Microsoft 365 安全審計與滲透測試有何分別？保險公司、核數師和董事會真正要哪一個

一句話版本： Microsoft 365 安全審計是對照公開基準檢查租戶配置，並告訴你先修正甚麼；滲透測試是由測試人員實際嘗試入侵，證明攻擊者可以走多遠。網絡保險問卷大多問的是配置（MFA、管理員帳號、電郵保安、日誌），審計正好可以回答；部分核數師和合規框架會點名要求滲透測試；董事會通常兩者都要，而且次序是先把配置修好，再做測試驗證。

遲早會有 IT 團隊以外的人要求你提供「安全測試」：可能是網絡保險續保表格、客戶的供應商保安問卷、外部核數師，亦可能是看了新聞的董事。這類要求很少講明是哪一種測試。最常見的兩個答案——Microsoft 365 安全審計和滲透測試——其實是兩種不同的服務，交出來的證據亦不同。

本文從買家角度比較兩者：各自檢查甚麼、提出要求的人通常是甚麼意思，以及如何安排先後，避免花錢請人做滲透測試，結果只是重新發現審計本來就能列出的配置問題。如果你想了解持續漏洞掃描和補丁管理的全貌，可先閱讀我們的漏洞管理與滲透測試指南；本文只討論 Microsoft 365 租戶。

Microsoft 365 安全審計究竟檢查甚麼？

Microsoft 365 安全審計是一次配置審查。Microsoft 365 裡面沒有屬於你的服務器可以掃描，所以審查範圍就是租戶的各項設定，以及誰可以接觸哪些資料。規範的審計會逐條對照公開基準（通常是 CIS Microsoft 365 Foundations Benchmark），就每一項控制記錄是否達標並附上證據。

實際上主要覆蓋三個範疇：

• Entra ID 身分： 每個用戶的 MFA 覆蓋情況（包括服務帳號和緊急帳號）、條件訪問策略及其排除項、特權角色、舊式身分驗證、第三方應用程式授權，以及訪客帳號。
• Exchange Online 與 Defender for Office 365： 每個域名的 SPF、DKIM、DMARC，外部自動轉寄和收件匣規則，防釣魚和安全連結策略，郵箱審計和審計日誌保留期。
• SharePoint、OneDrive、Teams 與資料： 外部共用和「任何人」連結、敏感度標籤和保留策略、Teams 外部訪問，以及可以開啟公司文件的個人設備。

交付物是一份按嚴重程度分級的發現清單、每項發現背後的證據，以及按優先次序排列的修正計劃。它的設計用途是在你回答問卷時作為證據使用，本身並不認證任何東西。我們的 Microsoft 365 審計樣本報告（英文）以一家虛構客戶展示完整格式。

審計不會做的是發動攻擊。它可以告訴你有若干帳號未登記 MFA，但不會嘗試用其中某個帳號登入。

針對 Microsoft 365 的滲透測試包括甚麼？

滲透測試是經授權、有時間限制的入侵嘗試，測試人員會記錄每一步成功的路徑。對大部分中小企來說，「滲透測試」通常針對互聯網暴露面、內部網絡或某個網頁應用程式。我們的滲透測試服務列出了常見類型：外部、內部、網頁應用程式和社交工程。

Microsoft 365 比較特別，因為平台不屬於你。微軟發佈了《Microsoft Cloud 統一滲透測試規則》（Microsoft Cloud Unified Penetration Testing Rules of Engagement），適用於包括 Microsoft 365 在內的微軟雲端服務。測試只可以在你自己的租戶和獲授權的帳號範圍內進行，禁止阻斷服務測試，亦禁止針對其他客戶。所以，涉及 Microsoft 365 的滲透測試，本質上測的是你的身分體系、配置和員工：測試人員能否取得有效憑證、MFA 能否擋住他們、被釣魚的工作階段能否讀取電郵和文件、低權限帳號能否提升權限。

這很有價值，但請留意當中有多少取決於配置。如果審計會發現舊式身分驗證仍然開啟，或者管理員沒有使用防釣魚的 MFA，測試人員亦會發現同樣的問題——你只是花了更多錢、走了更慢的路，得到一個本可以先修好的發現。

安全審計、滲透測試、漏洞掃描一覽

三者比較

• 回答的問題： 審計問「租戶是否按基準建議配置」；滲透測試問「有人真的可以入侵嗎，可以走多遠」；漏洞掃描問「這些系統目前暴露了哪些已知弱點」。
• 方法： 審計是唯讀地檢查設定和日誌；滲透測試是在約定規則內的授權攻擊；掃描是自動化、可重複的。
• 在 Microsoft 365 的範圍： 審計覆蓋租戶內所有工作負載；滲透測試在微軟規則內覆蓋你的身分、配置和人員；網絡漏洞掃描根本不會查看 Microsoft 365 內部。
• 典型交付物： 審計提供分級發現清單、證據和修正計劃；滲透測試提供攻擊過程敘述及每一步的證明；掃描提供按嚴重程度排列的漏洞清單。
• 最適合作哪類證據： 審計適合保險問卷和配置類問題；滲透測試適合明確點名要求滲透測試的框架或合約；掃描適合服務器和終端的日常保養。
• 多久會過時： 三者都只代表某一時間點；審計和掃描重做的成本較低，滲透測試則較高。

網絡保險公司通常在問甚麼？

請逐字閱讀續保表格。大部分網絡保險投保問卷問的是控制措施：電郵和遠程訪問是否強制 MFA、管理員帳號是否獨立並受保護、舊式身分驗證是否已封鎖、備份是否定期進行並測試過、日誌保留多久。這些都是配置問題，Microsoft 365 審計會就每一項給出附日期的答案。我們的文章以 Microsoft 365 證據回答網絡保險問卷逐條講解了常見問題。

如果表格問「過去 12 個月有否做過滲透測試」，通常關心的是你的互聯網暴露系統；對小公司來說，只要控制類問題答得好，答「否」往往亦可接受。如果表格或保險經紀把滲透測試列為承保條件，那就去做，但要按對方所指的系統訂範圍，並先修好配置類發現，免得測試報告一開頭就是本可避免的基本問題。

交給保險公司的任何證據都要遵守兩條：註明日期；永遠不要形容為「保險公司認可」。最終由保險公司根據你提交的資料自行決定。

外部核數師或合規框架要甚麼？

視乎框架，最誠實的做法是閱讀條文原文。

• 點名要求滲透測試的框架： PCI DSS v4.0.1 第 11.4 條要求至少每 12 個月及在重大變更後進行內部和外部滲透測試。如果你在 PCI 範圍內，審計不能取代它。
• 要求控制證據的框架： ISO 27001 監察審核、SOC 2 報告以及大部分客戶的供應商問卷，主要想看到控制存在而且在運作：訪問覆核、MFA、日誌、配置標準。附日期匯出記錄的配置審計，通常更接近核數師抽樣的內容。
• 英國 Cyber Essentials： 該計劃的問題都與配置有關，例如雲端服務 MFA、管理員帳號和安全配置。我們的審計報告包含 Microsoft 365 部分的準備度一覽，最終由認證機構自行決定。
• 亞洲受監管的金融機構： 監管指引往往期望對關鍵系統定期進行滲透測試。香港和新加坡的具體觸發情況見我們的漏洞管理與滲透測試指南。

如果對方的要求很含糊（例如「提供安全測試證據」），直接問核數師正在抽查哪一項控制。答案通常一句話就能決定該做哪一個。

董事會真正需要甚麼？

董事會不關心方法論，他們想知道三件事：我們暴露程度有多大、正在採取甚麼行動、怎樣知道措施有效。兩種服務分別回答其中不同部分。

審計回答「暴露程度多大、先修正甚麼」：一份分級清單、一份簡短的修正路線圖，以及每項的工作量估算，幾乎不用改就可以變成一份董事會文件。滲透測試回答「面對真實攻擊者能否守住」：一段關於攻擊者可以接觸甚麼的敘述，很有說服力，但範圍較窄，因為它只描述了一位測試人員在固定日數內找到的路徑。

對大部分中小企董事會來說，合理的要求是：現在先做審計，修正高嚴重度發現，然後委託滲透測試來驗證結果。這樣的次序亦給了董事會一個看得明白的「前後對比」。

應該先做哪一個？

在絕大部分 Microsoft 365 環境中，審計應該先做，原因有三：

1. 每個發現的成本較低。 MFA 排除項、舊協定、過度開放的共用這類配置缺口，讀設定比攻擊更快發現。
2. 它令測試更有價值。 面對已經加固的租戶，測試人員會把時間花在更難的路徑上，而這正是你付錢的目的。
3. 它即時給你可執行的事項。 大部分審計發現只是配置調整，毋須購買新授權。

只有當合約、框架或保險公司把滲透測試列為有限期的條件時，才應先做滲透測試。即使如此，在測試人員開始前先做一次快速配置檢查亦是值得的。

英國和澳洲的買家

Microsoft 365 審計全程遙距交付：全域管理員批准一個唯讀應用程式，書面報告在取得租戶訪問權限後 5–7 個工作天內交付，講解會議按你所在地的辦公時間安排。如需日常 IT 支援，可參考我們的英國 IT 支援（英文）和澳洲 IT 支援（英文）頁面。

費用和所需時間大概是多少？

審計按 Microsoft 365 用戶數收取一次性固定費用，不同規模的檢查範圍完全相同。現行價目，以及季節性優惠（如有）都列於 Microsoft 365 安全審計價格頁。書面報告在取得租戶訪問權限後 5–7 個工作天內交付。

滲透測試則按每個項目個別訂範圍，因為工作量視乎範圍大小：有多少個外部地址、是否包括內部網絡或網頁應用程式、是否容許社交工程。一般流程是：範圍溝通會議、書面測試規則文件、以日計的測試時段，然後是報告，以及對已修正發現的重測。

常見問題

Microsoft 365 安全審計和漏洞評估是同一回事嗎？

就 Microsoft 365 而言，基本上是。租戶裡沒有你自己的基礎設施可以掃描，所以「Microsoft 365 漏洞評估」實際上就是對照基準的配置審查。為你自己的服務器、防火牆和手提電腦做漏洞掃描，是另一項獨立服務。

可以不經微軟許可就為 Microsoft 365 做滲透測試嗎？

做法是遵守微軟公開的測試規則，而不是每次申請批准。規則把測試限制在你自己的租戶和獲授權的帳號內，禁止阻斷服務測試和任何針對其他客戶的行為。任何正規的測試方都會把這些限制寫進書面範圍。

滲透測試會發現和審計一樣的問題嗎？

部分會。測試人員發現沒有 MFA 的帳號就會加以利用，所以這個缺口兩邊都會出現。但測試只停留在限定時間內成功的路徑，而審計會列出所有不達標的控制，包括那些只有組合起來才危險的問題。

保險公司要求滲透測試，可以用審計代替嗎？

只有保險公司或經紀同意才可以。無論如何都應把審計證據用於回答控制類問題，並以書面詢問滲透測試是承保條件還是評分項目。如果是條件，就按對方所指的系統訂範圍做測試。

兩者分別多久做一次？

審計建議每年做一次，並在重大變化（例如併購、新租戶、授權調整）後重做。滲透測試在框架有要求時通常每年一次，並在範圍內系統出現重大變更後再做。

審計會幫我們修正問題嗎？

不會。審計是唯讀的，交付的是發現和修正計劃。修正是另一項工作，可以由你自己的團隊、現有服務商完成，亦可以由我們按單項報價執行。

下一步

如果你手上有一份寫著「安全測試」的問卷、核數師要求或董事會決議，發給我們，我們會告訴你它要的是哪一種。聯絡顧問，或者先從 Microsoft 365 安全審計開始，待發現項目處理完畢後再加做滲透測試。