Przejście z Business Basic / Standard do wyższego poziomu zabezpieczeń
Środowisko Microsoft 365 w modelu Business Basic / Standard / Apps for Business + domyślne wartości zabezpieczeń zapewnia dostęp do danych, ale nie daje kontroli nad tożsamością, typami logowania i sesjami użytkowników.
W praktyce oznacza to, że po incydencie (np. phishing lub Device Code Flow) ryzyko nie zostaje wyeliminowane, a może się powtarzać.
Poniżej przedstawiono proces od szybkiej stabilizacji do docelowego modelu Zero Trust, który przywraca kontrolę nad dostępem i ogranicza ryzyko kolejnych zdarzeń.
Priorytetem jest ograniczenie ryzyka: blokady typów logowania (m.in. Device Code Flow), reakcja na ryzyko, segmentacja dostępu i kontrola sesji.
Kontekst: Business Basic / Standard + domyślne wartości zabezpieczeń
Domyślne zabezpieczenia są automatyczne, ale zapewniają jedynie minimalną ochronę i nie dają kontroli nad kluczowymi wektorami ataku.
Co to oznacza w praktyce
- Brak kontroli typów logowania (np. Device Code Flow)
- Brak reakcji na podejrzane logowania (brak polityk ryzyka)
- Brak segmentacji dostępu (lokalizacja, urządzenie, aplikacja)
Braki w MFA i sesjach
- Brak wymuszenia silniejszych metod MFA
- Brak kontroli czasu trwania sesji użytkownika
- Brak wymuszeń ponownego logowania „po incydencie”
Ryzyko biznesowe
Bez kontroli tożsamości i sesji, przejęcie konta jest kwestią czasu — zwłaszcza po incydencie phishingowym. Następny etap to ryzyko dostępu do danych i pracy użytkownika.
Proces przejścia na wyższy poziom zabezpieczeń (schemat)
Od szybkiej stabilizacji (kontrola tożsamości) przez ochronę urządzeń i poczty, aż po stałe zarządzanie bezpieczeństwem.
Stan wyjściowy: domyślne wartości zabezpieczeń
Ochrona „automatyczna” bez kontroli typów logowania, bez segmentacji i bez polityk ryzyka. Po incydencie to za mało.
Entra ID P1 + Conditional Access (Dostęp warunkowy)
Natychmiastowe ograniczenie ryzyka: wymuszenie MFA, kontrola typów logowania (w tym Device Code Flow), lokalizacji i sesji.
Microsoft Defender for Business (urządzenia)
Domknięcie luki po stronie endpointów: EDR, ASR, widoczność incydentów. Zwiększa odporność na ransomware.
Defender for Office 365 P1 (poczta i współpraca)
Ograniczenie phishingu u źródła: Safe Links, Safe Attachments, anti-phishing. Mniej „wejścia” do kolejnego incydentu.
RedFlag CyberONE: wdrożenie + stałe zarządzanie bezpieczeństwem
Standaryzacja konfiguracji + monitoring i utrzymanie. Bezpieczeństwo przewidywalne (zarządzane), a nie reaktywne.
Wariant 1 – optymalizacja istniejącego środowiska
Entra ID P1 + Dostęp warunkowy. Cel: szybkie ograniczenie ryzyka bez przebudowy środowiska.
Entra ID P1 + Conditional Access
Kontrola logowań, sesji, lokalizacji, metod MFA i zgód aplikacji
Cel
- Szybkie ograniczenie ryzyka po incydencie (DCF / phishing)
- Spójne polityki zamiast „per-user MFA”
- Segmentacja dostępu: aplikacja, lokalizacja, ryzyko, sesja
Efekt
- Ograniczenie najczęstszych scenariuszy phishingu
- Kontrola logowania i sesji użytkownika
- Poprawa bezpieczeństwa bez zmiany sposobu pracy
Zakres (konkretnie)
- ✅ Wymuszenie MFA dla wszystkich użytkowników przez Conditional Access (Zero Tolerance)
- ✅ Ochrona rejestracji metod MFA (Authentication methods policy + registration campaign)
- ✅ Ograniczenie lokalizacji logowania (np. blokada spoza PL / UE)
- ✅ Kontrola Device Code Flow (ograniczenie / blokada logowań „bez przeglądarki”)
- ✅ Blokada legacy authentication (IMAP/POP/SMTP AUTH itp.)
- ✅ Kontrola sesji użytkownika (brak trwałych sesji, wymuszenia re-login)
- ✅ Ograniczenie zgód aplikacji (tylko administrator zatwierdza aplikacje)
Rozszerzenie: Microsoft Defender for Business (Endpoint Security)
EDR, ASR i widoczność incydentów – odporność na ransomware
Kontekst (po incydencie)
- Device Code Flow pokazuje, że przejęcie tożsamości jest etapem 1
- Realne ryzyko zaczyna się przy dostępie do danych i pracy użytkownika
- Bez ochrony endpointów nie widać działań na urządzeniu
Efekt
- Wykrywanie zagrożeń niewidocznych na poziomie logowania
- Ograniczenie skutków przejęcia konta (post-compromise)
- Przygotowanie do pełnego modelu Zero Trust
Zakres wdrożenia (Defender for Business)
- ✅ Ochrona antywirusowa i EDR (centralnie zarządzany Defender; detekcja anomalii)
- ✅ Ograniczenie powierzchni ataku (ASR) (blokady niebezpiecznych zachowań)
- ✅ Rejestr incydentów i alertów (widoczność + szybka reakcja)
Rozszerzenie: Microsoft Defender for Office 365 P1
Safe Links, Safe Attachments, anti-phishing – mniej phishingu „na wejściu”
Kontekst (po incydencie)
- DCF zwykle startuje od wiadomości e-mail / linku do logowania
- Atak wchodzi przez pocztę, nie tylko przez brak MFA
- Bez ochrony e-mail użytkownik zobaczy „wiarygodny” phishing
Efekt
- Znacząco mniej phishingów dociera do użytkowników
- Blokada linków prowadzących do przejęcia kont
- Mniejsze ryzyko powtórzenia incydentu
Zakres wdrożenia (Defender for Office 365 P1)
- ✅ Safe Links – analiza linków w czasie rzeczywistym, blokada złośliwych stron
- ✅ Safe Attachments – skanowanie przed dostarczeniem, blokada malware / unknown
- ✅ Zaawansowana ochrona antyphishingowa – spoofing, domena, fałszywe strony logowania
- ✅ Wzmocnione Anti-Spam / Anti-Phishing – lepsza detekcja kampanii
Najpierw kontrola tożsamości i sesji, potem domknięcie urządzeń i poczty (najczęstsza ścieżka ataku).
Wariant 2 – RedFlag CyberONE (docelowy model bezpieczeństwa)
Standaryzowane wdrożenie + stałe zarządzanie bezpieczeństwem Microsoft 365 w modelu Zero Trust.
Tożsamość i dostęp
- MFA dla wszystkich użytkowników
- Conditional Access i segmentacja dostępu
- Ograniczenie zgód aplikacji + Break Glass
Poczta i phishing
- SPF, DKIM, DMARC
- Safe Links / Safe Attachments
- Anti-Spam / Anti-Phishing (wzmocnione)
Urządzenia i dostęp do danych
- CA dla urządzeń zarządzanych/niezarządzanych
- Blokady sesji przeglądarki i kontrola dostępu
- Endpoint security (Premium): Defender, AV/Firewall/ASR, BitLocker
Dane i kontrola
- Retencja danych
- Sensitivity Labels
- Monitoring działań użytkowników
Monitoring i utrzymanie
- Monitoring alertów i konfiguracji
- Ciągłe dostosowywanie do nowych zagrożeń
- Zgodność z rekomendacjami (np. CISA) – praktycznie
Efekt biznesowy
- Znaczące ograniczenie phishingu i takeoverów
- Pełna kontrola nad tożsamością i dostępem
- Przewidywalny model bezpieczeństwa (zarządzany)
Licencje Microsoft 365 a poziom bezpieczeństwa
Wybór licencji nie dotyczy wyłącznie aplikacji (Word, Excel, Outlook), ale przede wszystkim poziomu kontroli nad ryzykiem. Niższe plany zapewniają dostęp do danych, jednak nie kontrolują scenariuszy przejęcia i nadużyć tak skutecznie jak wyższe.
Minimalna kontrola
Więcej aplikacji, ale nadal ograniczona kontrola
Entra P1 / Premium + rozszerzenia Defender
Business Basic/Standard dają „dostęp do danych”, ale nie dają narzędzi do kontroli scenariuszy przejęć.
Dopiero wyższe poziomy wprowadzają realne mechanizmy: CA, kontrolę sesji, ochronę poczty i urządzeń.
Więcej: mxtoolbox.pl/sec/licencje.html
Valcreon – polska firma specjalizująca się w zabezpieczeniach Microsoft 365.
Pomagamy firmom uniknąć incydentów, uporządkować dostęp do danych i bezpiecznie rozwijać Microsoft 365. Zabezpieczamy: tożsamość, pocztę, urządzenia i dane. Wdrażamy podejście Zero Trust (zerowej tolerancji) w Microsoft 365 – przewidywalnie i bez przestojów.
Kontakt / umów 15 minut
Szybka kwalifikacja: liczba użytkowników, obecne licencje, objawy incydentu, priorytet (pilne / planowe).
Co przygotować (2 min)
- Liczba użytkowników
- Obecne licencje (Basic/Standard/Premium)
- Co się stało: phishing / logowania / DCF / urządzenia
- Priorytet: pilne / planowe
Najczęstszy szybki start
Jeśli to incydent DCF: w pierwszej kolejności włączamy kontrolę logowań i sesji (Wariant 1), równolegle domykamy pocztę (O365 P1) oraz urządzenia (Defender for Business) – zależnie od stanu endpointów.