למה יומני הביקורת ברירת המחדל שלכם ב-M365 מסתירים שיתופים חיצוניים מסוכנים

By Mirko Peters · 2026-08-11

ברוכים השבים לבלוג! אם אתם מנהלים דייר של Microsoft 365, סביר להניח שאתם ישנים בשקט בלילה בתחושה שיומני הביקורת המובנים שומרים עליכם. אחרי הכול, Microsoft מספקת תכונות אבטחה וציות חזקות מהקופסה, נכון? לצערנו, כשמדובר בשיתוף חיצוני ב-SharePoint וב-OneDrive, הסתמכות על הגדרות ברירת המחדל היא מתכון לאסון. ארגונים רבים מניחים שמכיוון שהביקורת מופעלת, כל תנועת קובץ, כל כניסה של אורח וכל יצירת קישור נרש

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג! אם אתם מנהלים דייר של Microsoft 365, סביר להניח שאתם ישנים בשקט בלילה בתחושה שיומני הביקורת המובנים שומרים עליכם. אחרי הכול, Microsoft מספקת תכונות אבטחה וציות חזקות מהקופסה, נכון? לצערנו, כשמדובר בשיתוף חיצוני ב-SharePoint וב-OneDrive, הסתמכות על הגדרות ברירת המחדל היא מתכון לאסון. ארגונים רבים מניחים שמכיוון שהביקורת מופעלת, כל תנועת קובץ, כל כניסה של אורח וכל יצירת קישור נרשמים בצורה מאובטחת וקלים לבדיקה. במציאות, יומני הביקורת ברירת המחדל שלכם ב-M365 כנראה מסתירים פעילויות שיתוף חיצוני מסוכנות מול העיניים.

במדריך מקיף זה נשמט את הווילון מעל נקודות העיוורון של הביקורת ב-Microsoft 365, נבחן מדוע שמירה של 90 ימים כבר אינה מספיקה לצרכי ציות מודרניים, ונעבור איתכם צעד אחר צעד על התוכנית הטכנית המדויקת שנדרשת כדי להפוך זרם נתונים גולמי וקשה לניהול למודיעין אבטחה מדויק וברור לפעולה. בואו נצלול לעומק ונראה איך אפשר להפסיק לטוס בעיניים עצומות ולהחזיר שליטה מלאה על סביבת העבודה המשותפת שלכם.

למה יומני הביקורת ברירת המחדל שלכם ב-M365 מסתירים שיתופים חיצוניים מסוכנים

המלכודת הגדולה ביותר בניהול Microsoft 365 היא ההנחה שמצב "Audit Enabled" שווה לנראות מלאה. זה לא נכון. כברירת מחדל, הגדרות הדייר הסטנדרטיות משמיטות אירועים גרעיניים קריטיים, במיוחד בנוגע ליצירת קישורים אנונימיים, לשימוש של משתמשי אורח בקישורים ולאינטראקציות ספציפיות בגישה לקבצים. אם משתמש יוצר הרשאת "Anyone with the link" אנונימית על גיליון כספי רגיש, וגורם חיצוני מוריד אותו, שאילתת הביקורת הסטנדרטית שלכם עלולה לפספס לחלוטין את אירוע השימוש.

יתרה מזאת, שמירת יומני הביקורת הסטנדרטית מוגדרת כברירת מחדל ל-90 ימים בלבד. לרוב החקירות הפנימיות, בביקורות ציות ובמתקפות סייבר מתוחכמות שבהן זמן השהייה עולה על שלושה חודשים, היומנים האלה פשוט נעלמים ללא זכר. אם הנתון לא נרשם מלכתחילה, לא יעזור שום SIEM, שום סקריפט אוטומטי וששום חוקר פורנזי לא יוכל להציל אתכם. עליכם לתקן את כיסוי הביקורת הבסיסי לפני שתנסו כל אוטומציה או תזמור אבטחה בהמשך.

תקנו את בסיס הביקורת (הגדרות חובה)

לפני כתיבת שורת PowerShell אחת או הגדרת התראות, עליכם לחזק את תצורת הבסיס של הדייר. אלו הצעדים הנדרשים שעליכם לנקוט מיד:

• הפעילו ביקורת משופרת עבור SharePoint ו-OneDrive ברמת הדייר, באמצעות Exchange Online PowerShell או פורטל הציות של Microsoft Purview.
• ודאו במפורש שהרישום פעיל הן ליצירת קישורים והן לשימוש בהם, והקפידו במיוחד על קישורים אנונימיים ואורחים.
• הרחיבו את מדיניות שמירת יומני הביקורת הרבה מעבר ל-90 הימים ברירת המחדל, כדי לעמוד בתקני ציות מודרניים ובדרישות חקירה פנימיות (מומלץ 180 עד 365 ימים).
• סטנדרטизрו את מדיניות הקמת האתרים כך שאתרי SharePoint חדשים וקבוצות Microsoft 365 שנוצרים יירשו אוטומטית את הגדרות הביקורת המוקשחות, ללא התערבות ידנית.

מרעש לאות (PowerShell נכון)

אחרי שיומני הביקורת שלכם באמת לוכדים את הנתונים הנכונים, תבינו מהר מאוד דבר נוסף: זרם הביקורת הגולמי מחריש אוזניים. שליפת יומנים גולמיים מניבה אלפי אירועים שגרתיים שיוצרים עייפות תפעולית עצומה. כדי להפוך את הנתונים לשימושיים, יש לבצע שאילתות ממוקדות ולהעשיר כל שורת נתונים בנפרד.

מקדו את השאילתות שלכם באירועים בסיכון גבוה כגון SharingCreated, SharingSet, AnonymousLinkCreated, AnonymousLinkUsed ו-AccessRequestApproved. לאחר מכן, העשירו כל שורה בהקשר חיוני:

• סיווג דומיין יעד: סווגו באופן אוטומטי דומיינים לשותפים עסקיים, דומיינים פנימיים או דומיינים פרטיים/צרכניים (כמו gmail.com, yahoo.com או outlook.com).
• רגישות הקובץ והקשר המאגר: מפו את תווית הרגישות של Microsoft Purview שמוצמדת לקובץ המושפע, ואת האתר או מאגר OneDrive האב שלו.
• הקשר סיכון של המשתמש הפועל: הצליבו את המשתמש שביצע את הפעולה מול מערכות משאבי אנוש או זהות, כדי לסמן עובדים שעומדים לעזוב, אנשי VIP או חשבונות שנפרצו.

במקום להסתמך על הערכות סובייקטיביות, החילו כללים קפדניים: תווית רגישות על קובץ בשילוב עם דומיין אישי חיצוני שווה לסיכון HIGH מיידי. הפיקו שני פלטים נפרדים: "תור פעולות" של 10 עד 50 שורות הדורשות בדיקה אנושית, ו"יומן ראיות" מנורמל במלואו עבור ה-SIEM או כלי ה-BI שלכם.

התראות בזמן אמת שבאמת עובדות

הניחו לאסטרטגיה של "התראה על כל השיתופים החיצוניים". היא מלמדת את צוות ה-SecOps להתעלם מהתראות בשל נפחן העצום. במקום זאת, בנו מטריצת מדיניות התראות מרובת שכבות:

• הפעילו התראה מיידית ל-SecOps בכל פעם שקובץ בעל תווית רגישות משותף עם נמען חיצוני שאינו ברשימת השותפים המאושרים מראש שלכם.
• אם נוצר קישור אנונימי לקובץ רגיש, הפעילו התראה ובו בזמן הפעילו סקריפט אוטומטי שמבטל את תוקף הקישור.
• עקבו אחר קצב חריג, כגון נפח גבוה של שיתופים חיצוניים שבוצעו על ידי משתמש יחיד בחלון זמן קצר, והפעילו הגבלת קצב זמנית יחד עם הודעה.

שלבו תמיד תקופות צינון ומנגנוני דה-דופליקציה כדי למנוע עייפות מהתראות. נתבו את ההתראות ישירות לתור כרטיסים ממוקד או לערוץ SecOps ייעודי, שבו מוגדרים בעלים ברורים, playbooks וקישורי החזרה בלחיצה אחת.

הרחבה לארגון גדול

סקריפטים ידניים וייצוא CSV שבועי יתפרקו במהירות ברגע שהארגון יגדל מעבר למספר מאות משתמשים. כדי לבנות מנוע ניטור ארגוני עמיד, תזדקקו לשלד אוטומציה חזק המבוסס על Azure Automation או Azure Logic Apps, שמריצים דלתאות מתגלגלות של 7 ימים לצד השלמות חודשיות לאחור.

הטמיעו פאג'ינציה ונקודות שמירה מחמירות כדי להמשיך בצורה חלקה מהסמן האחרון ולטפל בהגבלות קצב של ה-API (שגיאות HTTP 429) בצורה נקייה. ודאו שהאוטומציה שלכם מגלה באופן רציף אתרים חדשים שנוצרו ומחילה אוטומטית את כללי הביקורת והתיוג הבסיסיים שלכם. לבסוף, נטרו את בריאות צינור הנתונים: הגדירו התראות אוטומטיות אם נפח האירועים הצפוי יורד לפתע, דבר שמעיד על תקלה בצינור הטמעת הביקורת.

תוצאות מהירות לשבוע הזה

אם אתם צריכים להציג לצוות ההנהלה צמצום סיכונים מיידי, טפלו בתוצאות המהירות הבאות בימים הקרובים:

• הפעילו רישום שימוש בקישורים אנונימיים והארכו את תקופת השמירה בפורטל Purview.
• בנו רשימת חסימה בסיסית של "דומיינים אישיים" לסימון ספקי דוא"ל חינמיים כמו Gmail, Yahoo ו-Hotmail.
• החילו תוויות רגישות על ספריות המסמכים של הכספים וה-HR, וחסמו יצירת קישורים אנונימיים באמצעות מדיניות.
• שלחו דוח שבועי של "10 השיתופים המסוכנים ביותר" להנהלת IT, הכולל בעלי קבצים וקישורי ביטול בלחיצה אחת.
• צרו כלל לזיהוי פרצי פעילות עבור משתמשים שמבצעים חמישה שיתופים חיצוניים או יותר בתוך 10 דקות.

תוכנית פריסה של 30 יום (סקירה כללית)

כדי לשמור על יישום מובנה וניתן לניהול, פעלו לפי מפת הדרכים המדורגת הבאה לפריסה של 30 יום:

• שבוע 1: החמרת מדיניות הביקורת, הארכת תקופת השמירה, יצירת ייצואי בסיס והגדרת רשימות ההרשאה והחסימה של הדומיינים.
• שבוע 2: הטמעת סקריפטים של PowerShell להעשרת נתונים עבור תוויות רגישות ודומיינים, בניית מטריצות דירוג סיכונים והקמת תור הפעולות לטריאז'.
• שבוע 3: פריסת כללי התראה בזמן אמת הכוללים דה-דופליקציה, תקופות צינון וביטול אוטומטי של תוקף קישורים עבור חשיפות בסיכון גבוה.
• שבוע 4: הרחבת האוטומציה באמצעות Azure Automation או Logic Apps, בניית לוחות מחוונים ניהוליים ב-Power BI וסיום ה-playbooks התפעוליים.

מדדי KPI לנהלים וצוותי התפעול

כדי למדוד את ההצלחה המתמשכת של תוכנית ממשל השיתוף החיצוני שלכם, עקבו אחר מדדי הביצוע המרכזיים הבאים:

• מהירות חשיפה חיצונית: מספר הקישורים החיצוניים החדשים שנוצרים ביום, מפולחים לפי אתר, תווית רגישות ודומיין יעד.
• שיעור דליפת מידע רגיש: תדירות השיתוף של קבצים בעלי תווית רגישות לדומיינים לא מאושרים שאינם של שותפים.
• זמן מהסיכון עד הביטול: הזמן הממוצע שחולף מהרגע שבו מתרחש שיתוף מסוכן ועד לרגע שבו הגישה מבוטלת בהצלחה.
• חריגות פרץ: תדירות המשתמשים שחורגים מסף השיתוף המוגדר.
• כיסוי ביטול אוטומטי: אחוז הקישורים המסוכנים שפגה תוקפם או נחסמו אוטומטית על ידי מדיניות.

טעויות נפוצות שכדאי להימנע מהן

בזמן בניית אסטרטגיית הביקורת והתיקון שלכם, הקפידו להימנע מהטעויות הנפוצות הבאות:

• הסתמכות עיוורת על תצורות ביקורת ברירת המחדל ועל חלון השמירה הסטנדרטי של 90 יום.
• פריסת סקריפטים של "ייצוא הכול" שחסרה להם העשרת הקשר הולמת או תורי מיון.
• יצירת כללי "התראה על הכול" רחבים מדי, שמאמנים את צוות האבטחה להתעלם מההתראות.
• הטמעת רשימות אתרים סטטיות בקוד במקום לגלות מרחבי שיתוף חדשים באופן דינמי.
• התייחסות לממשל כאל פרויקט ניקוי חד-פעמי ולא כתהליך אוטומטי ושוטף.

ספרי הפעלה שכדאי שיהיו בהישג יד

הצטיידו את צוותי שולחן העזרה והאבטחה בספרי הפעלה ברורים וחוזרים על עצמם לתגובה לאירועים:

• ביטול והודעה לגורם חיצוני: ביטול מיידי של קישור השיתוף הבלתי מורשה, הודעה לבעל הקובץ באמצעות התראה אוטומטית, ודרישה לשיתוף מחדש אך ורק דרך דומיינים של שותפים מורשים.
• סריקת עובדים שעוזבים: איתור כל השיתופים ב-OneDrive הקשורים למשתמש שנמצא בתהליך עזיבה, ביטול אוטומטי של גישה שניתנה לדומיינים צרכניים אישיים, והעברת הבעלות למנהל הישיר.
• מעקב VIP: החמרת ספי החריגה, קיצור תוקף הקישורים והתראה מיידית על כל פעילות הנוגעת לתוכן ברמה ניהולית בכירה.

לסיכום

לראות, לדרג, לעצור. קודם עליכם לתקן את יסודות הביקורת, להעשיר אירועי גלם בהקשר עסקי משמעותי, להתריע בחוכמה בלי ליצור רעש, ולהפוך הכול לאוטומטי כדי להגיע להיקף ארגוני אמיתי. כך שומרים על שיתוף פעולה עסקי מהיר, זורם ומאובטח, ושומרים על הנתונים העסקיים הרגישים בבטחה בתוך החומות.

כדי ללמוד עוד על נעילת הדייר שלכם ועל איתור חשיפות לפני שהן הופכות לאסון, כדאי לצפות בפרק הפודקאסט הקשור: Detect Risky SharePoint and OneDrive External Sharing. אנחנו מרחיבים על האסטרטגיות האלה כדי לעזור לכם להפוך למומחים ל-M365 מבחינת אבטחה!