Preset a niestandardowe zasady ochrony przed phishingiem w Microsoft Defender for Office 365

By Mirko Peters · 2026-10-29

Dowiedz się, kiedy używać predefiniowanych, a kiedy niestandardowych zasad ochrony przed phishingiem w Microsoft Defender for Office 365, unikaj pułapek kolejności pierwszeństwa i zabezpiecz swoją dzierżawę w chmurze.

Automatically translated with AI from the original post. Read the English original

Wybór między predefiniowanymi zasadami zabezpieczeń a konfiguracjami niestandardowymi w Microsoft Defender for Office 365 decyduje o tym, jak skutecznie Twoja organizacja zatrzymuje ukierunkowane ataki phishingowe. Ten przewodnik omawia kolejność oceny zasad, ukryte pułapki pierwszeństwa oraz praktyczne ramy pozwalające ustalić, kiedy reguły niestandardowe są faktycznie uzasadnione ponad wbudowane zalecenia Microsoft.

Najważniejsze wnioski

• Microsoft ocenia zasady ochrony poczty e-mail w ścisłej kolejności z góry na dół: predefiniowane Ścisłe, predefiniowane Standardowe, zasady niestandardowe i na końcu wbudowana ochrona.
• Silnik oceny zatrzymuje się przy pierwszym dopasowaniu, co oznacza, że użytkownicy objęci zakresem zasad predefiniowanych całkowicie pominą wszelkie niestandardowe zasady ochrony przed phishingiem, które utworzysz.
• Predefiniowane zasady zabezpieczeń przejmują od Ciebie obciążenie związane z utrzymaniem i zarządzaniem dryfem zasad, dzięki czemu bazowa ochrona automatycznie aktualizuje się wobec nowych zagrożeń.
• Zasady niestandardowe generują duży nakład administracyjny, dlatego warto stosować je wyłącznie w uzasadnionych, udokumentowanych wyjątkach biznesowych.
• Użytkownicy wysokiego ryzyka, tacy jak kadra zarządzająca, pracownicy finansowi i administratorzy IT, powinni należeć do zakresów ścisłych zasad predefiniowanych, a nie do ręcznie tworzonych reguł izolacji.

Pułapka kolejności pierwszeństwa: dlaczego reguły niestandardowe zawodzą po cichu

Wielu administratorów zabezpieczeń poczty e-mail spędza dni na tworzeniu niestandardowych zasad ochrony przed phishingiem w portalu Microsoft Defender. Starannie dostrajają poziomy pewności phishingu, budują rozbudowane listy chronionych użytkowników i określają działania dla prób podszywania się. Portal pokazuje uspokajający status „Włączone”, a konfiguracja wygląda na poprawną na papierze. Mimo to zasada może nigdy nie zadziałać dla żadnego użytkownika.

Sedno problemu leży w tym, jak Microsoft 365 przetwarza nakładające się reguły. Silnik oceny nie łączy ustawień ani nie wybiera najbardziej restrykcyjnej reguły. Zamiast tego przechodzi przez sztywną hierarchię: najpierw oceniane są ścisłe zasady predefiniowane, następnie standardowe zasady predefiniowane, potem zasady niestandardowe, a na samym dole wbudowana ochrona. Gdy odbiorca pasuje do zasady wyżej w łańcuchu, ocena kończy się bezpowrotnie. Jeśli członkowie zespołu finansowego znajdują się w zakresie standardowych zasad predefiniowanych, Twoja niestandardowa reguła dla finansów jest całkowicie ignorowana. Nie pojawiają się żadne komunikaty o błędach ani alerty, co pozostawia niewidoczną lukę w zabezpieczeniach, którą atakujący mogą łatwo wykorzystać.

Zasady predefiniowane a niestandardowe: kompromis administracyjny

Zrozumienie zasadniczej różnicy między predefiniowanymi zasadami zabezpieczeń firmy Microsoft a niestandardowymi konfiguracjami dzierżawy jest kluczowe dla długoterminowego zarządzania architekturą chmury. Zasady predefiniowane (Standardowe i Ścisłe) reprezentują zbiorczą wiedzę zgromadzoną na milionach globalnych skrzynek pocztowych. Microsoft stale aktualizuje te ustawienia na podstawie telemetrii zagrożeń w czasie rzeczywistym, dzięki czemu korzystasz z obserwacji całej branży, których pojedyncze dzierżawy nie byłyby w stanie zgromadzić samodzielnie.

I odwrotnie: niestandardowe zasady to subiektywna ocena jednego administratora, zastosowana do jednej organizacji w określonym momencie. Niestandardowe reguły dają szczegółową kontrolę nad konkretnymi przepływami poczty lub unikalnymi wymaganiami biznesowymi, ale wiążą się z dużym nakładem na utrzymanie. Gdy wektory ataków ewoluują, niestandardowe zasady pozostają całkowicie statyczne. Bez dedykowanego cyklu przeglądów konfiguracje niestandardowe po cichu rozjeżdżają się z nowoczesnymi standardami bezpieczeństwa, tworząc luki, które po incydencie trudno zdiagnozować.

Kiedy niestandardowe zasady ochrony przed phishingiem są rzeczywiście uzasadnione?

Ponieważ zasady predefiniowane skutecznie obsługują zdecydowaną większość scenariuszy użytkowników, zasady niestandardowe powinny być traktowane jako wyjątki, a nie domyślna strategia wdrożenia. Aby uzasadnić stały nakład na utrzymanie reguły niestandardowej, zwykle musi ona pasować do jednej z trzech konkretnych kategorii operacyjnych:

• Ręcznie wybierane listy chronionych użytkowników: Jeśli organizacja wymaga ściśle określonej listy członków zarządu, dyrektorów lub osób zatwierdzających wydatki finansowe, objętych dostosowanymi progami podszywania się, zasady niestandardowe pozwalają zdefiniować dokładnie te nazwiska.
• Nietypowe przepływy poczty: Jednostki biznesowe, które regularnie otrzymują niestandardowe pliki z zewnątrz lub korzystają z wewnętrznych systemów automatycznych, często generujących fałszywe alarmy, mogą wymagać wąsko zakresowych reguł niestandardowych, aby zachować ciągłość działania.
• Zewnętrzne bramy poczty elektronicznej: Organizacje, które kierują pocztę przez zewnętrzną bramę zabezpieczeń przed usługą Microsoft 365, często obserwują zmienione szczegóły połączenia i wyniki uwierzytelniania, co wymaga specjalnej obsługi w parametrach zasad niestandardowych.

Jeśli motywacją do utworzenia reguły niestandardowej jest po prostu preferencja innych ustawień progowych albo mgliste przekonanie, że wartości domyślne są zbyt łagodne, zasady prawdopodobnie nie uzasadniają ich długoterminowego kosztu operacyjnego.

Podsumowanie i kolejne kroki

Zrównoważenie zautomatyzowanej inteligencji z ukierunkowanymi konfiguracjami niestandardowymi to cecha dojrzałej strategii bezpieczeństwa w chmurze. Polegając na zasadach predefiniowanych Microsoft dla szerokiej grupy pracowników i zarezerwowaniu reguł niestandardowych wyłącznie dla udokumentowanych wyjątków, ograniczasz obciążenie administracyjne i jednocześnie maksymalizujesz skuteczność wykrywania zagrożeń. Aby poznać bardziej szczegółowe strategie wdrożenia, pętle konfiguracji i metryki raportowania, posłuchaj pełnego odcinka podcastu M365 FM Podcast, w którym znajdziesz eksperckie wskazówki i praktyczne porady, jak dziś zoptymalizować swoją postawę bezpieczeństwa Microsoft 365.

Często zadawane pytania

Co się stanie, jeśli użytkownik jest uwzględniony zarówno w zasadach predefiniowanych, jak i w zasadach niestandardowych?

Silnik oceny Microsoft 365 przetwarza zasady w ściśle określonej kolejności, nadając pierwszeństwo zasadom predefiniowanym (najpierw Strict, potem Standard) przed zasadami niestandardowymi. Jeśli użytkownik pasuje do zasad predefiniowanych, system przestaje dalszą ocenę, a zasady niestandardowe są dla tego odbiorcy całkowicie pomijane.

Czy predefiniowane zasady zabezpieczeń firmy Microsoft aktualizują się automatycznie?

Tak. Zasady predefiniowane są utrzymywane bezpośrednio przez firmę Microsoft. Gdy krajobraz zagrożeń się zmienia i zalecane wartości bazowe ulegają modyfikacji, Microsoft automatycznie aktualizuje podstawowe ustawienia w predefiniowanych zasadach Standard i Strict, dzięki czemu administratorzy są zwolnieni z ręcznych cykli przeglądów.

Dlaczego użytkownicy o wysokim ryzyku, tacy jak członkowie zarządu, powinni być objęci rygorystycznymi zasadami predefiniowanymi, a nie regułami niestandardowymi?

Osoby na stanowiskach o wysokim ryzyku są głównymi celami wyrafinowanych ataków spear-phishingowych i podszywania się. Rygorystyczne zasady predefiniowane stosują agresywne progi ochrony, oparte na globalnej telemetrii Microsoft, zapewniając kompleksowe zabezpieczenie bez konieczności ręcznego utrzymywania złożonych list wyjątków niestandardowych przez administratorów.

Jak mogę sprawdzić, która zasada faktycznie obowiązuje w skrzynce pocztowej konkretnego użytkownika?

Skuteczne zasady możesz zweryfikować, korzystając z Analizatora konfiguracji w portalu Microsoft Defender lub uruchamiając zapytania zaawansowanego wyszukiwania (advanced hunting) na zdarzeniach poczty e-mail, aby prześledzić, które konkretne mechanizmy wykrywania i zasady zadziałały na przychodzące wiadomości danego użytkownika.