Microsoft 365 MFA 缺口報告：審計交付物包含什麼

一句話結論： Microsoft 365 MFA 缺口報告是一份帶日期、逐帳戶的記錄：哪些帳戶仍然可以只憑密碼登入，每個人註冊了什麼方法，哪些帳戶被排除在策略之外、為什麼，以及條件訪問策略是否真的在執行。當「我們有 MFA」這句話不夠用的時候，保險公司和審核方要的就是這份文件。本文說明一份合格的報告包含什麼、怎樣讀。

大多數說自己「已經啓用多因素身份驗證」的租戶，確實對大多數人、在大多數時候啓用了。問題出在剩下的那一小部分：2023 年之後沒人碰過的緊急訪問帳戶、躺在排除組裡的打印機掃描郵箱、三位註冊了短訊作為備用方式卻從沒設定過更強方法的用戶。Microsoft 365 MFA 缺口報告的作用，就是把這一小部分找出來，寫成別人能核對的形式。

這篇文章不教您怎樣開啓 MFA。如果您需要操作步驟，如何在 Microsoft 365 中啓用 MFA 一文已經講清了安全預設值、條件訪問，以及怎樣導出尚未註冊的用戶名單。本文講的是交付物本身：一份審計級別的缺口報告長什麼樣、通常會發現什麼、拿到報告後的三十天該做什麼。

什麼是 MFA 缺口報告？為什麼「MFA 已開啓」不算回答？

MFA 缺口報告是對 Microsoft Entra 租戶中每一個帳戶的 MFA 覆蓋情況做的時點記錄，並對例外逐一說明。關鍵詞是「每一個」。在 Entra 裡，給一組用戶強制 MFA 很容易；把少數幾個帳戶留在這組之外而沒有察覺，也出奇地容易，因為排除項和創建策略的位置並不在同一處。

「MFA 已開啓」通常是以下三種情況之一，每一種都留下不同的缺口：

啓用了安全預設值。 所有人都會被要求註冊，管理員每次都會被提示。但安全預設值無法排除任何帳戶，所以需要一個例外的租戶往往把它關掉了，而替代方案從未完成。
有一條條件訪問策略對所有用戶要求 MFA。 這是正確的設計，但策略的完整程度取決於它的排除項。每一個排除組，就是一份可以只憑密碼登入的帳戶清單。
多年前啓用過按用戶 MFA。 舊的按用戶設定在一些租戶裡仍然存在。它只作用於當年被勾選的帳戶，而沒有人拿這份名單和現在的員工目錄對過。

缺口報告橫跨這三種情況。它不問策略怎麼寫，而是逐個帳戶地問：如果這個密碼今晚被盜，會發生什麼。

Microsoft 365 MFA 缺口報告包含哪些內容？

Brocent 的 Microsoft 365 保安審計中，MFA 缺口這一節有固定的結構。了解這個結構，您就能評判任何服務商的報告，包括我們自己的。Microsoft 365 保安審計示例報告（英文頁）以一家虛構客戶展示了完整版式，其中 MFA 部分包含以下內容。

每個帳戶的註冊狀態

每個帳戶一行，而不是每個持牌用戶一行。這個區別很重要，因為惹出麻煩的往往是未授權許可證的帳戶、共享帳戶或服務帳戶，按許可證導出的名單根本看不到它們。每一行記錄是否已註冊 MFA、是否被策略強制、最後一次登入日期。六個月沒登入又沒有 MFA 的帳戶，和一個活躍帳戶是兩種不同的問題，報告會標明是哪一種。

每個用戶的方法，以及哪些是抗釣魚的

「有一種方法」不等於「有一種強方法」。報告列出每個人已註冊的方法，並標註能抵禦中間人釣魚的那些：通行密鑰、FIDO2 安全密鑰、Windows Hello 企業版。Microsoft Authenticator 的數字匹配推送被列為強第二因素，但不算抗釣魚。只要身份驗證方法策略裡短訊和語音仍處於啓用狀態，報告就會標出，因為啓用的方法可以被註冊為備用方式，然後被使用。

在示例報告中，14 名員工裡有 12 人依賴 Authenticator 推送，2 人有通行密鑰，三位全域管理員全部使用推送，短訊仍然啓用且有 4 名用戶把它註冊為備用方式。這是小型專業服務公司的典型畫面，評級是「高」而不是「嚴重」，因為第二因素存在，只是對最要緊的帳戶沒有要求最強的形式。

例外：管理員、來賓、服務帳戶和共享郵箱

這一節是報告名字的由來。對每一個被排除在 MFA 要求之外的帳戶，報告記錄是哪條策略排除了它、通過哪個組、誰負責、是否寫明了理由。常見類別有：

緊急訪問（break-glass）帳戶。 把它排除在日常 MFA 之外是合理的，前提是它有專屬策略、註冊了抗釣魚方法、有登入告警。三樣都沒有就排除，是一項「嚴重」發現。
服務帳戶和設備帳戶。 多功能打印機的掃描轉郵件帳戶是經典案例。它是一個有許可證的用戶帳戶，密碼設定過一次就再沒動過，因為打印機做不了 MFA 而被放進排除組。解決辦法不是給打印機加 MFA，而是把它遷到 SMTP 中繼或連接器，讓這個帳戶可以被覆蓋或者乾脆刪除。
允許登入的共享郵箱。 共享郵箱本來就不應該能登入。如果它能登入，又不在 MFA 覆蓋之內，那它就是一個帳戶。
來賓用戶。 合作機構的來賓往往按設計不在「所有用戶」範圍內，這沒問題，只要有另一條策略對來賓要求 MFA。報告會檢查這條策略是否存在。
「臨時」排除的用戶。 出差的、手機壞了的、匆忙入職的。臨時排除有變成永久的習慣。

示例報告的第一項「嚴重」發現正是這個模式：「所有用戶，要求 MFA」策略排除了一個叫 CA-Exclude 的組，組裡有一個沒有註冊任何 MFA 方法、密碼上次設定於 2023 年 3 月的全域管理員緊急帳戶，還有打印機的掃描帳戶。

條件訪問覆蓋範圍及其背後的排除組

策略列表不等於覆蓋範圍。報告逐條讀取與 MFA 相關的條件訪問策略，記錄它的狀態（開啓、僅報告、關閉）、用戶範圍、應用範圍，以及每一個排除組和組內成員。一條從二月起就停在「僅報告」模式的策略，會被記錄為沒有執行任何東西，因為事實就是如此。小型租戶的條件訪問基線一文說明了六條核心策略應該是什麼樣子；缺口報告則告訴您您的策略是否對得上。

按部門匯總和總覽百分比

決策者需要一個數字，報告給出一個：已強制 MFA 的活躍帳戶百分比，旁邊是抗釣魚方法的佔比。然後按部門或業務單元拆開，因為「94% 覆蓋率」這句話，在缺的 6% 是財務部的時候，讀起來完全是另一回事。

提取日期和證據形式

每一個數字都帶有從租戶讀取的日期和時間、使用的方法（只讀的 Microsoft Graph 應用），以及證據附錄中導出文件的編號。示例報告記錄了某一天的只讀掃描和兩天後的複核。正是這個細節讓別人可以依賴這份報告。一張沒有日期的管理中心截圖是觀點；一份帶日期、附有查詢語句的導出文件才是證據。

怎樣讀一份 MFA 缺口報告？

按下面的順序讀，別從百分比開始。

先看例外。排除組裡的每一個帳戶，在證明之前都應當視為只憑密碼就能登入的帳戶。問一問每一個是否寫明了理由、有沒有負責人。
再看管理員那幾行。一個沒有抗釣魚 MFA 的管理員，比十幾個沒有任何 MFA 的普通用戶風險更大，因為攻破這一個帳戶就等於攻破整個租戶。
然後核對策略狀態。就報告而言，「僅報告」模式等同於關閉。
這時才看覆蓋百分比，並且拿它和帳戶總數比，而不是和許可證數量比。
最後看日期。如果提取時間距離您閱讀的那天超過三十天，情況多半已經變了。

一份讓您到處翻找例外、把策略狀態藏在附錄裡的報告，是為作者而不是為讀者編排的。

報告通常會發現哪些缺口？

Brocent 不公佈客戶數據，下面的例子來自示例報告的發現項和對規律的描述，不是統計數字。

沒有第二因素的緊急帳戶。 多年前按規範建好、按指引排除在 MFA 之外，然後再也沒有配過安全密鑰、登入告警或輪換密碼。示例中它是一項「嚴重」發現，目標在 14 天內處理。
排除組裡的設備帳戶。 打印機、門禁控制器、會發郵件的業務應用。每一個都是做不了 MFA 的持牌帳戶，於是被排除，硬件的局限就這樣悄悄變成了身份缺口。
對管理員來說不夠強的強 MFA。 示例中三位全域管理員都用推送通知。推送對員工來說是不錯的第二因素；對管理員，報告建議通過條件訪問強制要求抗釣魚的身份驗證強度。
日常帳戶永久持有全域管理員角色。 嚴格說這不是 MFA 缺口，但報告把它記在同一節，因為風險一模一樣：最可能點開釣魚附件的那個帳戶，同時也是能改動所有設定的帳戶。
舊式身份驗證仍被允許。 MFA 保護不了不支援它的協議。只要日誌裡出現 IMAP、POP 或 SMTP AUTH 登入，無論覆蓋率多高，MFA 策略都有一個洞。示例報告在三十天內發現了 214 次這類登入，來自掃描帳戶和一位 Thunderbird 用戶。
短訊仍是啓用的方法。 多數人沒註冊，但在租戶層面是啓用的，這意味著任何人都可以把它註冊為備用方式，拿到密碼的攻擊者也就能用它。

香港一家會計師事務所推行 MFA 的案例展示了這些缺口在真實規模的機構裡是什麼樣子，以及員工在補上缺口時的實際體驗。

保險公司和審核方在 MFA 覆蓋率證據裡看什麼？

網絡保險問卷已經變得很具體。問題很少再是「您們用 MFA 嗎」，而是「是否對所有用戶、所有管理員、所有遠程訪問和所有郵件訪問強制了 MFA，並且能否舉證」。大客戶發來的供應商保安問卷換了措辭問同一件事。對面向英國市場的企業，Cyber Essentials 把「雲服務上可用但未啓用 MFA」視為不通過的條件，Cyber Essentials 與 Microsoft 365 一文有說明。

這些審閱者能用得上的文件，應當：

帶日期，能對應到續保或評估週期。
覆蓋每一個帳戶，例外逐一列出並說明，而不是藏起來。
區分「已強制」和「已註冊」。 已註冊是用戶設定了方法；已強制是有策略要求它。只有後者才回答了問題。
寫明方法，讓審閱者看到「MFA」指的是通行密鑰還是短訊。
附上策略證據，包括條件訪問導出和背後的組成員。

Brocent 的報告和配套工作簿正是為了在這類對話中用作證據而設計的。它們不會讓任何保險公司、審核方或認證機構接受任何東西，那是對方的決定。報告做的，是把事實整理成可以核對的形式。配套文章用 Microsoft 365 證據回答網絡保險問卷逐題講解了具體問法。

了解 MFA 覆蓋情況的三種途徑

多數人真正需要的比較，是已經存在或可以購買的三種 MFA 資訊來源之間的比較，因為它們回答的是不同的問題。

Entra 內置的身份驗證方法註冊與活動報告。 隨 Entra 提供，不另收費，在註冊狀態上是準確的。它不知道條件訪問的排除項，說不出哪些帳戶被排除在強制之外，也不記錄策略狀態。適合追著未註冊的用戶跑；作為證據則偏弱。
Secure Score 的 MFA 改進操作。 同樣內置。Secure Score 給出一個百分比和一項建議操作，作為趨勢線很有用。它只讀取 API 暴露的內容，不列出例外，也沒有保險公司或審核方會把 Secure Score 截圖當成覆蓋率評估。Secure Score、CIS 基準與 ScubaGear 的比較一文解釋了原因。
審計缺口報告。 付費、帶日期、到帳戶級別、例外有說明、策略狀態有記錄、證據文件隨附，並且由人工核查腳本讀不到的手動控制項。這是您可以交給別人的那一份。

前兩種告訴您該修什麼。第三種告訴別人您修好了。

拿到報告後的三十天應該做什麼？

示例報告自帶的路線圖是個合理的模板，它把 MFA 事項排在最前面。

第 0 到 14 天：關閉「嚴重」項。 給緊急帳戶註冊抗釣魚方法，配專屬策略和告警。把掃描轉郵件帳戶遷到中繼或連接器。把「阻止舊式身份驗證」策略從「僅報告」切到「開啓」，在組織層面禁用 SMTP AUTH。
第 15 到 30 天：提高管理員的門檻。 在身份驗證方法策略裡啓用通行密鑰，通過條件訪問對所有管理員角色要求抗釣魚的身份驗證強度，把日常用戶從永久分配的全域管理員角色裡移出來，改用專用管理帳戶。
第 15 到 60 天：推廣到所有人。 辦一場簡短的引導會讓員工註冊通行密鑰，註冊完成後禁用短訊和語音方法。
複核。 重新提取數據，比較覆蓋數字。第一次讀取時有缺口、複核時沒有缺口的報告，才是大多數審閱者真正想看的證據：不是從來沒有缺口，而是缺口被找到並關閉了。

如果機構裡沒有人手做這些事，這正是管理型 MFA 推行服務的用武之地。Brocent 的 MFA 解決方案頁面介紹了實施服務，涵蓋策略設計、員工引導會和後續複核，而審計通常是這項工作的起點。

常見問題

什麼是 Microsoft 365 的 MFA 缺口報告？

一份帶日期、逐帳戶的記錄：Microsoft Entra 租戶裡哪些帳戶被強制使用多因素身份驗證、每個帳戶註冊了什麼方法、哪些帳戶被排除在要求之外及其原因、負責執行的條件訪問策略處於什麼狀態。它是 Microsoft 365 保安審計的一個章節，也是保險公司和審核方問得最多的章節。

我怎樣自己找出 Entra 中沒有 MFA 的用戶？

Entra 管理中心的身份驗證方法註冊報告列出了誰已註冊、誰未註冊，一段簡短的 PowerShell 查詢可以把同一份名單導出為 CSV。上面連結的操作指南有具體步驟。這份導出看不到的是排除組，所以要配合逐條檢查條件訪問策略的排除項。

身份驗證方法註冊報告對保險公司來說夠用嗎？

通常單靠它不夠。它顯示的是註冊而不是強制，對例外和策略狀態隻字不提。審閱者往往還會要策略證據。審計報告把兩者連同日期匯成一份文件，正是為了用作證據而設計的。

Brocent 的 MFA 缺口報告會改動我的租戶嗎？

不會。審計使用只讀的 Microsoft Graph 應用，由您的一位全域管理員一次性授權。它讀取配置和登入元數據，不讀郵件和文件，也不改任何設定。隨時可以通過移除該應用來撤銷授權。

審計費用多少？需要多長時間？

Microsoft 365 保安審計按人數固定定價：1 到 10 位用戶 450 美元，11 到 25 位 990 美元，26 到 75 位 1,800 美元，76 到 150 位 2,900 美元，更大的租戶另行報價。授予只讀訪問後 5 到 7 個工作日出報告。MFA 缺口一節包含在內，不單獨出售。詳情見 Microsoft 365 保安審計定價頁。

什麼算抗釣魚的 MFA？

把登入綁定到合法站點、讓代理頁面無法重放的方法：通行密鑰、FIDO2 安全密鑰、Windows Hello 企業版。Authenticator 數字匹配推送是強第二因素，但可能被中間人工具擊破。短訊和語音最弱，報告會在它們仍然啓用的地方標出。

報告會說我們「合規」嗎？

不會。報告對照 CIS Microsoft 365 基準記錄租戶的事實，並註明某項發現與 Cyber Essentials 或常見保險問題的關聯。它不認證任何體系或法規的合規性，也不保證任何保險公司或審核方會接受它。它是為了用作證據而設計的，判斷權在對方手裡。

下一步

如果您已經知道租戶裡有沒人能解釋的排除項，先從內置的註冊報告和操作指南開始，這星期就把明顯的缺口關掉。如果您需要一份機構外的人可以依賴的文件，審計會在對租戶的完整檢查中產出本文描述的缺口報告。範圍、價格級別和 5 到 7 個工作日的週期見定價頁，示例報告見 Report Central 頁面（英文頁），想先聊一聊的話，請聯繫顧問。