Microsoft 365 MFA 缺口报告：审计交付物如何列出 Entra 中没有 MFA 的用户

一句话结论： Microsoft 365 MFA 缺口报告是一份带日期、逐账户的记录：哪些账户仍然可以只凭密码登录，每个人注册了什么方法，哪些账户被排除在策略之外、为什么，以及条件访问策略是否真的在执行。当"我们有 MFA"这句话不够用的时候，保险公司和审核方要的就是这份文件。本文说明一份合格的报告包含什么、怎样读。

大多数说自己"已经启用多因素身份验证"的租户，确实对大多数人、在大多数时候启用了。问题出在剩下的那一小部分：2023 年之后没人碰过的紧急访问账户、躺在排除组里的打印机扫描邮箱、三位注册了短信作为备用方式却从没设置过更强方法的用户。Microsoft 365 MFA 缺口报告的作用，就是把这一小部分找出来，写成别人能核对的形式。

这篇文章不教你怎样开启 MFA。如果你需要操作步骤，如何在 Microsoft 365 中启用 MFA 一文已经讲清了安全默认值、条件访问，以及怎样导出尚未注册的用户名单。本文讲的是交付物本身：一份审计级别的缺口报告长什么样、通常会发现什么、拿到报告后的三十天该做什么。

什么是 MFA 缺口报告？为什么"MFA 已开启"不算回答？

MFA 缺口报告是对 Microsoft Entra 租户中每一个账户的 MFA 覆盖情况做的时点记录，并对例外逐一说明。关键词是"每一个"。在 Entra 里，给一组用户强制 MFA 很容易；把少数几个账户留在这组之外而没有察觉，也出奇地容易，因为排除项和创建策略的位置并不在同一处。

"MFA 已开启"通常是以下三种情况之一，每一种都留下不同的缺口：

• 启用了安全默认值。 所有人都会被要求注册，管理员每次都会被提示。但安全默认值无法排除任何账户，所以需要一个例外的租户往往把它关掉了，而替代方案从未完成。
• 有一条条件访问策略对所有用户要求 MFA。 这是正确的设计，但策略的完整程度取决于它的排除项。每一个排除组，就是一份可以只凭密码登录的账户清单。
• 多年前启用过按用户 MFA。 旧的按用户设置在一些租户里仍然存在。它只作用于当年被勾选的账户，而没有人拿这份名单和现在的员工目录对过。

缺口报告横跨这三种情况。它不问策略怎么写，而是逐个账户地问：如果这个密码今晚被盗，会发生什么。

Microsoft 365 MFA 缺口报告包含哪些内容？

Brocent 的 Microsoft 365 安全审计中，MFA 缺口这一节有固定的结构。了解这个结构，你就能评判任何服务商的报告，包括我们自己的。Microsoft 365 安全审计示例报告（英文页）以一家虚构客户展示了完整版式，其中 MFA 部分包含以下内容。

每个账户的注册状态

每个账户一行，而不是每个持牌用户一行。这个区别很重要，因为惹出麻烦的往往是未授权许可证的账户、共享账户或服务账户，按许可证导出的名单根本看不到它们。每一行记录是否已注册 MFA、是否被策略强制、最后一次登录日期。六个月没登录又没有 MFA 的账户，和一个活跃账户是两种不同的问题，报告会标明是哪一种。

每个用户的方法，以及哪些是抗钓鱼的

"有一种方法"不等于"有一种强方法"。报告列出每个人已注册的方法，并标注能抵御中间人钓鱼的那些：通行密钥、FIDO2 安全密钥、Windows Hello 企业版。Microsoft Authenticator 的数字匹配推送被列为强第二因素，但不算抗钓鱼。只要身份验证方法策略里短信和语音仍处于启用状态，报告就会标出，因为启用的方法可以被注册为备用方式，然后被使用。

在示例报告中，14 名员工里有 12 人依赖 Authenticator 推送，2 人有通行密钥，三位全局管理员全部使用推送，短信仍然启用且有 4 名用户把它注册为备用方式。这是小型专业服务公司的典型画面，评级是"高"而不是"严重"，因为第二因素存在，只是对最要紧的账户没有要求最强的形式。

例外：管理员、来宾、服务账户和共享邮箱

这一节是报告名字的由来。对每一个被排除在 MFA 要求之外的账户，报告记录是哪条策略排除了它、通过哪个组、谁负责、是否写明了理由。常见类别有：

• 紧急访问（break-glass）账户。 把它排除在日常 MFA 之外是合理的，前提是它有专属策略、注册了抗钓鱼方法、有登录告警。三样都没有就排除，是一项"严重"发现。
• 服务账户和设备账户。 多功能打印机的扫描转邮件账户是经典案例。它是一个有许可证的用户账户，密码设置过一次就再没动过，因为打印机做不了 MFA 而被放进排除组。解决办法不是给打印机加 MFA，而是把它迁到 SMTP 中继或连接器，让这个账户可以被覆盖或者干脆删除。
• 允许登录的共享邮箱。 共享邮箱本来就不应该能登录。如果它能登录，又不在 MFA 覆盖之内，那它就是一个账户。
• 来宾用户。 合作机构的来宾往往按设计不在"所有用户"范围内，这没问题，只要有另一条策略对来宾要求 MFA。报告会检查这条策略是否存在。
• "临时"排除的用户。 出差的、手机坏了的、匆忙入职的。临时排除有变成永久的习惯。

示例报告的第一项"严重"发现正是这个模式："所有用户，要求 MFA"策略排除了一个叫 CA-Exclude 的组，组里有一个没有注册任何 MFA 方法、密码上次设置于 2023 年 3 月的全局管理员紧急账户，还有打印机的扫描账户。

条件访问覆盖范围及其背后的排除组

策略列表不等于覆盖范围。报告逐条读取与 MFA 相关的条件访问策略，记录它的状态（开启、仅报告、关闭）、用户范围、应用范围，以及每一个排除组和组内成员。一条从二月起就停在"仅报告"模式的策略，会被记录为没有执行任何东西，因为事实就是如此。小型租户的条件访问基线一文说明了六条核心策略应该是什么样子；缺口报告则告诉你你的策略是否对得上。

按部门汇总和总览百分比

决策者需要一个数字，报告给出一个：已强制 MFA 的活跃账户百分比，旁边是抗钓鱼方法的占比。然后按部门或业务单元拆开，因为"94% 覆盖率"这句话，在缺的 6% 是财务部的时候，读起来完全是另一回事。

提取日期和证据形式

每一个数字都带有从租户读取的日期和时间、使用的方法（只读的 Microsoft Graph 应用），以及证据附录中导出文件的编号。示例报告记录了某一天的只读扫描和两天后的复核。正是这个细节让别人可以依赖这份报告。一张没有日期的管理中心截图是观点；一份带日期、附有查询语句的导出文件才是证据。

怎样读一份 MFA 缺口报告？

按下面的顺序读，别从百分比开始。

1. 先看例外。排除组里的每一个账户，在证明之前都应当视为只凭密码就能登录的账户。问一问每一个是否写明了理由、有没有负责人。
2. 再看管理员那几行。一个没有抗钓鱼 MFA 的管理员，比十几个没有任何 MFA 的普通用户风险更大，因为攻破这一个账户就等于攻破整个租户。
3. 然后核对策略状态。就报告而言，"仅报告"模式等同于关闭。
4. 这时才看覆盖百分比，并且拿它和账户总数比，而不是和许可证数量比。
5. 最后看日期。如果提取时间距离你阅读的那天超过三十天，情况多半已经变了。

一份让你到处翻找例外、把策略状态藏在附录里的报告，是为作者而不是为读者编排的。

报告通常会发现哪些缺口？

Brocent 不公布客户数据，下面的例子来自示例报告的发现项和对规律的描述，不是统计数字。

• 没有第二因素的紧急账户。 多年前按规范建好、按指引排除在 MFA 之外，然后再也没有配过安全密钥、登录告警或轮换密码。示例中它是一项"严重"发现，目标在 14 天内处理。
• 排除组里的设备账户。 打印机、门禁控制器、会发邮件的业务应用。每一个都是做不了 MFA 的持牌账户，于是被排除，硬件的局限就这样悄悄变成了身份缺口。
• 对管理员来说不够强的强 MFA。 示例中三位全局管理员都用推送通知。推送对员工来说是不错的第二因素；对管理员，报告建议通过条件访问强制要求抗钓鱼的身份验证强度。
• 日常账户永久持有全局管理员角色。 严格说这不是 MFA 缺口，但报告把它记在同一节，因为风险一模一样：最可能点开钓鱼附件的那个账户，同时也是能改动所有设置的账户。
• 旧式身份验证仍被允许。 MFA 保护不了不支持它的协议。只要日志里出现 IMAP、POP 或 SMTP AUTH 登录，无论覆盖率多高，MFA 策略都有一个洞。示例报告在三十天内发现了 214 次这类登录，来自扫描账户和一位 Thunderbird 用户。
• 短信仍是启用的方法。 多数人没注册，但在租户层面是启用的，这意味着任何人都可以把它注册为备用方式，拿到密码的攻击者也就能用它。

香港一家会计师事务所推行 MFA 的案例展示了这些缺口在真实规模的机构里是什么样子，以及员工在补上缺口时的实际体验。

保险公司和审核方在 MFA 覆盖率证据里看什么？

网络保险问卷已经变得很具体。问题很少再是"你们用 MFA 吗"，而是"是否对所有用户、所有管理员、所有远程访问和所有邮件访问强制了 MFA，并且能否举证"。大客户发来的供应商安全问卷换了措辞问同一件事。对面向英国市场的企业，Cyber Essentials 把"云服务上可用但未启用 MFA"视为不通过的条件，Cyber Essentials 与 Microsoft 365 一文有说明。

这些审阅者能用得上的文件，应当：

• 带日期，能对应到续保或评估周期。
• 覆盖每一个账户，例外逐一列出并说明，而不是藏起来。
• 区分"已强制"和"已注册"。 已注册是用户设置了方法；已强制是有策略要求它。只有后者才回答了问题。
• 写明方法，让审阅者看到"MFA"指的是通行密钥还是短信。
• 附上策略证据，包括条件访问导出和背后的组成员。

Brocent 的报告和配套工作簿正是为了在这类对话中用作证据而设计的。它们不会让任何保险公司、审核方或认证机构接受任何东西，那是对方的决定。报告做的，是把事实整理成可以核对的形式。配套文章用 Microsoft 365 证据回答网络保险问卷逐题讲解了具体问法。

了解 MFA 覆盖情况的三种途径

多数人真正需要的比较，是已经存在或可以购买的三种 MFA 信息来源之间的比较，因为它们回答的是不同的问题。

• Entra 内置的身份验证方法注册与活动报告。 随 Entra 提供，不另收费，在注册状态上是准确的。它不知道条件访问的排除项，说不出哪些账户被排除在强制之外，也不记录策略状态。适合追着未注册的用户跑；作为证据则偏弱。
• Secure Score 的 MFA 改进操作。 同样内置。Secure Score 给出一个百分比和一项建议操作，作为趋势线很有用。它只读取 API 暴露的内容，不列出例外，也没有保险公司或审核方会把 Secure Score 截图当成覆盖率评估。Secure Score、CIS 基准与 ScubaGear 的比较一文解释了原因。
• 审计缺口报告。 付费、带日期、到账户级别、例外有说明、策略状态有记录、证据文件随附，并且由人工核查脚本读不到的手动控制项。这是你可以交给别人的那一份。

前两种告诉你该修什么。第三种告诉别人你修好了。

拿到报告后的三十天应该做什么？

示例报告自带的路线图是个合理的模板，它把 MFA 事项排在最前面。

1. 第 0 到 14 天：关闭"严重"项。 给紧急账户注册抗钓鱼方法，配专属策略和告警。把扫描转邮件账户迁到中继或连接器。把"阻止旧式身份验证"策略从"仅报告"切到"开启"，在组织层面禁用 SMTP AUTH。
2. 第 15 到 30 天：提高管理员的门槛。 在身份验证方法策略里启用通行密钥，通过条件访问对所有管理员角色要求抗钓鱼的身份验证强度，把日常用户从永久分配的全局管理员角色里移出来，改用专用管理账户。
3. 第 15 到 60 天：推广到所有人。 办一场简短的引导会让员工注册通行密钥，注册完成后禁用短信和语音方法。
4. 复核。 重新提取数据，比较覆盖数字。第一次读取时有缺口、复核时没有缺口的报告，才是大多数审阅者真正想看的证据：不是从来没有缺口，而是缺口被找到并关闭了。

如果机构里没有人手做这些事，这正是管理型 MFA 推行服务的用武之地。Brocent 的 MFA 解决方案页面介绍了实施服务，涵盖策略设计、员工引导会和后续复核，而审计通常是这项工作的起点。

常见问题

什么是 Microsoft 365 的 MFA 缺口报告？

一份带日期、逐账户的记录：Microsoft Entra 租户里哪些账户被强制使用多因素身份验证、每个账户注册了什么方法、哪些账户被排除在要求之外及其原因、负责执行的条件访问策略处于什么状态。它是 Microsoft 365 安全审计的一个章节，也是保险公司和审核方问得最多的章节。

我怎样自己找出 Entra 中没有 MFA 的用户？

Entra 管理中心的身份验证方法注册报告列出了谁已注册、谁未注册，一段简短的 PowerShell 查询可以把同一份名单导出为 CSV。上面链接的操作指南有具体步骤。这份导出看不到的是排除组，所以要配合逐条检查条件访问策略的排除项。

身份验证方法注册报告对保险公司来说够用吗？

通常单靠它不够。它显示的是注册而不是强制，对例外和策略状态只字不提。审阅者往往还会要策略证据。审计报告把两者连同日期汇成一份文件，正是为了用作证据而设计的。

Brocent 的 MFA 缺口报告会改动我的租户吗？

不会。审计使用只读的 Microsoft Graph 应用，由你的一位全局管理员一次性授权。它读取配置和登录元数据，不读邮件和文档，也不改任何设置。随时可以通过移除该应用来撤销授权。

审计费用多少？需要多长时间？

Microsoft 365 安全审计按人数固定定价：1 到 10 位用户 450 美元，11 到 25 位 990 美元，26 到 75 位 1,800 美元，76 到 150 位 2,900 美元，更大的租户另行报价。授予只读访问后 5 到 7 个工作日出报告。MFA 缺口一节包含在内，不单独出售。详情见 Microsoft 365 安全审计定价页。

什么算抗钓鱼的 MFA？

把登录绑定到合法站点、让代理页面无法重放的方法：通行密钥、FIDO2 安全密钥、Windows Hello 企业版。Authenticator 数字匹配推送是强第二因素，但可能被中间人工具击破。短信和语音最弱，报告会在它们仍然启用的地方标出。

报告会说我们"合规"吗？

不会。报告对照 CIS Microsoft 365 基准记录租户的事实，并注明某项发现与 Cyber Essentials 或常见保险问题的关联。它不认证任何体系或法规的合规性，也不保证任何保险公司或审核方会接受它。它是为了用作证据而设计的，判断权在对方手里。

下一步

如果你已经知道租户里有没人能解释的排除项，先从内置的注册报告和操作指南开始，这周就把明显的缺口关掉。如果你需要一份机构外的人可以依赖的文件，审计会在对租户的完整检查中产出本文描述的缺口报告。范围、价格档位和 5 到 7 个工作日的周期见定价页，示例报告见 Report Central 页面（英文页），想先聊一聊的话，请联系顾问。