Dlaczego podejście „ustaw i zapomnij” zawodzi: Microsoft Defender jako system, który wymaga ciągłej opieki

By Mirko Peters · 2026-08-11

Automatically translated with AI from the original post. Read the English original

Titelbild: Why 'Set-and-Forget' Fails: Treating Microsoft Defender as a Living System

Witamy ponownie w podcaście i w naszych bieżących szczegółowych omówieniach dotyczących zabezpieczania środowiska chmurowego. Jeśli kiedykolwiek czułeś(-aś) ten nieprzyjemny ścisk w żołądku, gdy wyrafinowana wiadomość phishingowa trafia prosto do skrzynki odbiorczej użytkownika, mimo włączonych zabezpieczeń Microsoft 365, to z pewnością nie jesteś sam. Zbyt wiele organizacji traktuje Microsoft Defender for Office 365 jak formalność. Włączają go, zostawiają ustawienia domyślne i na tym kończą, zakładając, że za kulisami wszystko załatwiają giganci chmury. Niestety, właśnie takie nastawienie „ustaw i zapomnij” jest tym, na czym polegają współcześni atakujący, aby ominąć twoje zabezpieczenia.

Domyślne ustawienia zabezpieczeń w Microsoft 365 są jedynie punktem wyjścia, a nie kompletną ochroną. Aby skutecznie chronić organizację przed ewoluującymi atakami phishingowymi, kompromitacją poczty biznesowej (BEC) i złośliwymi załącznikami, potrzebujesz ciągłego dostrajania, regularnych przeglądów i aktywnych pętli sprzężenia zwrotnego. Aby poszerzyć te zagadnienia i posłuchać szczegółowej dyskusji na temat dostrajania środowiska, koniecznie posłuchaj powiązanego odcinka: Tune Microsoft Defender for Office 365 Against Phishing. W tym wpisie wyjaśnimy, jak naprawdę działa potok zabezpieczeń, odkryjemy ukryte pułapki konfiguracyjne i przedstawimy sprawdzony plan wzmocnienia obrony bez zakłócania działalności firmy.

Czego się dowiesz

Jak funkcje Safe Links, Safe Attachments, uczenie maszynowe ochrony przed phishingiem oraz reguły transportu współdziałają w ramach przepływu wiadomości e-mail.
Ukryte luki i martwe punkty, przez które nadal przenikają ukierunkowane kampanie phishingowe.
Najczęstsze pułapki konfiguracyjne, w które wpadają administratorzy, i sposoby, jak można ich aktywnie unikać.
Krok po kroku opisany plan, dzięki któremu Defender będzie bardzo skuteczny, nie zakłócając normalnych procesów poczty e-mail w firmie.

Wewnątrz potoku: gdzie wiadomości są zatrzymywane, a gdzie się przedostają

Aby zrozumieć, dlaczego domyślne konfiguracje zawodzą, musimy najpierw zajrzeć pod maskę i sprawdzić, jak Microsoft Defender przetwarza przychodzącą wiadomość e-mail. Nie jest to pojedyncza brama, lecz wielowarstwowy potok zabezpieczeń. Jeśli te warstwy nie są skonfigurowane tak, by ze sobą współpracować, i właściwie dostrojone, wiadomości mogą przeniknąć przez szczeliny.

Safe Links: Ta funkcja przepisuje adresy URL w przychodzących wiadomościach i sprawdza je w momencie kliknięcia, nawet dni po dostarczeniu wiadomości. Jednak źle zakresowane zasady lub zbyt agresywne blokowanie mogą łatwo uniemożliwić działanie uprawnionym linkom używanym przez zespoły marketingu czy platformy ankietowe, co prowadzi do ogromnej presji wewnętrznej, by całkowicie złagodzić ograniczenia.
Safe Attachments (ATP): Ten składnik uruchamia pliki w bezpiecznej chmurowej piaskownicy, zanim dotrą do użytkownika. Jeśli jest skonfigurowany w trybie monitorowania zamiast blokowania lub dynamicznego dostarczania, zagrożenia są jedynie rejestrowane, a nie zatrzymywane. Oznacza to, że użytkownicy otrzymują złośliwe ładunki, a zespół bezpieczeństwa dostaje alert dopiero po fakcie.
Anti-Phishing: Ta warstwa, wykorzystująca zaawansowane uczenie maszynowe w połączeniu z ochroną przed podszywaniem się, chroni przed podszywaniem się pod nazwę wyświetlaną, domenami o podobnym wyglądzie oraz anomalnymi zachowaniami nadawców. Źle dostrojone progi mogą prowadzić do irytujących fałszywych alarmów dotyczących uprawnionych partnerów zewnętrznych albo do całkowitego przeoczenia ukierunkowanych podszyć pod VIP-ów.
Reguły transportu: Reguły przepływu poczty mają niebezpieczną moc, mogą całkowicie ominąć ochronę albo nieświadomie filtrować wiadomości dwukrotnie. Dodawanie na białą listę całych domen partnerów za pomocą reguł transportu często tworzy ogromne martwe punkty, które atakujący chętnie wykorzystują.

Pułapki konfiguracyjne, których warto unikać

Wiele organizacji nieumyślnie osłabia własne zabezpieczenia, wpadając w typowe pułapki konfiguracyjne. Rozpoznanie tych błędów to pierwszy krok do zbudowania odpornej architektury obrony poczty e-mail.

Globalne zasady typu „jeden rozmiar dla wszystkich”: Zespół finansowy i kierownictwo nie mają takiego samego profilu ryzyka jak dział marketingu czy pracownicy ogólni. Brak zasad opartych na rolach pozostawia najcenniejsze cele słabiej chronione.
Safe Attachments w trybie tylko monitorowania: Alerty mogą się uruchamiać, ale użytkownicy nadal otrzymują niebezpieczny ładunek. Musisz przejść na Dynamic Delivery oraz rygorystyczne zasady blokowania.
Listy dozwolonych nadawców w regułach transportu: Nigdy nie omijaj programu Defender całkowicie dla całych domen. Zamiast tego stosuj mechanizmy zaufanych nadawców, zachowując aktywność silników skanujących.
Niedostrojona ochrona przed podszywaniem się: Jeśli aktywnie nie chronisz kadry kierowniczej, zespołu finansowego i pracowników działu rozrachunków z dostawcami przed podszywaniem się pod nazwę wyświetlaną i domenę, bezpośrednio zapraszasz do phishingu związanego z oszustwami przelewowymi.
Ustawienia domyślne na zawsze: Modele uczenia maszynowego wymagają pętli sprzężenia zwrotnego z udziałem człowieka oraz okresowego dostrajania progów. Ustawienia domyślne po instalacji to jedynie punkt wyjścia.
Brak sprzężenia zwrotnego i cyklu przeglądów: Gdy fałszywe alarmy i fałszywe negatywy nigdy nie są korygowane, modele tracą trafność, a użytkownicy szybko przestają ufać narzędziom bezpieczeństwa.

Sprawdzony plan działania (warstwowy i uwzględniający potrzeby biznesowe)

Budowa bezpiecznego środowiska wymaga strategicznego podejścia, które równoważy solidną ochronę z produktywnością biznesową. Oto, jak można zbudować warstwową postawę bezpieczeństwa uwzględniającą potrzeby biznesowe.

1) Projektowanie zasad według grup ryzyka

Finanse i kadra kierownicza:

Safe Links: włączone, z weryfikacją w momencie kliknięcia, blokowaniem nieznanych linków i skanowaniem w czasie rzeczywistym we wszystkich aplikacjach pakietu Office oraz w usłudze Microsoft Teams.
Safe Attachments: skonfigurowane do trybu Dynamic Delivery oraz Block.
Anti-Phishing: ustawione na wysoką ochronę, z rygorystyczną ochroną przed podszywaniem się dla VIP-ów, domen wewnętrznych i znanych sobowtórów domen dostawców.

Ogólni pracownicy:

Safe Links: włączone, z zachowaniem przepisywania adresów URL oraz jasnym procesem zgłaszania i wysyłania do analizy w przypadku uzasadnionych fałszywych alarmów.
Safe Attachments: Dynamic Delivery oraz Block.
Anti-Phishing: standardowa ochrona połączona z ciągłym zgłaszaniem przez użytkowników i szkoleniami z uświadamiania zagrożeń.

Marketing i operacje z przepływami pracy opartymi na linkach:

Safe Links: włączone, z starannie dostrojonymi wyjątkami dla zweryfikowanych platform, bez żadnego globalnego pomijania na poziomie całej organizacji.
Safe Attachments: Dynamic Delivery.
Dodaj szybką, uporządkowaną ścieżkę przeglądu zablokowanych linków kampanii za pośrednictwem udostępnionej skrzynki pocztowej lub kolejki zespołu SecOps.

2) Wymuszaj, a nie tylko obserwuj

Przejdź od pasywnej obserwacji do aktywnego egzekwowania. Ustaw Safe Attachments na Block lub Replace z użyciem Dynamic Delivery. W zasadach anti-phishing kieruj wiadomości o wysokim poziomie pewności phishingu prosto do kwarantanny, zagrożenia o średnim poziomie pewności wysyłaj do folderu Wiadomości-śmieci, a elementy o niskim poziomie pewności dostarczaj tylko z oznaczeniem bezpieczeństwa.

3) Zabezpiecz ścieżki omijania

Przeprowadź audyt wszystkich reguł transportu w dzierżawie pod kątem warunków omijających filtry spamu, złośliwego oprogramowania lub phishingu. Zastąp szerokie reguły omijania na poziomie domeny odpowiednio zdefiniowanymi zaufanymi nadawcami, zachowując włączone skanowanie w tle. Dodatkowo utrzymuj ścisłą kontrolę nad automatycznym przekazywaniem wiadomości e-mail na adresy zewnętrzne.

4) Sprzężenie zwrotne i monitorowanie

Ustal regularny rytm pracy operacyjnej. Co tydzień przeglądaj dzienniki kwarantanny, zgłoszenia fałszywych alarmów i fałszywych negatywów, dane usługi Threat Explorer oraz śledzenia wiadomości. Szkol użytkowników, aby aktywnie korzystali z dodatku Report Message, dzięki czemu Centrum operacji bezpieczeństwa (SOC) może przekazywać te zgłoszenia z powrotem do list dozwolonych i blokowanych, trenując modele uczenia maszynowego.

5) Pamięć mięśniowa reagowania na incydenty

Gdy wiadomość phishingowa nieuchronnie trafi do skrzynki odbiorczej, zespół musi działać szybko i precyzyjnie. Wyszukaj podobne wiadomości w całej organizacji za pomocą Threat Explorer, wykonaj masowe usunięcia, wymuś resetowanie poświadczeń, jeśli kliknięto link, sprawdź zgody aplikacji OAuth i dodaj domenę sprawcy do aktywnych list obserwowanych.

Szybka lista kontrolna konfiguracji

Zanim zakończysz audyt, przejdź przez tę krótką listę kontrolną, aby upewnić się, że środowisko Microsoft Defender for Office 365 jest odpowiednio zabezpieczone:

Safe Links włączone dla poczty e-mail, aplikacji pakietu Office i usługi Teams, z włączoną ochroną w momencie kliknięcia.
Safe Attachments ustawione na Dynamic Delivery oraz Block/Replace (bez trybu Monitor).
Anti-Phishing skonfigurowane z ochroną przed podszywaniem się dla VIP-ów, działu finansów, działu rozrachunków z dostawcami oraz domen wewnętrznych.
Zero reguł transportu omijających filtry na poziomie całej domeny; zastąpione zaufanymi nadawcami o ograniczonym zakresie i aktywnym skanowaniem.
Zasady oparte na rolach ustanowione dla kadry kierowniczej, finansów, ogólnych pracowników i marketingu, z odrębnymi progami ryzyka.
Dodatek do zgłaszania przez użytkowników wdrożony na urządzeniach końcowych i aktywnie monitorowany.
Ustawiono cykliczny tygodniowy przegląd w narzędziach Threat Explorer, Quarantine, False Positives/Negatives oraz Message Trace.
Udokumentowano i przetestowano procedury operacyjne (runbooki) dla usuwania phishingu z skrzynek pocztowych, czyszczenia wiadomości oraz reagowania na podszywanie się dostawców.

Traktowanie Microsoft Defender jako żywego, stale rozwijającego się systemu, a nie statycznej listy kontrolnej, zmienia Twoje podejście do bezpieczeństwa z reaktywnego na proaktywne. Aby zgłębić te strategie, posłuchaj pełnej dyskusji w podcaście, odwiedzając stronę Tune Microsoft Defender for Office 365 Against Phishing. Zachowaj bezpieczeństwo, stale dostrajaj swoje zasady i do usłyszenia w kolejnym odcinku!