别让安全配置的疏漏，成为企业网络防御的致命漏洞

原创

Nate
Nate

信息安全D1net

2026年10月16日 17:01
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

点击上方“蓝色字体”，选择 “设为星标”

关键讯息，D1时间送达！

企业网D1net

你的Microsoft 365真的安全吗？启用了MFA、购买了安全许可证，就意味着万无一失吗？事实并非如此。长期未审查的权限、未关闭的旧版身份验证、被忽视的邮箱规则，以及形同虚设的日志记录，都可能成为攻击者入侵的突破口。结合7500多名用户的安全管理实践，本文揭示了Microsoft 365环境中最常见的安全盲区，并提炼四项优先检查措施，帮助企业堵住隐患，筑牢云端安全防线。

你的Microsoft 365环境可能已经具备所需的安全工具，真正的危险往往在于那些被遗忘的设置、未经检查的权限，以及从未被重新审视过的例外配置。

过去20多年来，我一直负责加利福尼亚州及美国其他地区各类企业的IT和安全管理。在此期间，我的团队接手过Microsoft 365环境，为其部署解决方案，并对存在问题的配置进行整改，服务对象包括律师事务所、商业房地产公司、制造企业、医疗机构和学校。在这个过程中，我们为超过7500名用户提供过支持。

在接触过这么多Microsoft 365租户之后，我最大的体会很简单：大多数Microsoft 365安全问题其实并没有那么复杂。通常，问题在于某项安全控制从未启用、只覆盖了企业的一部分，或者有人为了让某项功能继续正常运行，在几年前设置了例外，却再也没有重新审查过，微软为企业提供了丰富的安全工具，更多时候，问题不在于缺少安全工具，而在于环境的配置和维护方式存在不足。

以下是我们最常遇到的问题，也是我认为应该优先检查的领域。

大多数环境仍在沿用最初的设置

在首次评估某个租户时，我们经常发现，自最初完成配置以来，就再也没有人系统地检查过其安全设置。多重身份验证（MFA）可能只覆盖了部分用户，而非所有用户，旧版身份验证仍然处于启用状态，全局管理员的数量过多，甚至没有人能说清楚上一次审查审计日志是什么时候。

去年，我们接手了一家拥有45名员工的医疗机构，该机构使用Microsoft 365已经将近十年，我们发现了9个全局管理员账户，其中两个属于几年前就已离职的员工，虽然启用了MFA，但只有医生需要使用，负责处理最多患者数据的前台和账单处理人员却完全没有受到MFA的保护。

通常，没有人是故意忽视安全问题的。公司不断发展，电子邮件服务一直正常运行，大家忙于日常工作，最初的配置就这样一直沿用下来，这种情况我们屡见不鲜，某项功能每天都能正常运行，并不意味着它的配置方式符合你今天的安全要求。

对于没有专职身份管理人员的小型企业来说，微软的安全默认值是一个很好的起点，它可以强制启用MFA并阻止旧版身份验证，而且无需额外购买许可证。随着环境日益复杂，如果现有许可证支持相关功能，条件访问就能让你更精细地控制谁可以登录、从哪里登录，以及使用什么设备登录。

MFA是起点，而不是终点

如今，大多数企业管理者都知道必须启用MFA，但人们仍然容易忽略一个问题：启用MFA并不意味着安全工作就此完成。

攻击者已经调整了攻击方式，以应对MFA。推送通知疲劳攻击仍然有效，因为用户最终可能为了不再受到通知骚扰而批准某次登录请求。中间人攻击（AiTM）钓鱼工具包可以窃取有效的会话令牌，从而完全绕过传统MFA的保护。OAuth授权同意钓鱼也是一个问题：攻击者可以诱骗用户通过看似合法的微软或谷歌授权页面，批准一个恶意应用程序。一旦发生这种情况，即使更改用户密码，也未必能够撤销该应用程序获得的访问权限。

几个月前，我们服务的一家律师事务所有一名律师助理，点击了一个看似由对方律师发送的共享文档链接，并通过一个极具迷惑性的微软登录页面完成了登录，她已经启用了MFA，也按提示完成了验证，但该页面实际上正在实时转发她的会话信息，几分钟之内，攻击者就从海外登录了她的邮箱，我们通过一条异常旅行警报发现了问题，随即撤销相关会话并重置账户，最终在任何客户数据泄露之前阻止了攻击。

针对这类问题，我们通常会重点强化几项安全措施：在身份验证器应用中启用数字匹配功能，为管理员及其他高风险用户配置FIDO2安全密钥或通行密钥等抗钓鱼身份验证方式，限制用户随意批准第三方应用程序的权限；此外，在许可证支持的情况下，使用条件访问策略，确保仅凭密码或被盗的会话信息不足以进入整个环境。

旧版身份验证仍然是敞开的侧门

这一点至今仍让许多企业高管感到意外，他们知道MFA已经启用，便以为每一次登录都受到保护，但事实并非总是如此。POP、IMAP和较旧的SMTP连接等旧版协议不支持MFA，因此可能为攻击者绕过这项安全控制留下可乘之机。

微软已经停用了许多旧版身份验证方式，但我们仍然经常发现，一些例外配置一直被保留着，原因可能是某台旧扫描仪、某个业务应用程序，甚至只是某位用户的设备仍然依赖这些配置。你需要查清楚究竟还有哪些设备或应用确实需要旧版身份验证，然后修复或替换相关依赖，并关闭相应的例外配置。我们曾见过一些组织，仅仅因为一台多功能打印机，就让一个安全漏洞持续存在了数年。

许可证决定了你实际能够使用哪些安全功能

许可证也是一个容易引发大量困惑的领域，两种订阅计划的名称可能听起来几乎一样，但它们为IT团队提供的安全能力却可能大不相同。Office 365 E3和Microsoft 365 E3就是一个很好的例子：Microsoft 365 E3包含Intune设备管理功能和Entra ID P1条件访问功能，而Office 365 E3则不包含这些功能。

我们曾服务过一家医疗机构，该机构有一名即将离职的员工，手中仍留有一台存储着患者记录的公司笔记本电脑。管理层以为我们可以远程锁定或擦除这台设备，但实际上我们做不到。他们购买的是Office 365 E3，而不是Microsoft 365 E3，因此这台设备从未注册到Intune中。最终，我们成功取回了笔记本电脑，但整个过程让大家提心吊胆了好几天。直到第二周，他们才升级了许可证。

因此，在制定安全改进路线图之前，我会首先确认企业实际购买了哪些许可证，以及这些许可证究竟包含哪些功能。我们不止一次遇到这样的情况：管理层仅仅因为微软订阅计划的名称相似，就误以为自己已经拥有某项安全能力。

大多数安全事件仍然始于电子邮件

在我们处理的案例中，很大一部分安全事件仍然始于电子邮件。攻击入口可能是一个用于窃取凭据的钓鱼页面、一条恶意链接，也可能是攻击者成功入侵账户后创建的收件箱规则。

商务电子邮件入侵（BE）尤其危险，因为攻击者往往不会立即采取明显的行动，他们先进入邮箱，创建邮件转发规则或隐藏邮件回复，然后静静等待，其目的可能只是潜伏在账户中，直到某张发票或某笔电汇交易为他们提供可乘之机。根据美国联邦调查局（FBI）互联网犯罪投诉中心的数据，2024年报告的网络犯罪损失总额达到166亿美元，而商务电子邮件入侵仍然是损失较为严重的诈骗类型之一。

在我们服务的一家律师事务所，一名攻击者入侵了一个邮箱，并创建了一条规则：凡是包含“invoice”（发票）或“wire”（电汇）字样的邮件，都会被悄悄移至一个无人使用的文件夹。两周后，一名客户收到了一封邮件，其中包含更新后的和解款电汇指示，邮件看起来像是从律师事务所自己的账户发出的。客户在汇款前打电话进行了确认，而正是这通电话，避免了资金被转走。

我们通常会采取多项措施来防范此类风险：阻止邮件自动转发至外部域名；在收件箱规则被创建或修改时触发警报；最重要的是，制定内部政策，要求任何付款信息或电汇指示的变更，都必须通过电话口头确认，而且必须使用事先掌握的电话号码进行核实。最后这一项措施与网络安全软件毫无关系，但它完全有能力避免代价高昂的错误。

特权账户需要采用独立的安全标准

全局管理员名单应当尽可能精简，每个账户的设置都应有明确的目的，并且留有完整记录。我们也不希望有人使用同一个特权账户，既处理日常电子邮件，又整天浏览网页，这听起来是最基本的安全要求，但我们始终在不断纠正这类问题。

应使用独立的管理账户，为这些账户配置抗钓鱼MFA，并在许可证支持的情况下采用即时权限提升机制。全局管理员账户一旦遭到入侵，攻击者就可能获得极大的控制权，因此，我们对这类账户的安全要求必须不同于普通用户账户。

只有提前配置日志记录，才能在需要时发挥作用

一旦发生安全事件，我们就必须立即弄清楚发生了什么、事件从何时开始，以及攻击者访问或操作了哪些资源。如果事先没有启用正确的日志记录功能，或者日志保留期限过短，那么事后有时根本无法完整还原整个事件。

我宁愿在第一天就配置好日志记录功能，即使此后永远用不上，也不愿等到事件发生后，才试图利用残缺的数据还原攻击过程。美国网络安全和基础设施安全局（CISA）发布的安全云业务应用程序（SCuBA）基线是一份非常出色的免费参考资料，可以帮助企业了解应该启用哪些设置，以及如何验证这些设置是否正确。

我会从哪里着手

Microsoft 365完全可以成为一个安全性很高的平台，在我们接手的大多数环境中，问题并不是微软缺少某项关键安全功能，而通常是一些数量不多、却随着时间推移不断累积的设置问题、权限问题和例外配置。

如果要在本季度审查某个环境，我会优先核实以下四项内容：

1. 将管理访问权限控制在最低必要范围内，并使用抗钓鱼MFA进行保护。

2. 阻止旧版身份验证。

3. 确保所有用户都受到MFA保护，并限制用户未经审查就批准第三方应用程序。

4. 确保一旦明天发生安全事件，我们就能获取完整的日志记录。

这四项检查无法解决所有安全问题，但它们能够消除大量常见风险，这些风险正是我们在受邀评估IT环境或在安全事件发生后进行整改时，反复发现的问题。

版权声明：本文为企业网D1net编译，转载需在文章开头注明出处为：企业网D1net，如果不注明出处，企业网D1net将保留追究其法律责任的权利。封面图片来源于摄图网

（来源：企业网D1net）

关于企业网D1net(www.d1net.com)

企业网(D1net.com)-企业 IT 第 1 门户。面向 IT 行业高端甲方人群(CIO 首席信息官)最精准专业的媒体，面向约六万政企  CIO、信息中心主任、科技部总经理等 IT 主管，提供资讯、营销、活动、项目合作推介等服务。拥有专业注册会员(IT 从业者)约  188万人，主要读者为政企用户及其信息主管、软硬件厂商等，服务过的企业级厂商逾五百家，国内toB的头部IT厂商基本都是D1net的客户。

同时，企业网D1net也运营着国内最大的CIO(首席信息官)专家智库和智力输出变现及社交平台-信众智，也是国内最大的科技高管社交平台。旗下运营19个IT行业公众号(微信搜索D1net即可关注)。

如果您在企业IT、网络、通信行业的某一领域工作，并希望分享观点，欢迎给企业网D1net投稿。

投稿邮箱：

[email protected]

合作电话：

010-58221588（北京公司）

021-51701588（上海公司）

合作邮箱：

[email protected]

企业网D1net旗下信众智是CIO（首席信息官）的专家库和智力输出及资源分享平台，有六万多CIO专家，也是目前较大的CIO社交平台。

信众智对接CIO为CIO服务，提供数字化升级转型方面的咨询、培训、需求对接等落地实战的服务。也是国内较早的toB共享经济平台。同时提供猎头，选型点评，IT部门业绩宣传等服务。

扫描 “二维码” 可以查看更多详情