Почему стандартные журналы аудита Microsoft 365 скрывают опасный внешний обмен файлами

By Mirko Peters · 2026-08-11

Добро пожаловать обратно в блог! Если вы управляете клиентом Microsoft 365, вероятно, вы спокойно спите по ночам, полагая, что встроенные журналы аудита вас прикроют. Ведь Microsoft предоставляет надёжные функции безопасности и соответствия требованиям прямо из коробки, верно? К сожалению, когда речь идёт о внешнем общем доступе в SharePoint и OneDrive, полагаться на параметры по умолчанию — верны

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно в блог! Если вы управляете клиентом Microsoft 365, вероятно, вы спокойно спите по ночам, полагая, что встроенные журналы аудита вас прикроют. Ведь Microsoft предоставляет надёжные функции безопасности и соответствия требованиям прямо из коробки, верно? К сожалению, когда речь идёт о внешнем общем доступе в SharePoint и OneDrive, полагаться на параметры по умолчанию — верный путь к катастрофе. Организации часто исходят из того, что раз аудит включён, каждое перемещение файла, вход гостя и создание ссылки надёжно отслеживаются и легко поддаются проверке. На деле же ваши стандартные журналы аудита Microsoft 365, скорее всего, скрывают опасные действия по внешнему обмену прямо у вас на виду.

В этом подробном руководстве мы заглянем за кулисы слепых зон аудита Microsoft 365, разберём, почему 90-дневного хранения уже недостаточно для современного соответствия требованиям, и пройдём по конкретному техническому плану, который превращает необработанный, неуправляемый поток данных в точную, применимую аналитику безопасности. Давайте глубоко разберём, как перестать действовать вслепую и вернуть полный контроль над средой совместной работы.

Почему стандартные журналы аудита Microsoft 365 скрывают опасный внешний обмен файлами

Самая большая ловушка в администрировании Microsoft 365 — считать, что статус «Аудит включён» означает полную видимость. Это не так. По умолчанию стандартные параметры клиента не фиксируют важные детализированные события, особенно связанные с созданием анонимных ссылок, использованием ссылок гостевыми пользователями и отдельными операциями доступа к файлам. Если пользователь создаёт анонимное разрешение «Любой, у кого есть ссылка» для чувствительной финансовой таблицы, а внешний злоумышленник её скачивает, ваш стандартный готовый поисковый запрос аудита может полностью пропустить это событие использования.

Кроме того, стандартный срок хранения журналов аудита составляет скромные 90 дней. Для большинства внутренних расследований, проверок соответствия и сложных кибератак, при которых время пребывания злоумышленника в системе превышает три месяца, эти журналы просто исчезают без следа. Если данные изначально не были записаны, ни SIEM, ни автоматизированный скрипт, ни криминалист-эксперт уже не помогут. Прежде чем приступать к любой последующей автоматизации или оркестрации безопасности, необходимо исправить базовое покрытие аудита.

Исправьте основу аудита (обязательные настройки)

Прежде чем писать хотя бы строку PowerShell или настраивать оповещения, нужно укрепить базовую конфигурацию клиента. Вот обязательные шаги, которые необходимо выполнить незамедлительно:

• Включите расширенный аудит для SharePoint и OneDrive на уровне клиента с помощью Exchange Online PowerShell или портала соответствия Microsoft Purview.
• Явно убедитесь, что логирование активно как для создания ссылок, так и для их использования, уделяя особое внимание анонимным и гостевым ссылкам.
• Значительно увеличьте срок хранения журналов аудита, выйдя за пределы стандартных 90 дней, чтобы соответствовать современным системам требований к соответствию и потребностям внутренних расследований (рекомендуется от 180 до 365 дней).
• Стандартизируйте политики подготовки сайтов, чтобы новые сайты SharePoint и группы Microsoft 365 автоматически наследовали эти укреплённые настройки аудита без ручного вмешательства.

Превращаем шум в сигнал (PowerShell на практике)

Как только журналы аудита начнут фиксировать нужные данные, вы быстро поймёте другое: необработанный поток аудита оглушает. Выгрузка сырых журналов даёт тысячи рутинных событий, которые создают серьёзную операционную усталость. Чтобы сделать эти данные полезными, нужно выполнять целенаправленные запросы и обогащать каждую строку данных.

Сосредоточьте запросы на событиях повышенного риска, таких как SharingCreated, SharingSet, AnonymousLinkCreated, AnonymousLinkUsed и AccessRequestApproved. Затем обогатите каждую строку важным контекстом:

• Классификация домена назначения: автоматически относите домены к корпоративным партнёрам, внутренним доменам или личным/потребительским доменам (например, gmail.com, yahoo.com или outlook.com).
• Контекст файла по чувствительности и контейнера: сопоставляйте метку конфиденциальности Microsoft Purview, назначенную файлу, и родительский сайт или контейнер OneDrive.
• Контекст риска действующего лица: сверяйте пользователя, выполнившего действие, с системами кадров или учётных записей, чтобы отмечать увольняющихся сотрудников, VIP-пользователей или скомпрометированные учётные записи.

Вместо опоры на субъективные догадки применяйте строгие правила: метка конфиденциальности на файле в сочетании с внешним персональным доменом сразу означает ВЫСОКИЙ риск. Результаты выведите в два отдельных артефакта: «очередь действий» из 10–50 строк, требующих проверки человеком, и полностью нормализованный «журнал доказательств» для ваших SIEM- или BI-инструментов.

Оповещения в реальном времени, которые действительно работают

Откажитесь от стратегии «оповещать обо всех внешних общих доступах», которая приучает команду операций безопасности игнорировать оповещения из-за их огромного количества. Вместо этого постройте многоуровневую матрицу политик оповещений:

• Немедленно отправляйте оповещение SecOps каждый раз, когда файл с меткой конфиденциальности предоставляется внешнему получателю, не входящему в предварительно утверждённый список партнёров.
• Если для файла с конфиденциальными данными создаётся анонимная ссылка, отправьте оповещение и одновременно запустите автоматический скрипт, который отзовёт эту ссылку.
• Следите за необычной интенсивностью, например, за большим количеством внешних общих доступов, выполненных одним пользователем за короткий промежуток времени, и в этом случае включайте временное ограничение с уведомлением.

Всегда используйте периоды охлаждения и механизмы дедупликации, чтобы предотвратить утомление от оповещений. Направляйте оповещения непосредственно в целевую очередь заявок или выделенный канал SecOps, где есть понятные ответственные, плейбуки и ссылки для отката в один клик.

Масштабирование на уровень предприятия

Ручные скрипты и еженедельные выгрузки CSV быстро перестанут работать, как только организация перерастёт несколько сотен пользователей. Чтобы построить устойчивый корпоративный механизм мониторинга, вам нужна надёжная автоматизационная основа на базе Azure Automation или Azure Logic Apps, которая обрабатывает скользящие семидневные дельты и ежемесячные догрузки данных.

Внедрите строгую пагинацию и контрольные точки, чтобы корректно возобновлять работу с последнего курсора и аккуратно обрабатывать ограничение частоты запросов API (ошибки HTTP 429). Убедитесь, что автоматизация постоянно обнаруживает новые созданные сайты и автоматически применяет к ним базовые правила аудита и маркировки. Наконец, контролируйте работоспособность конвейера: настройте автоматические оповещения, если ожидаемый объём событий внезапно упадёт, что будет указывать на поломку конвейера приёма данных аудита.

Быстрые победы на этой неделе

Если нужно быстро показать руководству снижение рисков, займитесь этими быстрыми победами в ближайшие несколько дней:

• Включите журналирование использования анонимных ссылок и продлите срок хранения в портале Purview.
• Создайте базовый список запрещённых «персональных доменов», чтобы помечать бесплатные почтовые сервисы, такие как Gmail, Yahoo и Hotmail.
• Примените метки конфиденциальности к библиотекам документов финансового отдела и отдела кадров и запретите политикой создание анонимных ссылок.
• Отправляйте руководству ИТ еженедельный дайджест «Топ-10 рискованных общих доступов» с указанием владельцев файлов и ссылками для отзыва доступа в один клик.
• Создайте правило обнаружения всплесков для пользователей, которые выполняют пять и более внешних общих доступов за 10 минут.

План внедрения на 30 дней (обзор)

Чтобы сделать внедрение структурированным и управляемым, следуйте этому поэтапному плану на 30 дней:

• Неделя 1: Усиление политик аудита, продление хранения, создание базовых выгрузок и определение списков разрешённых и запрещённых доменов.
• Неделя 2: Внедрение скриптов PowerShell для обогащения данных метками конфиденциальности и доменами, построение матриц оценки рисков и создание очереди действий для сортировки инцидентов.
• Неделя 3: Развёртывание правил оповещений в реальном времени с дедупликацией, периодами охлаждения и автоматическим истечением срока ссылок для высокорисковых случаев раскрытия.
• Неделя 4: Масштабирование автоматизации через Azure Automation или Logic Apps, создание управленческих дашбордов в Power BI и финализация операционных плейбуков.

Ключевые показатели для руководства и операций

Чтобы измерять результаты программы управления внешним общим доступом, отслеживайте следующие ключевые показатели эффективности:

• Скорость возникновения внешнего доступа: Количество новых внешних ссылок, созданных за день, в разбивке по сайту, метке конфиденциальности и домену назначения.
• Уровень утечек конфиденциальных данных: Частота, с которой файлы с меткой конфиденциальности предоставляются доменам, не входящим в список неутверждённых партнёров.
• Время до отзыва доступа: Среднее время от момента рискованного общего доступа до момента успешного отзыва доступа.
• Аномалии всплесков: Частота, с которой пользователи превышают установленные пороги общего доступа.
• Охват автоматического устранения: Процент рискованных ссылок, которые автоматически истекают или блокируются политикой.

Распространённые ошибки, которых стоит избегать

Выстраивая стратегию аудита и устранения рисков, сознательно избегайте следующих частых ошибок:

• Слепая опора на конфигурацию аудита по умолчанию и стандартный 90-дневный период хранения.
• Развёртывание скриптов «экспортировать всё» без нормального обогащения контекстом и очередей триажа.
• Слишком широкие правила «оповещать обо всём», которые приучают специалистов по безопасности игнорировать уведомления.
• Жёстко заданные списки сайтов вместо динамического обнаружения новых пространств для совместной работы.
• Рассмотрение управления как разового проекта по очистке, а не как постоянного автоматизированного процесса.

Плейбуки, которые стоит держать под рукой

Снабдите службу поддержки и команды безопасности понятными, повторяемыми плейбуками реагирования на инциденты:

• Отзыв доступа и уведомление внешних пользователей: немедленно отключите несанкционированную ссылку общего доступа, автоматически уведомите владельца файла и требуйте повторного предоставления доступа строго через авторизованные домены партнёров.
• Проверка при увольнении сотрудника: составьте список всех общих ресурсов OneDrive, связанных с сотрудником, который покидает организацию, автоматически отзовите доступ, предоставленный на личные потребительские домены, и передайте владение непосредственному руководителю.
• Наблюдение за VIP: ужесточите пороги аномалий, сократите срок действия ссылок и включите мгновенное оповещение о любой активности, затрагивающей контент руководящего уровня.

Итог

Увидеть, оценить, остановить. Сначала приведите в порядок основы аудита, обогатите необработанные события значимым бизнес-контекстом, оповещайте разумно, не создавая шума, и автоматизируйте всё, чтобы добиться настоящего масштаба для предприятия. Так вы сохраните быструю, гибкую и безопасную деловую совместную работу, а конфиденциальные корпоративные данные будут надёжно находиться внутри периметра.

Чтобы узнать ещё больше о защите вашего клиента и выявлении рисков до того, как произойдёт катастрофа, обязательно посмотрите связанный выпуск подкаста: Detect Risky SharePoint and OneDrive External Sharing. Мы подробнее разбираем эти стратегии, чтобы помочь вам освоить безопасность M365!