
- Na wyświetlonej stronie poświęconej oprogramowaniu antywirusowemu kliknij ikonę
+, aby utworzyć nową politykę antywirusową dla usługi Office 365 Advanced Threat Protection.
- Otworzy się nowe okno pop-up.
Wprowadź nazwę i opis zasady oraz zdefiniuj inne opcje zasady, takie jak:
- Reakcja na wykrycie złośliwego oprogramowania
- Filtr typowych typów załączników
- Automatyczne usuwanie złośliwego oprogramowania typu zero-hour
- Powiadomienia
Na koniec określ, do kogo ma zastosowanie ta zasada, i kliknij Save.
Zasada została utworzona i jest wyświetlana na liście zasad na stronie Malware.
Zasady antyphishingowe
Zasady antyphishingowe tworzy się nieco inaczej niż zasady antywirusowe:
- Przejdź do Zarządzanie zagrożeniami > Zasady i kliknij
Anti-phishing.
Otworzy się strona Anti-phishing . Jeśli otwierasz tę stronę po raz pierwszy, lista zasad antyphishingowych będzie pusta.
- Kliknij przycisk
+Create, aby utworzyć nową politykę antyphishingową dla usługi Office 365 Advanced Threat Protection.
- W oknie podręcznym otworzy się kreator nowej polityki. Wykonaj wszystkie kroki w kreatorze:
Name your policy. Wprowadź nazwę nowej polityki antyphishingowej. Możesz również wprowadzić opis.
Applied to.Zdefiniuj odbiorców lub domeny w organizacji, do których ta polityka będzie miała zastosowanie lub z których zostanie wykluczona, dodając warunki i wybierając odbiorców. Na przykład można zastosować zasadę do całej domeny, członkostwa w grupie lub kombinacji grup i domen. Następnie kliknijNext.
Review your settings.Sprawdź ustawienia i edytuj je w razie potrzeby. Jeśli wszystko jest poprawne, kliknijCreate this policy.
Kwarantanna
Wiadomości e-mail i pliki sklasyfikowane jako potencjalnie niebezpieczne są przenoszone do kwarantanny, jeśli dla usługi Office 365 Advanced Threat Protection zastosowano odpowiednie ustawienia. Przejdź do Treat management > Review > Quarantine , aby otworzyć kwarantannę. Możesz również skorzystać z tego bezpośredniego linku: https://protection.office.com/quarantine
Uwaga: Dostęp do kwarantanny ma administrator lub inny użytkownik posiadający uprawnienia do administracji kwarantanną. Uprawnienia do administracji kwarantanną mają członkowie roli Kwarantanna w Centrum zgodności Office 365 Security & . 
Na stronie „Kwarantanna” można sortować wyniki, klikając nagłówek odpowiedniej kolumny. Kliknij Modify Columns , aby wybrać kolumny, które mają być wyświetlane.
Raporty
Raporty są przydatne do przeglądania aktualnego stanu i statystyk środowiska Microsoft 365. W panelu nawigacyjnym centrum administracyjnego Office 365 Security & Compliance kliknij Reports > Dashboard , aby wyświetlić pulpit nawigacyjny z wykresami i diagramami.
Na tej stronie można zobaczyć podsumowanie zawierające:
- Najnowsze raporty do pobrania
- 5 najpopularniejszych etykiet
- Trendy dotyczące etykiet w ciągu ostatnich 90 dni
- Sposób stosowania etykiet
- Etykiety sklasyfikowane jako rekordy
- Reguła transportu Exchange
- Stan ochrony przed zagrożeniami
- Złośliwe oprogramowanie wykryte w wiadomościach e-mail
- Najpopularniejsze złośliwe oprogramowanie
- Najpopularniejsi nadawcy i odbiorcy
- Wykryte przypadki spoofingu
- Wykryte przypadki spamu
- Użytkownicy, których konta zostały przejęte
- Wysłane i otrzymane wiadomości e-mail
- Nadzór
- Raport dotyczący przekazywania
- Raport dotyczący łącznika
- Raport dotyczący szyfrowania
Najedź kursorem na wykres, aby wyświetlić więcej informacji. Kliknij potrzebny wykres lub diagram, aby otworzyć go w trybie pełnoekranowym i wyświetlić szczegóły. Po kliknięciu Spoof detectionswyświetlany jest szczegółowy raport dotyczący fałszywych wiadomości e-mail.
Domyślnie na wykresach i diagramach wyświetlany jest okres 7 dni, ale w ustawieniach można go wydłużyć do 90 dni. Użytkownicy korzystający z wersji próbnej usługi Microsoft 365 z funkcją Advanced Threat Protection mogą przeglądać dane z maksymalnie 30 dni w raportach.
Wnioski
Funkcja Advanced Threat Protection w Office 365 jest zintegrowana z innymi usługami Microsoft 365, takimi jak OneDrive, SharePoint Online, Exchange Online i inne. ATP pomaga chronić wiadomości e-mail przed różnymi zagrożeniami bezpieczeństwa, takimi jak szkodliwe linki, wirusy i złośliwe oprogramowanie.
Jednak aby osiągnąć wyższy poziom ochrony danych, należy wykonać kopię zapasową wszystkich danych Microsoft Office 365 za pomocą dedykowanego rozwiązania, takiego jak NAKIVO Backup & Replication. Rozwiązanie NAKIVO pozwala tworzyć przyrostowe kopie zapasowe danych Microsoft 365 i oferuje elastyczne przywracanie danych do określonego punktu w czasie.
