Microsoft 365 安全审计清单：租户里要逐项检查的 12 个区域

一句话结论： 一份 Microsoft 365 安全审计清单覆盖租户的十二个区域：MFA 覆盖率、条件访问、特权角色与应急账户、传统身份验证与 SMTP AUTH、应用同意、来宾与外部共享、邮件转发、SPF/DKIM/DMARC、Defender for Office 365 策略、审计日志、DLP 与敏感度标签、设备与应用保护。本文告诉你每项设置在哪里、什么算达标，顺序与 Brocent 公开的示例报告一致。

搜索 Microsoft 365 安全审计清单的人，通常想要两样东西：一份一个下午就能自己走完的清单，以及一个判断结果有没有意义的办法。本文给你第一样，对第二样也会说实话。

下面十二个区域的顺序，沿用 Brocent 为一家虚构客户公开的 Microsoft 365 安全审计示例报告（英文页）。那份报告按领域组织：身份与访问、邮件、Defender、SharePoint 与 OneDrive、Teams、租户卫生与日志、设备。示例把一个 14 人的租户对照 CIS Microsoft 365 Foundations Benchmark 的 Level 1 和 Level 2 逐项测量，里面的发现项正是中小型租户最常出问题的地方。所以这份清单不是纸上谈兵，每个区域都是真实租户常常不达标的位置。

开始前两点说明。第一，这里的所有内容都可以用"全局读取者"之类的只读角色查看，完成清单不需要改任何东西。第二，这是一份页面上的清单，不是表单，没有东西要下载，也不用留联系方式。

如何审计 Microsoft 365 租户：先讲方法，再看清单

租户审计把同一个问题问十二遍：这项设置是否按照公认的基准配置了？如果没有，这个差距对这家机构重不重要？基准之所以重要，是因为"安全"不是一种感觉。CIS Microsoft 365 Foundations Benchmark 分两级发布建议：Level 1 是每家机构都应采用的设置，Level 2 是可能影响易用性的更严格设置。Microsoft Secure Score 衡量的是一组相关但更窄的操作。两者的差别见 Brocent 的文章 Secure Score、CIS 基准与 ScubaGear 的区别。

每个区域按以下顺序做：

1. 打开该区域指明的管理中心，读出当前设置。
2. 把看到的内容连同日期记进表格。截图或导出比文字笔记更好。
3. 与"达标是什么样"对照，把这一行标为通过、不通过或不适用。
4. 如果不通过，写一句话说明它对你们业务意味着什么，不要写泛泛的后果。

最后一步才把一份设置清单变成审计。一条发现项，等于一项设置加一个后果。

区域 1：MFA 覆盖率。每个启用账户都有第二因素吗？

检查什么：每个启用用户的注册状态、注册了哪些方法、MFA 是真正被强制还是只是"可以用"。示例报告里的严重发现项是两个仍能不用 MFA 登录的账户，其中一个是全局管理员，被一个没人复查的组排除在策略之外。

在哪里看：Microsoft Entra 管理中心，保护，身份验证方法，用户注册详情。这份报告显示谁注册了、用的什么方法。强制执行在条件访问（下一区域）里；没有 Entra ID P1 的租户则在 Entra ID，概述，属性，安全默认值。

达标是什么样：每个启用账户至少有一种强方法，管理员使用通行密钥等抗钓鱼方法，短信和语音已作为方法禁用，强制策略的排除组里没有真人。开启 MFA 的分步做法见 如何在 Microsoft 365 中启用 MFA。

CIS 对应：身份与访问，所有用户和管理员启用 MFA 属 Level 1，抗钓鱼方法属 Level 2。

区域 2：条件访问。基线策略是开着的，还是一直停在仅报告模式？

检查什么：策略列表、各自状态、适用对象，尤其是排除了谁。示例里第二个严重发现项是一条"阻止传统身份验证"策略从二月起一直停在仅报告模式，也就是什么都没拦。

在哪里看：Entra 管理中心，保护，条件访问，策略。逐条打开，看排除项、授予控制，以及状态是开、关还是仅报告。

达标是什么样：一小组命名清楚的策略，分别对所有用户和管理员要求 MFA、阻止传统身份验证、保护安全信息注册，有 Intune 的话再要求合规设备或受保护应用。排除项只限两个应急访问账户和有记录的服务账户。测试期过后没有任何策略还停在仅报告模式。应该先建哪六条策略，见 条件访问基线策略。

CIS 对应：身份与访问，核心策略属 Level 1，基于设备和登录频率的控制属 Level 2。

区域 3：特权角色与应急账户。谁是全局管理员，用的是哪个账户？

检查什么：多少账户持有全局管理员及其他特权角色，这些是不是平时收邮件、开 Teams 的同一个账户，分配是永久的还是按需激活的，是否存在两个受保护的应急访问账户。

在哪里看：Entra 管理中心，角色和管理员，再看每个角色的分配。有许可的话，Privileged Identity Management 会显示"符合条件"与"活动"的分配。示例里三个人永久持有全局管理员，其中两人每天就用这个账户办公。

达标是什么样：全局管理员两到四个，每人用一个只做管理的独立管理账户，有 PIM 时按需激活而非永久分配；两个仅云端的应急账户使用抗钓鱼方法，排除在条件访问之外，任何登录都有监控。身份这一侧的更多说明见 Microsoft 365 与 Entra ID 安全审计。

CIS 对应：身份与访问，限制全局管理员数量和独立管理账户属 Level 1，PIM 属 Level 2。

区域 4：传统身份验证与 SMTP AUTH。还有什么能绕过现代身份验证登录？

检查什么：传统协议（IMAP、POP、SMTP AUTH、旧版 Office 客户端）是否被阻止，是否还有东西在用。示例租户 30 天内有 214 次传统登录，来自一个扫描仪账户和一位用户的旧邮件客户端。

在哪里看：阻止传统身份验证的条件访问策略（区域 2）；按客户端应用筛选的登录日志（Entra 管理中心，监视，登录日志）；Exchange 管理中心，设置，邮件流，里的租户级 SMTP AUTH 开关，以及每个邮箱的身份验证设置。

达标是什么样：阻止策略处于开启状态，30 天登录日志里传统登录为零，SMTP AUTH 租户级禁用，只对打印机或应用确实需要的那个邮箱单独开启，并有把该设备迁到现代身份验证的计划。

CIS 对应：身份与访问及 Exchange Online，Level 1。

区域 5：应用同意与企业应用程序。用户把邮件和文件的访问权给了谁？

检查什么：用户能否自行同意第三方应用；当前哪些企业应用程序持有 Mail.ReadWrite、Files.ReadWrite.All 这类委托或应用程序权限。示例发现三个应用持有广泛的邮件和文件权限，其中一个几个月没人用过。

在哪里看：Entra 管理中心，标识，应用程序，企业应用程序，同意和权限，查看用户同意设置与管理员同意工作流；再看企业应用程序列表，按权限排序，查已授予的内容。

达标是什么样：用户同意已禁用，或只限经验证发布者的低影响权限；有管理员同意申请流程，员工有正规渠道提出申请；每季度复查一次，删掉没人用的应用。设备代码流在条件访问里阻止。

CIS 对应：身份与访问，用户同意属 Level 1，同意工作流属 Level 2。

区域 6：来宾与外部共享。公司外的人能碰到什么？

检查什么：来宾账户及其最后登录时间，SharePoint 和 OneDrive 的租户级共享设置，站点级默认值，是否存在"任何人"链接。示例的第三个严重发现项是一个存放身份证件的客户入职站点，默认链接类型是"拥有链接的任何人"。

在哪里看：Entra 管理中心，用户，按用户类型筛选"来宾"；SharePoint 管理中心，策略，共享，查看租户滑块和链接默认值；各站点的共享设置；SharePoint 共享报告查现有链接。

达标是什么样：租户共享不超过"新来宾和现有来宾"，"任何人"链接禁用或设有效期，默认链接类型为"特定人员"，项目结束即复查并删除来宾，来宾访问经条件访问要求 MFA。如果你们用 Copilot，过度共享的角度见 Copilot 过度共享就绪度。

CIS 对应：SharePoint 与 OneDrive，匿名链接和默认值属 Level 1，更严格的外部共享属 Level 2。

区域 7：邮件流与转发。有没有东西在把你的邮件发到别处？

检查什么：转发到外部地址的收件箱规则和邮箱级转发，重定向或复制邮件的传输规则，出站垃圾邮件策略是否允许自动转发。示例发现一位合伙人的邮箱通过六月建立的收件箱规则，把全部邮件转到一个个人邮箱。

在哪里看：Exchange 管理中心，邮件流，规则，查传输规则；Exchange 管理中心的报告或 PowerShell 查邮箱转发和收件箱规则；Microsoft Defender 门户，电子邮件和协作，策略，反垃圾邮件，出站，查自动转发设置。

达标是什么样：自动转发设为关闭或在出站垃圾邮件策略里受控，除有记录的例外外没有外部转发，有一条警报策略在创建转发规则时通知管理员，并定期导出全部收件箱规则。这能防住的商业邮件欺诈模式，见 一家香港企业的供应商付款欺诈案例。

CIS 对应：Exchange Online，Level 1。

区域 8：SPF、DKIM 与 DMARC。有人能冒用你的域名发信吗，你会知道吗？

检查什么：租户里的每个域名（包括闲置域名）是否有 SPF 且以硬失败或软失败结尾，DKIM 是否启用并在签名，DMARC 策略是什么、报告发到哪里。示例域名的 DMARC 是 p=none，报告发到一个没人看的邮箱；闲置域名则什么记录都没有。

在哪里看：Microsoft 365 管理中心，设置，域，查 Microsoft 期望的 DNS 记录；Defender 门户，电子邮件和协作，策略，电子邮件身份验证设置，查 DKIM；到你们的 DNS 服务商查实际发布的记录。

达标是什么样：SPF 只有一个 include 并以硬失败结尾，每个发信域名都开启 DKIM 签名且密钥有轮换，DMARC 在报告确认合法邮件已对齐后提升到 p=quarantine 或 p=reject，汇总报告发到真有人看的地方。闲置域名发布空 SPF 和拒绝型 DMARC，使其无法被用来伪造。

CIS 对应：Exchange Online，SPF、DKIM 和 DMARC 发布均属 Level 1。

区域 9：Defender for Office 365 策略。预设已应用，还是仍是默认值？

检查什么："标准"或"严格"预设安全策略是否对所有用户应用；安全链接和安全附件是否对邮件、Teams 和 Office 文件开启；反钓鱼模拟保护是否列入了你们的高管和域名；零小时自动清除是否开启。

在哪里看：Defender 门户，电子邮件和协作，策略和规则，威胁策略。预设安全策略是第一项，之后是反钓鱼、反垃圾邮件、反恶意软件、安全附件和安全链接。

达标是什么样：至少租户级应用"标准"预设，财务和高管用"严格"；模拟保护里列出最可能被冒充的人；安全附件扩展到 SharePoint、OneDrive 和 Teams；复查隔离区的放行权限。各功能包含在哪些许可里因方案而异，判定不通过前先确认你们的方案包含什么。

CIS 对应：Defender for Office 365 部分，预设和安全链接属 Level 1，更严格的设置属 Level 2。

区域 10：审计日志与警报。统一审计日志开着吗，有人听得见警报吗？

检查什么：统一审计日志是否启用，按你们的许可事件保留多久，邮箱审计是否开启，存在哪些警报策略、发给谁。

在哪里看：Microsoft Purview 门户，审核，如未开启会有横幅提示；Defender 门户，警报策略，查谁会收到什么通知；Exchange 管理中心或 PowerShell 查邮箱审计状态。

达标是什么样：审计日志开启，保留期心中有数，必要时延长；针对新转发规则、权限提升、批量下载和异常登录的警报策略发到一个有人读的邮箱；每季度核对日志里确实有本租户域名的事件。

CIS 对应：租户卫生与日志，审计日志启用和邮箱审计属 Level 1。

区域 11：DLP 与敏感度标签。有什么能阻止受监管数据外流？

检查什么：是否存在任何数据丢失防护策略，监视哪些敏感信息类型，是否覆盖 Exchange、SharePoint、OneDrive 和 Teams，敏感度标签是否已发布并在使用。示例里，内置的身份证件类型匹配到近 2,000 个文件，却没有任何策略。

在哪里看：Purview 门户，数据丢失防护，策略；Purview，信息保护，标签和标签策略；内容资源管理器查分类器已经找到的内容。

达标是什么样：至少一条 DLP 策略以测试模式加通知运行，覆盖与你们市场和行业相关的敏感信息类型，调优一个月后转为强制；一小组标签（公开、内部、机密）发布给全体用户；新文档自动套用默认标签。策略要与你们实际持有的数据相称。

CIS 对应：Purview 部分，敏感类型的 DLP 属 Level 1，标签和更严格的强制属 Level 2。

区域 12：设备与应用保护。打开你们数据的手机和笔记本上发生了什么？

检查什么：个人手机是否在没有应用保护策略的情况下访问邮件和文件，条件访问是否要求合规设备或受保护应用，有多少未受管设备，公司笔记本是否已加密并运行终端防护。示例发现七部个人手机在毫无应用保护的情况下登录。

在哪里看：Intune 管理中心，应用，应用保护策略，查移动应用程序管理；设备，合规性，查"合规"的定义；Entra 管理中心，设备，查设备列表和加入状态；条件访问查把它们串起来的授予控制。

达标是什么样：iOS 和 Android 的应用保护策略要求 PIN、加密并可擦除公司数据；Windows 和 macOS 的合规策略要求加密和终端防护；条件访问强制二者之一。设备检查比租户审计更深，Brocent 在单独的 Intune 设备审计中处理，它有自己的 示例报告（英文页）。

CIS 对应：Intune 与设备部分，应用保护和合规属 Level 1，更严格的设备要求属 Level 2。

这份清单做不到的事

把十二个区域走一遍，能找出明显的缺口，多数小型租户都会找出好几个。但它做不到三件事。

它不会给缺口分轻重。停在仅报告模式的传统身份验证策略和 p=none 的 DMARC 记录都是不通过，但前者今天就给攻击者开了门，后者主要影响送达率。一条发现项需要严重程度和修复顺序，这需要对你们机构的判断。

它查不了手动控制项。基准里有若干建议无法从单一设置读出：应急账户是否真的有人监控，管理员是否真的使用独立账户，策略里的例外组是否合理。得有人去看、去问。

它产生不了别人可以依赖的证据。你自己的观察表格对你有用；保险公司、客户的采购团队或 Cyber Essentials 评估员通常要的是带日期的导出件，以及一份由没有配置过这个租户的人写的方法说明。示例报告里的证据包展示了那是什么样子。

自查、Secure Score，还是独立审计？

• 自己走一遍这份清单： 花一个下午，能找出明显配置错误的设置。适合第一次摸底，适合从来没人复查过的租户。产出的是笔记，不是证据。
• Microsoft Secure Score： 租户内无需额外付费，持续更新，适合看趋势。它只对微软选定的操作打分，漏掉手动控制项和若干基准条目，而且它的百分比不是任何外部机构认可的及格线。
• 对照 CIS 基准的独立审计： 审查人通过只读应用读取配置，核查手动控制项，给每条发现项评级并附证据和修复顺序，写出一份设计用作保险、客户和评估方证据的报告。Brocent 的审计按人数固定收费，1 至 10 人起价 450 美元，5 至 7 个工作日出报告。范围与价格见 Microsoft 365 安全审计页面。

合理的顺序是先自查。如果什么都没找到，在告诉保险公司之前你大概还是想要一个独立的看法；如果找到一大堆，先修严重项，再做审计，让结果由第三方记录在案。

常见问题

Microsoft 365 安全审计清单包含什么？

上面的十二个区域：MFA 覆盖率、条件访问、特权角色与应急账户、传统身份验证与 SMTP AUTH、应用同意与企业应用程序、来宾与外部共享、邮件流与转发、SPF/DKIM/DMARC、Defender for Office 365 策略、审计日志与警报、DLP 与敏感度标签、设备与应用保护。它们对应 CIS Microsoft 365 Foundations Benchmark 的各领域，也对应 Brocent 示例报告的结构。

用这份清单审计一个 Microsoft 365 租户要多久？

50 人以内的租户，如果已有读取角色，读完并记录每项设置大约一个下午。核查手动控制项、与持有特权角色的人面谈、写出带严重程度和修复步骤的发现项，则要长得多，这也是独立审计报价为 5 至 7 个工作日的原因。

做这份清单需要全局管理员吗？

不需要。全局读取者几乎能读本文的全部内容；安全读取者覆盖 Defender 和 Purview 门户。不要用全局管理员账户做审计，用最小权限能看到多少，本身就是审计的一部分。

Office 365 安全审计是同一回事吗？

是。Office 365 是这套产品的旧名字，租户、Entra ID、Exchange Online 和 SharePoint 是同一批服务，清单无需改动即可适用。搜索"Office 365 安全审计"的人要找的通常就是这个。

应该对照哪个版本的 CIS 基准？

你做审计时 CIS Microsoft 365 Foundations Benchmark 的当前发布版本。Brocent 的示例报告注明 v7.0.0，每份报告上都会写明版本，读者才能知道用的是哪一版建议。请任何服务商都说明版本。

不想自己做的话，Microsoft 365 安全审计要多少钱？

Brocent 的独立审计按人数固定定价：1 至 10 人 450 美元，11 至 25 人 990 美元，26 至 75 人 1,800 美元，76 至 150 人 2,900 美元，更大的租户单独报价。全局管理员对只读应用授权后 5 至 7 个工作日出报告。完整价目和各档包含内容见 审计定价页，背景见 Microsoft 365 安全审计费用一文。

这份清单能帮我通过网络保险或 Cyber Essentials 吗？

清单能帮你找到并修复那些问卷会问到的设置，尤其是 MFA、管理员账户、传统身份验证和补丁。本文和审计报告都不授予认证，也不保证保险公司的决定。审计报告的设计目的是在这些场合用作证据，是否足够由评估方或保险公司判断。

下一步

把十二个区域对照你们自己的租户走一遍，把笔记连同日期留下来。如果想要第二双眼睛，Brocent 的独立审计通过只读应用读取同样的区域，核查手动控制项，按人数固定收费、450 美元起，5 至 7 个工作日交付评级报告。详情见 Microsoft 365 安全审计页面，示例报告（英文页）展示你会收到什么。想聊聊你们的租户，请 联系顾问。