Microsoft 365 保安審計清單：租戶裡要逐項檢查的 12 個區域

一句話結論： 一份 Microsoft 365 保安審計清單覆蓋租戶的十二個區域：MFA 覆蓋率、條件訪問、特權角色與應急帳戶、傳統身份驗證與 SMTP AUTH、應用同意、來賓與外部共享、郵件轉發、SPF/DKIM/DMARC、Defender for Office 365 策略、審計日誌、DLP 與敏感度標籤、設備與應用保護。本文告訴您每項設定在哪裡、什麼算達標，順序與 Brocent 公開的示例報告一致。

搜索 Microsoft 365 保安審計清單的人，通常想要兩樣東西：一份一個下午就能自己走完的清單，以及一個判斷結果有沒有意義的辦法。本文給您第一樣，對第二樣也會說實話。

下面十二個區域的順序，沿用 Brocent 為一家虛構客戶公開的 Microsoft 365 保安審計示例報告（英文頁）。那份報告按領域組織：身份與訪問、郵件、Defender、SharePoint 與 OneDrive、Teams、租戶衛生與日誌、設備。示例把一個 14 人的租戶對照 CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2 逐項測量，裡面的發現項正是中小型租戶最常出問題的地方。所以這份清單不是紙上談兵，每個區域都是真實租戶常常不達標的位置。

開始前兩點說明。第一，這裡的所有內容都可以用「全局讀取者」之類的只讀角色查看，完成清單不需要改任何東西。第二，這是一份頁面上的清單，不是表單，沒有東西要下載，也不用留聯繫方式。

如何審計 Microsoft 365 租戶：先講方法，再看清單

租戶審計把同一個問題問十二遍：這項設定是否按照公認的基準配置了？如果沒有，這個差距對這家機構重不重要？基準之所以重要，是因為「安全」不是一種感覺。CIS Microsoft 365 Foundations Benchmark 分兩級發佈建議：Level 1 是每家機構都應採用的設定，Level 2 是可能影響易用性的更嚴格設定。Microsoft Secure Score 衡量的是一組相關但更窄的操作。兩者的差別見 Brocent 的文章 Secure Score、CIS 基準與 ScubaGear 的區別。

每個區域按以下順序做：

1. 打開該區域指明的管理中心，讀出當前設定。
2. 把看到的內容連同日期記進表格。截圖或導出比文字筆記更好。
3. 與「達標是什麼樣」對照，把這一行標為通過、不通過或不適用。
4. 如果不通過，寫一句話說明它對貴公司業務意味著什麼，不要寫泛泛的後果。

最後一步才把一份設定清單變成審計。一條發現項，等於一項設定加一個後果。

區域 1：MFA 覆蓋率。每個啓用帳戶都有第二因素嗎？

檢查什麼：每個啓用用戶的註冊狀態、註冊了哪些方法、MFA 是真正被強制還是只是「可以用」。示例報告裡的嚴重發現項是兩個仍能不用 MFA 登入的帳戶，其中一個是全域管理員，被一個沒人複查的組排除在策略之外。

在哪裡看：Microsoft Entra 管理中心，保護，身份驗證方法，用戶註冊詳情。這份報告顯示誰註冊了、用的什麼方法。強制執行在條件訪問（下一區域）裡；沒有 Entra ID P1 的租戶則在 Entra ID，概述，屬性，安全預設值。

達標是什麼樣：每個啓用帳戶至少有一種強方法，管理員使用通行密鑰等抗釣魚方法，短訊和語音已作為方法禁用，強制策略的排除組裡沒有真人。開啓 MFA 的分步做法見 如何在 Microsoft 365 中啓用 MFA。

CIS 對應：身份與訪問，所有用戶和管理員啓用 MFA 屬 Level 1，抗釣魚方法屬 Level 2。

區域 2：條件訪問。基線策略是開著的，還是一直停在僅報告模式？

檢查什麼：策略列表、各自狀態、適用對象，尤其是排除了誰。示例裡第二個嚴重發現項是一條「阻止傳統身份驗證」策略從二月起一直停在僅報告模式，也就是什麼都沒攔。

在哪裡看：Entra 管理中心，保護，條件訪問，策略。逐條打開，看排除項、授予控制，以及狀態是開、關還是僅報告。

達標是什麼樣：一小組命名清楚的策略，分別對所有用戶和管理員要求 MFA、阻止傳統身份驗證、保護安全信息註冊，有 Intune 的話再要求合規設備或受保護應用。排除項只限兩個應急訪問帳戶和有記錄的服務帳戶。測試期過後沒有任何策略還停在僅報告模式。應該先建哪六條策略，見 條件訪問基線策略。

CIS 對應：身份與訪問，核心策略屬 Level 1，基於設備和登入頻率的控制屬 Level 2。

區域 3：特權角色與應急帳戶。誰是全域管理員，用的是哪個帳戶？

檢查什麼：多少帳戶持有全域管理員及其他特權角色，這些是不是平時收郵件、開 Teams 的同一個帳戶，分配是永久的還是按需啟用的，是否存在兩個受保護的應急訪問帳戶。

在哪裡看：Entra 管理中心，角色和管理員，再看每個角色的分配。有許可的話，Privileged Identity Management 會顯示「符合條件」與「活動」的分配。示例裡三個人永久持有全域管理員，其中兩人每天就用這個帳戶辦公。

達標是什麼樣：全域管理員兩到四個，每人用一個只做管理的獨立管理帳戶，有 PIM 時按需啟用而非永久分配；兩個僅雲端的應急帳戶使用抗釣魚方法，排除在條件訪問之外，任何登入都有監控。身份這一側的更多說明見 Microsoft 365 與 Entra ID 保安審計。

CIS 對應：身份與訪問，限制全域管理員數量和獨立管理帳戶屬 Level 1，PIM 屬 Level 2。

區域 4：傳統身份驗證與 SMTP AUTH。還有什麼能繞過現代身份驗證登入？

檢查什麼：傳統協議（IMAP、POP、SMTP AUTH、舊版 Office 客戶端）是否被阻止，是否還有東西在用。示例租戶 30 天內有 214 次傳統登入，來自一個掃描儀帳戶和一位用戶的舊郵件客戶端。

在哪裡看：阻止傳統身份驗證的條件訪問策略（區域 2）；按客戶端應用篩選的登入日誌（Entra 管理中心，監視，登入日誌）；Exchange 管理中心，設定，郵件流，裡的租戶級 SMTP AUTH 開關，以及每個郵箱的身份驗證設定。

達標是什麼樣：阻止策略處於開啓狀態，30 天登入日誌裡傳統登入為零，SMTP AUTH 租戶級禁用，只對打印機或應用確實需要的那個郵箱單獨開啓，並有把該設備遷到現代身份驗證的計劃。

CIS 對應：身份與訪問及 Exchange Online，Level 1。

區域 5：應用同意與企業應用程序。用戶把郵件和文件的訪問權給了誰？

檢查什麼：用戶能否自行同意第三方應用；當前哪些企業應用程序持有 Mail.ReadWrite、Files.ReadWrite.All 這類委託或應用程序權限。示例發現三個應用持有廣泛的郵件和文件權限，其中一個幾個月沒人用過。

在哪裡看：Entra 管理中心，標識，應用程序，企業應用程序，同意和權限，查看用戶同意設定與管理員同意工作流；再看企業應用程序列表，按權限排序，查已授予的內容。

達標是什麼樣：用戶同意已禁用，或只限經驗證發佈者的低影響權限；有管理員同意申請流程，員工有正規渠道提出申請；每季度複查一次，刪掉沒人用的應用。設備代碼流在條件訪問裡阻止。

CIS 對應：身份與訪問，用戶同意屬 Level 1，同意工作流屬 Level 2。

區域 6：來賓與外部共享。公司外的人能碰到什麼？

檢查什麼：來賓帳戶及其最後登入時間，SharePoint 和 OneDrive 的租戶級共享設定，站點級預設值，是否存在「任何人」鏈接。示例的第三個嚴重發現項是一個存放身份證件的客戶入職站點，預設鏈接類型是「擁有鏈接的任何人」。

在哪裡看：Entra 管理中心，用戶，按用戶類型篩選「來賓」；SharePoint 管理中心，策略，共享，查看租戶滑塊和鏈接預設值；各站點的共享設定；SharePoint 共享報告查現有鏈接。

達標是什麼樣：租戶共享不超過「新來賓和現有來賓」，「任何人」鏈接禁用或設有效期，預設鏈接類型為「特定人員」，項目結束即複查並刪除來賓，來賓訪問經條件訪問要求 MFA。如果貴公司用 Copilot，過度共享的角度見 Copilot 過度共享就緒度。

CIS 對應：SharePoint 與 OneDrive，匿名鏈接和預設值屬 Level 1，更嚴格的外部共享屬 Level 2。

區域 7：郵件流與轉發。有沒有東西在把您的郵件發到別處？

檢查什麼：轉發到外部地址的收件箱規則和郵箱級轉發，重定向或複製郵件的傳輸規則，出站垃圾郵件策略是否允許自動轉發。示例發現一位合夥人的郵箱通過六月建立的收件箱規則，把全部郵件轉到一個個人郵箱。

在哪裡看：Exchange 管理中心，郵件流，規則，查傳輸規則；Exchange 管理中心的報告或 PowerShell 查郵箱轉發和收件箱規則；Microsoft Defender 門戶，電子郵件和協作，策略，反垃圾郵件，出站，查自動轉發設定。

達標是什麼樣：自動轉發設為關閉或在出站垃圾郵件策略裡受控，除有記錄的例外外沒有外部轉發，有一條警報策略在創建轉發規則時通知管理員，並定期導出全部收件箱規則。這能防住的商業郵件欺詐模式，見 一家香港企業的供應商付款欺詐案例。

CIS 對應：Exchange Online，Level 1。

區域 8：SPF、DKIM 與 DMARC。有人能冒用您的域名發信嗎，您會知道嗎？

檢查什麼：租戶裡的每個域名（包括閒置域名）是否有 SPF 且以硬失敗或軟失敗結尾，DKIM 是否啓用並在簽名，DMARC 策略是什麼、報告發到哪裡。示例域名的 DMARC 是 p=none，報告發到一個沒人看的郵箱；閒置域名則什麼記錄都沒有。

在哪裡看：Microsoft 365 管理中心，設定，域，查 Microsoft 期望的 DNS 記錄；Defender 門戶，電子郵件和協作，策略，電子郵件身份驗證設定，查 DKIM；到貴公司的 DNS 服務商查實際發佈的記錄。

達標是什麼樣：SPF 只有一個 include 並以硬失敗結尾，每個發信域名都開啓 DKIM 簽名且密鑰有輪換，DMARC 在報告確認合法郵件已對齊後提升到 p=quarantine 或 p=reject，彙總報告發到真有人看的地方。閒置域名發佈空 SPF 和拒絕型 DMARC，使其無法被用來僞造。

CIS 對應：Exchange Online，SPF、DKIM 和 DMARC 發佈均屬 Level 1。

區域 9：Defender for Office 365 策略。預設已應用，還是仍是預設值？

檢查什麼：「標準」或「嚴格」預置安全策略（preset）是否對所有用戶應用；安全鏈接和安全附件是否對郵件、Teams 和 Office 文件開啓；反釣魚模擬保護是否列入了貴公司的高管和域名；零小時自動清除是否開啓。

在哪裡看：Defender 門戶，電子郵件和協作，策略和規則，威脅策略。預置安全策略（preset）是第一項，之後是反釣魚、反垃圾郵件、反惡意軟件、安全附件和安全鏈接。

達標是什麼樣：至少租戶級應用「標準」預設，財務和高管用「嚴格」；模擬保護裡列出最可能被冒充的人；安全附件擴展到 SharePoint、OneDrive 和 Teams；複查隔離區的放行權限。各功能包含在哪些許可裡因方案而異，判定不通過前先確認貴公司的方案包含什麼。

CIS 對應：Defender for Office 365 部分，預設和安全鏈接屬 Level 1，更嚴格的設定屬 Level 2。

區域 10：審計日誌與警報。統一審計日誌開著嗎，有人聽得見警報嗎？

檢查什麼：統一審計日誌是否啓用，按貴公司的許可事件保留多久，郵箱審計是否開啓，存在哪些警報策略、發給誰。

在哪裡看：Microsoft Purview 門戶，審核，如未開啓會有橫幅提示；Defender 門戶，警報策略，查誰會收到什麼通知；Exchange 管理中心或 PowerShell 查郵箱審計狀態。

達標是什麼樣：審計日誌開啓，保留期心中有數，必要時延長；針對新轉發規則、權限提升、批量下載和異常登入的警報策略發到一個有人讀的郵箱；每季度核對日誌裡確實有本租戶域名的事件。

CIS 對應：租戶衛生與日誌，審計日誌啓用和郵箱審計屬 Level 1。

區域 11：DLP 與敏感度標籤。有什麼能阻止受監管數據外流？

檢查什麼：是否存在任何數據丟失防護策略，監視哪些敏感信息類型，是否覆蓋 Exchange、SharePoint、OneDrive 和 Teams，敏感度標籤是否已發佈並在使用。示例裡，內置的身份證件類型匹配到近 2,000 個文件，卻沒有任何策略。

在哪裡看：Purview 門戶，數據丟失防護，策略；Purview，信息保護，標籤和標籤策略；內容資源管理器查分類器已經找到的內容。

達標是什麼樣：至少一條 DLP 策略以測試模式加通知運行，覆蓋與貴公司市場和行業相關的敏感信息類型，調優一個月後轉為強制；一小組標籤（公開、內部、機密）發佈給全體用戶；新文檔自動套用預設標籤。策略要與貴公司實際持有的數據相稱。

CIS 對應：Purview 部分，敏感類型的 DLP 屬 Level 1，標籤和更嚴格的強制屬 Level 2。

區域 12：設備與應用保護。打開貴公司數據的手機和筆記本上發生了什麼？

檢查什麼：個人手機是否在沒有應用保護策略的情況下訪問郵件和文件，條件訪問是否要求合規設備或受保護應用，有多少未受管設備，公司筆記本是否已加密並運行終端防護。示例發現七部個人手機在毫無應用保護的情況下登入。

在哪裡看：Intune 管理中心，應用，應用保護策略，查移動應用程序管理；設備，合規性，查「合規」的定義；Entra 管理中心，設備，查設備列表和加入狀態；條件訪問查把它們串起來的授予控制。

達標是什麼樣：iOS 和 Android 的應用保護策略要求 PIN、加密並可擦除公司數據；Windows 和 macOS 的合規策略要求加密和終端防護；條件訪問強制二者之一。設備檢查比租戶審計更深，Brocent 在單獨的 Intune 設備審計中處理，它有自己的 示例報告（英文頁）。

CIS 對應：Intune 與設備部分，應用保護和合規屬 Level 1，更嚴格的設備要求屬 Level 2。

這份清單做不到的事

把十二個區域走一遍，能找出明顯的缺口，多數小型租戶都會找出好幾個。但它做不到三件事。

它不會給缺口分輕重。停在僅報告模式的傳統身份驗證策略和 p=none 的 DMARC 記錄都是不通過，但前者今天就給攻擊者開了門，後者主要影響送達率。一條發現項需要嚴重程度和修復順序，這需要對貴公司機構的判斷。

它查不了手動控制項。基準裡有若干建議無法從單一設定讀出：應急帳戶是否真的有人監控，管理員是否真的使用獨立帳戶，策略裡的例外組是否合理。得有人去看、去問。

它產生不了別人可以依賴的證據。您自己的觀察表格對您有用；保險公司、客戶的採購團隊或 Cyber Essentials 評估員通常要的是帶日期的導出件，以及一份由沒有配置過這個租戶的人寫的方法說明。示例報告裡的證據包展示了那是什麼樣子。

自查、Secure Score，還是獨立審計？

• 自己走一遍這份清單： 花一個下午，能找出明顯配置錯誤的設定。適合第一次摸底，適合從來沒人複查過的租戶。產出的是筆記，不是證據。
• Microsoft Secure Score： 租戶內無需額外付費，持續更新，適合看趨勢。它只對微軟選定的操作打分，漏掉手動控制項和若干基準條目，而且它的百分比不是任何外部機構認可的及格線。
• 對照 CIS 基準的獨立審計： 審查人通過只讀應用讀取配置，核查手動控制項，給每條發現項評級並附證據和修復順序，寫出一份設計用作保險、客戶和評估方證據的報告。Brocent 的審計按人數固定收費，1 至 10 人起價 450 美元，5 至 7 個工作日出報告。範圍與價格見 Microsoft 365 保安審計頁面。

合理的順序是先自查。如果什麼都沒找到，在告訴保險公司之前您大概還是想要一個獨立的看法；如果找到一大堆，先修嚴重項，再做審計，讓結果由第三方記錄在案。

常見問題

Microsoft 365 保安審計清單包含什麼？

上面的十二個區域：MFA 覆蓋率、條件訪問、特權角色與應急帳戶、傳統身份驗證與 SMTP AUTH、應用同意與企業應用程序、來賓與外部共享、郵件流與轉發、SPF/DKIM/DMARC、Defender for Office 365 策略、審計日誌與警報、DLP 與敏感度標籤、設備與應用保護。它們對應 CIS Microsoft 365 Foundations Benchmark 的各領域，也對應 Brocent 示例報告的結構。

用這份清單審計一個 Microsoft 365 租戶要多久？

50 人以內的租戶，如果已有讀取角色，讀完並記錄每項設定大約一個下午。核查手動控制項、與持有特權角色的人面談、寫出帶嚴重程度和修復步驟的發現項，則要長得多，這也是獨立審計報價為 5 至 7 個工作日的原因。

做這份清單需要全域管理員嗎？

不需要。全局讀取者幾乎能讀本文的全部內容；安全讀取者覆蓋 Defender 和 Purview 門戶。不要用全域管理員帳戶做審計，用最小權限能看到多少，本身就是審計的一部分。

Office 365 保安審計是同一回事嗎？

是。Office 365 是這套產品的舊名字，租戶、Entra ID、Exchange Online 和 SharePoint 是同一批服務，清單無需改動即可適用。搜索「Office 365 保安審計」的人要找的通常就是這個。

應該對照哪個版本的 CIS 基準？

您做審計時 CIS Microsoft 365 Foundations Benchmark 的當前發佈版本。Brocent 的示例報告註明 v7.0.0，每份報告上都會寫明版本，讀者才能知道用的是哪一版建議。請任何服務商都說明版本。

不想自己做的話，Microsoft 365 保安審計要多少錢？

Brocent 的獨立審計按人數固定定價：1 至 10 人 450 美元，11 至 25 人 990 美元，26 至 75 人 1,800 美元，76 至 150 人 2,900 美元，更大的租戶單獨報價。全域管理員對只讀應用授權後 5 至 7 個工作日出報告。完整價目和各檔包含內容見 審計定價頁，背景見 Microsoft 365 保安審計費用一文。

這份清單能幫我通過網絡保險或 Cyber Essentials 嗎？

清單能幫您找到並修復那些問卷會問到的設定，尤其是 MFA、管理員帳戶、傳統身份驗證和補丁。本文和審計報告都不授予認證，也不保證保險公司的決定。審計報告的設計目的是在這些場合用作證據，是否足夠由評估方或保險公司判斷。

下一步

把十二個區域對照貴公司自己的租戶走一遍，把筆記連同日期留下來。如果想要第二雙眼睛，Brocent 的獨立審計通過只讀應用讀取同樣的區域，核查手動控制項，按人數固定收費、450 美元起，5 至 7 個工作日交付評級報告。詳情見 Microsoft 365 保安審計頁面，示例報告（英文頁）展示您會收到什麼。想聊聊貴公司的租戶，請 聯繫顧問。