Microsoft 365 安全检查清单：15 项设置，按优先级排序

简短回答：先做身份类事项：全员启用 MFA、建立两个应急访问账户、阻止旧式身份验证、管理员账户与日常账户分开。然后开启邮件防护、查看 Secure Score、确认审核日志可用。最后用每季度的检查防止设置慢慢走样。下面每一项都是一个动作、一个核对位置，以及一篇详细指南的链接。

这份清单写给负责 Microsoft 365 租户的人：IT 经理、拥有管理权限的行政人员，或外包的服务商。做完之后，你会得到一份带日期的记录：哪些已开、哪些没开、哪些需要决定。菜单路径已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。微软经常调整菜单，路径对不上时，请在门户里搜索设置名称。

本周：身份

1. 为每个用户启用 MFA。没有 Conditional Access 策略就用 security defaults，有就用 Conditional Access 策略。Security defaults 的位置：Microsoft Entra admin center > Entra ID > Overview > Properties > Manage security defaults。完整步骤见如何在 Microsoft 365 启用 MFA。
2. 建立两个应急访问账户。微软建议两个或更多仅云端账户，授予 Global Administrator 角色，使用通行密钥（FIDO2），并从会阻止或限制登录的 Conditional Access 策略中排除。先建好它们再建策略，不要等锁死了再补。见Conditional Access 基础策略。
3. 阻止旧式身份验证。IMAP、POP3、SMTP 基本验证等旧协议不支持 MFA，攻击者可借此绕过。Security defaults 会阻止它们。使用 Conditional Access 时，建一条策略，条件选 Exchange ActiveSync clients 和 Other clients，授权控制选阻止访问，先用 Report-only 模式。查看仍在使用旧协议的来源：Microsoft Entra admin center > Entra ID > Monitoring & health > Sign-in logs，按 Client App 筛选，并在 User sign-ins (non-interactive) 标签页重复一次筛选。
4. 管理员账户单独使用。管理员应有一个专用于管理的账户，另一个用于日常邮件。微软在 security defaults 的说明里给出同样的建议。
5. 部署基础 Conditional Access 策略。先 Report-only，再启用。六条起步策略见Conditional Access 基础策略。

本月：邮件、可见性和授权

1. 给邮件套用预设安全策略。在 Microsoft Defender 门户进入 Email & collaboration > Policies & rules > Threat policies > Preset Security Policies。首次打开时 Standard protection 和 Strict protection 多半是关闭的，请选一个分配给用户。详细设置见Exchange Online Protection 设置。
2. 为每个发信域名配置 SPF、DKIM 和 DMARC。步骤在同一篇 Exchange Online Protection 指南里。
3. 决定是否用 Defender for Office 365。授权里已有 Plan 1 或 Plan 2 就把功能开起来；没有就判断是否需要。见Defender for Office 365 Plan 1 与 Plan 2 对比。
4. 查看 Secure Score。打开 Microsoft Defender 门户 security.microsoft.com/securescore，查看建议操作及每项对应的分值。每项建议操作最高 10 分。修复顺序和局限见如何提高 Microsoft Secure Score；它与 CIS、ScubaGear 的区别见Secure Score、CIS Benchmark 与 ScubaGear 对比。
5. 列出已付费但没开的功能。把你的授权（E3、E5、EMS）与实际使用的功能对照：Microsoft 365 E3、E5 与 EMS 的安全功能。
6. 确认审核日志可用。微软说明 Audit (Standard) 默认启用，记录保留 180 天。在 Microsoft Purview 门户打开审核日志搜索工具，搜索最近一天，确认有结果。你自己的账户需要有搜索权限。
7. 会发加密邮件。处理客户资料的员工应掌握步骤：如何在 Outlook 发送加密邮件。

本季度：防止设置走样

1. 至少每 90 天测试一次应急账户。微软的建议是至少每 90 天验证一次，IT 人员变动后也要验证。确认每个账户都能登录，并且使用时会触发告警。
2. 每周看一次 Defender 门户。五个位置、15 分钟：Microsoft Defender 门户指南。
3. 做一次独立复核。第二双眼睛能发现负责人已经看不到的问题。复核范围和如何界定，见Microsoft 365 安全审计费用。

常见错误

1. 已有 Conditional Access 策略却还开着 security defaults。两者是二选一。微软指出拥有 Entra ID P1 或 P2 授权的组织通常更适合 Conditional Access，改用策略前必须先关闭 security defaults。
2. 没有应急账户就建 Conditional Access。一条写错的策略可能把所有管理员锁在外面。
3. 把 Secure Score 当及格线。微软说明它反映的是你用了多少推荐控制措施，不是被入侵的可能性。
4. 没看就阻止旧式身份验证。扫描仪、打印机、多功能一体机和旧邮件客户端可能失效。先用 Report-only 模式看一周登录日志。
5. 勾完就不再回头。把第 13 到 15 项放进日历。

如何确认已生效

1. 在 Sign-in logs 中打开测试用户的一条登录记录，确认要求了 MFA。
2. 用隐私窗口以测试用户登录，确认出现 MFA 提示。
3. 打开 Secure Score，记下分数和日期，下个月对比。
4. 把每次检查的日期记在一份简单清单里。复核人员会要这份清单。

FAQ

什么是 Microsoft 365 安全检查清单？

它是一份有顺序的设置列表，目的是降低 Microsoft 365 租户里账户被接管和邮件攻击的机会，并标明每项在哪里核对。上面的清单把身份放在最前面，因为其他控制多数依赖它。

Microsoft 365 安全最佳实践有哪些？

核心包括：全员 MFA、应急访问账户、阻止旧式身份验证、管理员账户分开、邮件防护策略、审核日志和定期复核。每一项都在上面的清单里。

Office 365 安全和 Microsoft 365 安全一样吗？

Office 365 是 Microsoft 365 的一部分。清单里多数设置对两种叫法都适用，但你持有的授权决定哪些功能可用。

Microsoft 365 安全设置多久复核一次？

每周看 Defender 门户，每月看 Secure Score，应急账户至少每 90 天测试。IT 人员或授权变动后全面复核一次。

我需要 Conditional Access，还是 security defaults 就够了？

Security defaults 不需要额外授权，提供一组固定的保护。如果你有 Entra ID P1 或 P2，并且需要例外或更细的控制，Conditional Access 更合适。

想让专人把这 15 项对照你的租户逐一核对并出具报告，请看我们的 Microsoft 365 安全审计。

已于 2026 年 10 月 28 日对照 Microsoft Learn 核对：security defaults、Microsoft Secure Score、应急访问账户、阻止旧式身份验证、Microsoft Purview 审核、预设安全策略。