Microsoft 365 / Tinjau kebijakan perlindungan phishing, malware, dan spam

Saat meninjau perlindungan Microsoft 365 terhadap phishing dan email berbahaya, periksa penerima yang dicakup setiap kebijakan, prioritasnya, serta hasil karantina dan notifikasi. Sakelar aktif saja tidak cukup. Kebijakan perlindungan default sudah tersedia. Profil keamanan prasetel Standard dan Strict serta kebijakan kustom menyediakan pengaturan tambahan sesuai fitur produk yang tersedia.

Bedakan jenis perlindungan

Panduan Microsoft tentang kebijakan keamanan prasetel menjelaskan hubungan antara kebijakan bawaan, profil Standard dan Strict, serta kebijakan kustom. Jika beberapa kebijakan mencakup penerima yang sama, prioritasnya dapat menyebabkan pengaturan yang berlaku berbeda dari perkiraan. Tidak semua langganan Microsoft 365 mencakup semua fitur.

Catat fitur yang tersedia dan pengaturan saat ini

Bedakan antara perlindungan email dasar dari Exchange Online dan fitur tambahan dari Defender for Office 365. Misalnya, jika Safe Links, Safe Attachments, atau fitur perlindungan terhadap impersonasi tertentu diperlukan, Anda harus memeriksa hak layanan untuk pengguna yang akan diterapkan. Menu yang terlihat tidak membuktikan bahwa setiap penerima berhak atas setiap fitur. Perlindungan bawaan diterapkan secara otomatis di organisasi yang memiliki lisensi Defender for Office 365; perlindungan dasar itu tidak berarti semua penerima dilisensikan untuk setiap kemampuan Defender atau fitur kebijakan khusus.

Izin untuk melihat pengaturan kebijakan tidak serta merta memberikan izin untuk mengubahnya. Gunakan akses keamanan atau administrasi email yang disetujui untuk mencatat nama setiap kebijakan, status aktif, penerima, pengecualian, prioritas, dan tindakan karantina. Baca konfigurasi tenant organisasi yang sebenarnya daripada mengasumsikan default. Periksa bahwa setiap pengecualian bisnis yang ada masih memiliki pemilik dan tujuan yang terdokumentasi.

Pahami kebijakan mana yang memiliki prioritas

Untuk jenis perlindungan tertentu, pengaturan kebijakan tidak digabungkan: hanya kebijakan pertama yang cocok yang berlaku untuk penerima. Urutannya adalah Strict → Standard → kebijakan evaluasi, jika diaktifkan → kebijakan kustom → kebijakan default atau Perlindungan bawaan. Kebijakan evaluasi mencakup fitur Defender for Office 365 yang didukung; mereka bukan kebijakan evaluasi terpisah untuk setiap jenis perlindungan. Di antara kebijakan kustom dengan jenis yang sama, nomor prioritas yang lebih rendah memiliki keutamaan. Perlindungan bawaan menyediakan perlindungan Safe Links dan Safe Attachments default di Defender for Office 365; kebijakan anti-malware, anti-spam, dan anti-phishing default adalah kebijakan terpisah.

Sebagai contoh, jika seorang pengguna uji dimasukkan dalam preset Standard dan kebijakan spam kustom, bahkan jika Anda menaikkan prioritas kebijakan kustom menjadi 0, perlindungan yang sesuai dari Standard akan diterapkan terlebih dahulu. Jika seorang pengguna menerima hasil yang tidak diharapkan, pertama periksa preset tempat orang tersebut dimasukkan. Anda juga tidak boleh bingung antara urutan pemeriksaan berbagai jenis perlindungan seperti malware dan spam dengan prioritas kebijakan dari jenis yang sama.

Gunakan aturan prioritas kebijakan di atas untuk memeriksa kebijakan efektif satu penerima untuk setiap jenis perlindungan. Jangan menganggap bahwa pengaturan terkuat dari beberapa kebijakan akan digabungkan: pengaturan dari kebijakan dengan prioritas lebih rendah dari jenis yang sama dapat diabaikan sepenuhnya.

Tinjau kebijakan saat ini

1. Di portal Microsoft Defender, buka Email & collaboration → Policies & rules → Threat policies. Nama menu dalam panduan ini mengikuti antarmuka berbahasa Inggris; tampilan dapat berbeda menurut bahasa dan lisensi.
2. Periksa status aktivasi dan penerima yang dicakup dari kebijakan keamanan yang telah ditetapkan. Juga periksa apakah kebijakan terpisah diterapkan untuk eksekutif atau akun kerja yang sensitif.

3. Tinjau pengecualian dan daftar yang diizinkan untuk kebijakan phishing, malware, dan spam. Pastikan bahwa pengecualian bisnis lama tidak terlalu luas.
4. Jika penerima yang sama termasuk dalam beberapa kebijakan, kebijakan yang berlaku sebenarnya ditentukan sesuai dengan panduan prioritas kebijakan Microsoft.
5. Periksa hasil yang diharapkan dengan pesan yang dikarantina secara aktual atau email uji yang disiapkan dengan aman. Juga, periksa apakah notifikasi dikirim ke pengguna dan siapa yang dapat melepaskan pesan yang dikarantina.

Uji coba Standard atau Strict pada kelompok pilot

Standard berfungsi sebagai titik awal untuk meninjau standar perlindungan umum, sedangkan Strict adalah seperangkat pengaturan untuk target yang memerlukan perlindungan lebih ketat. Strict tidak berarti secara otomatis sesuai untuk semua peran. Karena sebagian besar nilai detail preset dikelola oleh Microsoft, berbeda dengan kebijakan kustom yang dapat disesuaikan pengguna dengan bebas, evaluasilah apakah pemilihan kebijakan dan lingkup target memenuhi kebutuhan Anda sebelum mencari opsi individual.

1. Buka Threat policies → Preset security policies dan catat status Standard atau Strict saat ini, penerima, dan pengecualian. Untuk mengonfigurasi profil, pilih Manage protection settings; jika dinonaktifkan, alur pengaturan yang terdokumentasi pertama-tama mengubahnya menjadi Aktif. Tinjau cakupan penerima di panduan dengan hati-hati sebelum mengonfirmasi perubahan.
2. Untuk perlindungan yang ingin Anda ubah, tentukan pengguna atau grup uji dan tinjau pengecualian. Jika panduan menampilkan cakupan perlindungan dasar dan perlindungan Defender secara terpisah, bandingkan masing-masing dengan target dan lisensi.
3. Bandingkan item yang memerlukan entri, seperti pengguna dan domain yang harus dilindungi dari pemalsuan, dengan informasi organisasi yang sebenarnya. Periksa tidak hanya nama tampilan tetapi juga akun dan domain yang ingin Anda lindungi.
4. Periksa ringkasan dan konfirmasikan hanya pengaturan yang disetujui. Setelah disimpan, periksa kembali pengaturan dan daftar penerimanya. Jika mengubah profil yang sudah ada, pastikan penerima di luar kelompok pilot tidak ikut berubah tanpa sengaja.
5. Periksa pengiriman, folder Junk Email, karantina, dan notifikasi menggunakan email yang dikirim melalui jalur bisnis penting normal. Jangan sertakan lampiran berbahaya atau situs phishing nyata dalam email uji umum.

Uji sederhana pengiriman dan penerimaan email normal tidak memverifikasi semua kemampuan deteksi serangan. Uji keamanan yang sebenarnya harus dilakukan secara terpisah menggunakan alat dan dalam cakupan yang disetujui oleh organisasi. Tujuan pemeriksaan ini adalah untuk memastikan bahwa sasaran kebijakan, dampak bisnis, karantina, dan notifikasi sesuai dengan yang diharapkan.

Periksa karantina dan notifikasi pengguna

Kebijakan karantina mengontrol pesan mana yang dapat dilihat oleh penerima dan apakah mereka dapat melepasnya atau meminta persetujuan administrator. Notifikasi itu sendiri tidak memberikan izin pelepasan. Pengguna tidak dapat langsung melepas pesan mereka sendiri yang dikarantina sebagai malware oleh kebijakan anti-malware, sebagai malware atau phishing oleh Safe Attachments, atau sebagai phishing dengan tingkat keyakinan tinggi oleh kebijakan anti-spam, terlepas dari pengaturan pelepasan kebijakan karantina. Dalam kasus di mana izin pelepasan seharusnya berlaku, pengguna dapat meminta pelepasan sebagai gantinya; periksa kebijakan yang sebenarnya ditetapkan dan proses persetujuan administrator.

Administrator memeriksa alasan deteksi, kebijakan yang berlaku, dan status tindakan otomatis, lalu menentukan siapa yang menyetujui pelepasan pesan. Pesan di folder Junk Email, pesan dalam karantina, dan pesan yang ditolak server memerlukan tindak lanjut berbeda. Baca hasil tersebut bersama hasil pelacakan pesan.

Jika surat yang sah diblokir

Jangan menonaktifkan perlindungan phishing untuk seluruh organisasi hanya karena ada masalah pengiriman dengan email yang sah. Periksa status menggunakan jejak pesan, dan selidiki alasan karantina, hasil autentikasi pengirim, dan kebijakan yang diterapkan secara nyata. Jika itu adalah positif palsu, perkecil dan ubah kondisi pengirim dan kebijakan yang terkena dampak, dan pastikan bahwa email sah yang dimaksud dapat sampai tanpa menciptakan pengecualian luas untuk pesan berbahaya. Sebaliknya, jika phishing mencapai kotak masuk, tinjau daftar yang diizinkan, pengaturan prioritas, dan pengaturan autentikasi domain.

Jangan mengizinkan seluruh domain hanya karena pengirim memintanya. Verifikasi sumber pengiriman yang sebenarnya dan hasil dari Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM), dan Domain-based Message Authentication, Reporting and Conformance (DMARC). Menambahkan alamat ke daftar Pengirim Aman di kotak surat tidak akan melewati deteksi malware atau phishing dengan tingkat keyakinan tinggi; kontak di buku alamat adalah konsep yang terpisah. Untuk false positive yang memerlukan pengajuan analisis atau entri izin, gunakan mekanisme pengajuan resmi yang didukung untuk jenis deteksi tersebut dan catat target, masa berlaku, dan justifikasinya.

Setelah mengubah kebijakan, uji ulang rute pengiriman sah yang sama dan periksa adanya celah perlindungan yang memengaruhi penerima lain. Simpan catatan kebijakan, penerima, dan pengecualian agar Anda dapat mengembalikan hanya perubahan bermasalah ke nilai sebelumnya. Tunjuk seorang pemilik untuk meninjau atau menghapus entri izin sementara sebelum masa berlakunya habis. Jangan menganggap masalah telah terselesaikan hanya karena satu email tiba setelah perlindungan diperlemah.