5 thiết lập bảo mật Microsoft 365 doanh nghiệp nên rà soát để loại bỏ rủi ro tiềm ẩn

1. Kiểm soát quyền chia sẻ trên SharePoint và OneDrive

Chia sẻ tệp nhanh chóng là một trong những lợi ích lớn nhất của SharePoint và OneDrive, nhưng cũng là nơi dễ phát sinh tình trạng chia sẻ quá mức nhất. Ở nhiều tenant cũ, tùy chọn liên kết mặc định vẫn là "Anyone with the link", nghĩa là bất kỳ ai có được đường dẫn đều có thể mở tệp mà không cần đăng nhập. Điều đáng lo ngại là các liên kết này thường không có thời hạn, nên vẫn tiếp tục hoạt động rất lâu sau khi nhu cầu chia sẻ ban đầu đã kết thúc.

Hãy hình dung một nhân viên kinh doanh gửi bảng giá cho đối tác từ nhiều tháng trước. Nếu đối tác đó chuyển tiếp liên kết cho người khác, hoặc lưu nó trong một hệ thống không được kiểm soát, doanh nghiệp sẽ không còn biết chính xác ai đang có quyền truy cập vào tài liệu này.

Việc rà soát nên bắt đầu từ SharePoint admin center, nơi quản trị viên kiểm tra mức chia sẻ bên ngoài ở cấp tenant và ở cấp từng site, vì thiết lập của site không được phép rộng hơn thiết lập của tenant. Doanh nghiệp cũng nên đặt thời hạn hết hạn cho liên kết dạng "Anyone", giới hạn quyền ở mức chỉ xem khi có thể, và đổi loại liên kết mặc định sang "Specific people" hoặc "Only people in your organization". Cách này buộc người nhận phải xác thực danh tính trước khi truy cập tệp.

Một điểm mới đáng lưu ý là Microsoft hiện cho phép đặt thời hạn hết hạn cho cả liên kết dạng "People in your organization". Điều này đặc biệt hữu ích với các doanh nghiệp đang chuẩn bị triển khai Copilot, vì những tệp bị chia sẻ quá rộng trong nội bộ có thể được công cụ tìm kiếm và trợ lý AI phát hiện dễ dàng hơn nhiều so với trước đây. Kết hợp thêm chính sách chống thất thoát dữ liệu (DLP) để chặn việc chia sẻ công khai những tệp chứa thông tin nhạy cảm sẽ giúp lớp bảo vệ này chặt chẽ hơn.

2. Phát hiện các quy tắc chuyển tiếp email ra bên ngoài

Email vẫn là mục tiêu bị tấn công nhiều nhất, vì hộp thư chứa hợp đồng, báo giá, thông tin khách hàng và cả các email đặt lại mật khẩu cho nhiều hệ thống khác. Chuyển tiếp thư tự động ra bên ngoài là kỹ thuật quen thuộc của kẻ tấn công sau khi chiếm được một tài khoản, vì chỉ cần một quy tắc nhỏ là toàn bộ thư đến sẽ được sao chép sang địa chỉ do chúng kiểm soát, trong khi người dùng gần như không nhận ra điều bất thường.

Từ năm 2020, Microsoft đã siết chặt vấn đề này bằng cách để chính sách chống thư rác gửi đi (outbound spam policy) mặc định chặn chuyển tiếp tự động ra bên ngoài. Giá trị mặc định "Automatic, System controlled" hiện có tác dụng tương đương với việc tắt hoàn toàn tính năng này, và người dùng sẽ nhận thông báo lỗi 5.7.520 khi cố chuyển tiếp ra ngoài.

Tuy vậy, doanh nghiệp không nên chủ quan. Nhiều tổ chức đã từng bật chuyển tiếp cho một nhóm người dùng, hoặc tạo chính sách riêng cho phép ngoại lệ, và những ngoại lệ đó có thể tồn tại đến tận hôm nay mà không ai nhớ. Ngoài ra, các quy tắc hộp thư đến (inbox rule) được tạo từ nhiều năm trước vẫn có thể còn nằm trong hộp thư, chờ được kích hoạt nếu chính sách bị nới lỏng.

Quản trị viên nên mở Microsoft Defender, kiểm tra chính sách outbound spam mặc định cùng mọi chính sách tùy chỉnh, rà soát danh sách quy tắc chuyển tiếp hiện có trên các hộp thư, đồng thời xem lại nhật ký kiểm tra để tìm hoạt động tạo hoặc chỉnh sửa quy tắc đáng ngờ. Việc này cũng nên trở thành một bước cố định trong quy trình nghỉ việc của nhân viên, vì hộp thư của người đã rời công ty là nơi dễ bị bỏ quên nhất. Chi phí thực hiện rất thấp, nhưng hiệu quả trong việc ngăn thất thoát dữ liệu lại rất rõ ràng.

3. Rà soát các ứng dụng bên thứ ba được cấp quyền truy cập Microsoft 365

Doanh nghiệp hiện đại dùng rất nhiều ứng dụng kết nối với Microsoft 365, chẳng hạn công cụ quản lý dự án, nền tảng tự động hóa, ứng dụng ghi chú hoặc phần mềm họp. Khi cài đặt, các ứng dụng này thường yêu cầu quyền đọc email, lịch, tệp hoặc thông tin người dùng, và chỉ cần một cú nhấp chuột đồng ý là quyền đó được cấp.

Vấn đề nằm ở chỗ quyền truy cập này không tự hết hạn khi dự án kết thúc. Một nhân viên có thể đã chấp thuận một ứng dụng cho đợt triển khai ngắn hạn hai năm trước, nhưng ứng dụng đó vẫn giữ nguyên quyền đọc dữ liệu của công ty cho đến nay. Nếu nhà cung cấp ứng dụng bị xâm phạm, kẻ tấn công có thể đi vào Microsoft 365 qua chính quyền đã được cấp hợp lệ, mà không cần biết mật khẩu của bất kỳ ai. Một dạng tấn công khác là "illicit consent grant", trong đó kẻ xấu dựng một ứng dụng giả mạo và lừa người dùng bấm đồng ý.

Việc rà soát nên thực hiện trong Microsoft Entra admin center, mục Enterprise applications. Quản trị viên cần xem danh sách ứng dụng đã được cấp quyền, ưu tiên những ứng dụng có quyền truy cập email, tệp hoặc lịch, và loại bỏ những ứng dụng không còn sử dụng hoặc không rõ nguồn gốc.

Quan trọng hơn là ngăn vấn đề tái diễn. Microsoft khuyến nghị chỉ cho phép người dùng tự đồng ý với ứng dụng của nhà phát hành đã được xác minh (verified publisher) và chỉ với các quyền ở mức rủi ro thấp do quản trị viên lựa chọn. Với mọi yêu cầu còn lại, doanh nghiệp nên bật quy trình phê duyệt của quản trị viên (admin consent workflow), cho phép nhân viên gửi yêu cầu kèm lý do để bộ phận IT xem xét. Cách làm này vừa giữ được sự linh hoạt trong công việc, vừa bảo đảm không có ứng dụng nào được cấp quyền rộng mà không qua kiểm soát.

4. Xem lại thời gian lưu trữ nhật ký kiểm tra

Khi xảy ra sự cố, câu hỏi đầu tiên luôn là "chuyện gì đã xảy ra, bắt đầu từ khi nào và ảnh hưởng đến những gì". Nhật ký kiểm tra (audit log) của Microsoft 365 là nguồn bằng chứng chính để trả lời những câu hỏi này, từ việc ai đã đăng nhập, ai đã tải xuống tệp, cho đến ai đã thay đổi quyền hay tạo quy tắc chuyển tiếp.

Điều cần lưu ý là thời gian lưu trữ phụ thuộc vào gói bản quyền. Với Microsoft Purview Audit (Standard), nhật ký được giữ 180 ngày đối với các bản ghi tạo ra từ ngày 17/10/2023 trở đi, còn các bản ghi trước mốc này chỉ được giữ 90 ngày. Với Audit (Premium), bản ghi của Exchange, SharePoint, OneDrive và Microsoft Entra được giữ mặc định một năm, và doanh nghiệp có thể tạo chính sách lưu trữ tùy chỉnh. Nếu cần lưu lâu hơn, có thể mua thêm giấy phép bổ sung cho thời hạn lên đến mười năm. Cần nhớ rằng chính sách này không áp dụng ngược, nghĩa là các bản ghi đã tạo ra trước khi chính sách có hiệu lực sẽ không được giữ lại.

Thực tế, nhiều sự cố chỉ được phát hiện sau vài tháng, ví dụ khi khách hàng báo nhận được email lừa đảo từ tài khoản của công ty, hoặc khi kiểm toán viên yêu cầu bằng chứng. Nếu nhật ký đã bị xóa theo thời hạn mặc định, doanh nghiệp sẽ không thể xác định phạm vi ảnh hưởng một cách đáng tin cậy.

Vì vậy, quản trị viên nên kiểm tra tính năng audit đã được bật hay chưa, xác định lịch sử nhật ký hiện có, đối chiếu với yêu cầu lưu trữ của ngành và các quy định tuân thủ, rồi đánh giá xem bản quyền hiện tại có đủ đáp ứng không. Các lĩnh vực như tài chính, y tế và dịch vụ chuyên môn thường có yêu cầu nghiêm ngặt hơn mức mặc định. Việc xuất nhật ký sang hệ thống SIEM hoặc kho lưu trữ riêng cũng là lựa chọn đáng cân nhắc đối với các tổ chức chưa muốn nâng cấp bản quyền.

5. Xác minh lớp bảo vệ MFA và Conditional Access

Xác thực đa yếu tố (MFA) là một trong những biện pháp hiệu quả nhất để bảo vệ tài khoản Microsoft 365. Mật khẩu đơn thuần không còn đủ an toàn, vì chúng có thể bị đánh cắp qua email lừa đảo, bị rò rỉ từ các vụ xâm phạm dữ liệu hoặc bị đoán ra bằng các cuộc tấn công tự động. Khi có MFA, kẻ tấn công dù biết mật khẩu vẫn không thể đăng nhập nếu thiếu yếu tố xác thực thứ hai.

Các tenant mới thường được bật Security Defaults, giúp yêu cầu MFA cho người dùng một cách khá toàn diện. Với tenant cũ, bức tranh thường phức tạp hơn. Một tình huống phổ biến là doanh nghiệp tắt Security Defaults để chuyển sang Conditional Access vốn linh hoạt hơn, nhưng sau đó không cấu hình đủ chính sách thay thế. Kết quả là một số người dùng, kể cả tài khoản quản trị, không được bảo vệ như kỳ vọng. Ngoài ra, các giao thức xác thực cũ (legacy authentication) không hỗ trợ MFA cũng cần được chặn bằng chính sách riêng.

Cần lưu ý rằng Microsoft đã áp dụng MFA bắt buộc theo từng giai đoạn cho các công cụ quản trị, bắt đầu với cổng Azure, Microsoft Entra admin center và Intune admin center từ tháng 10/2024, sau đó mở rộng sang các công cụ như Azure CLI và PowerShell. Điều này có nghĩa là tài khoản quản trị chưa đăng ký MFA có thể bị chặn truy cập vào đúng lúc cần xử lý sự cố.

Doanh nghiệp nên kiểm tra Security Defaults đang bật hay tắt, các chính sách Conditional Access có thực sự áp dụng MFA cho toàn bộ người dùng hay không, mức độ bảo vệ của các tài khoản đặc quyền, và cả tài khoản khách (guest). Đối với tài khoản quản trị, nên ưu tiên các phương thức chống lừa đảo như khóa FIDO2 hoặc passkey thay vì SMS.

Cuối cùng là tài khoản truy cập khẩn cấp (break glass). Microsoft khuyến nghị duy trì ít nhất hai tài khoản chỉ tồn tại trên đám mây, được bảo vệ chặt chẽ và có cảnh báo khi được sử dụng. Do yêu cầu MFA bắt buộc với cổng quản trị hiện nay không có ngoại lệ, các tài khoản này nên được gắn với khóa FIDO2 hoặc xác thực bằng chứng chỉ để vừa an toàn, vừa không bị khóa ngoài trong tình huống khẩn cấp.

6. Lộ trình thực tế để cập nhật thiết lập bảo mật Microsoft 365

Không phải mọi cải tiến bảo mật đều cần thực hiện cùng lúc. Thay đổi quá nhiều thứ trong một thời gian ngắn có thể gây gián đoạn công việc và khiến nhân viên phản ứng tiêu cực với các biện pháp bảo mật. Cách tiếp cận hiệu quả hơn là sắp xếp thứ tự ưu tiên dựa trên mức độ cải thiện an toàn và mức độ tác động đến người dùng.

Giai đoạn đầu nên là những việc ít ảnh hưởng đến công việc hằng ngày, gồm kiểm tra thời gian lưu trữ nhật ký, rà soát quyền của các ứng dụng bên thứ ba và xem lại các quy tắc chuyển tiếp email. Đây chủ yếu là công việc quan sát và dọn dẹp, người dùng gần như không cảm nhận được thay đổi, nhưng doanh nghiệp lại nhanh chóng giảm được nhiều rủi ro tiềm ẩn.

Giai đoạn tiếp theo là điều chỉnh quyền chia sẻ tệp. Những thay đổi này có thể ảnh hưởng đến thói quen làm việc, đặc biệt với các nhóm thường xuyên trao đổi với đối tác bên ngoài. Doanh nghiệp nên thông báo trước cho nhân viên, giải thích lý do và hướng dẫn cách chia sẻ cho đúng người, đồng thời có thể áp dụng thử nghiệm trên một vài bộ phận trước khi mở rộng.

Giai đoạn cuối, cũng là giai đoạn cần thận trọng nhất, là thay đổi MFA và Conditional Access. Cấu hình sai có thể khiến cả người dùng lẫn quản trị viên không thể đăng nhập. Trước khi triển khai, hãy rà soát chính sách hiện có, thử nghiệm với một nhóm tài khoản nhỏ, sử dụng chế độ chỉ báo cáo (report only) để quan sát tác động, và bảo đảm các tài khoản truy cập khẩn cấp đã sẵn sàng. Sau mỗi giai đoạn, doanh nghiệp nên ghi nhận lại những gì đã thay đổi để thuận tiện cho các lần đánh giá sau.

Về tần suất, nhiều tổ chức chọn rà soát hằng quý, và nên rà soát thêm sau các biến động lớn như thay đổi nhân sự, đổi nhà cung cấp dịch vụ IT hoặc tích hợp thêm ứng dụng mới.

7. Chủ động rà soát hôm nay để tránh sự cố ngày mai

Microsoft 365 sở hữu nhiều tính năng bảo mật mạnh, nhưng hiệu quả của chúng phụ thuộc vào việc cấu hình đúng và duy trì thường xuyên. Doanh nghiệp không nên mặc định rằng các thiết lập cũ vẫn phù hợp với tiêu chuẩn an toàn hiện nay. Việc rà soát quyền chia sẻ, quy tắc chuyển tiếp email, quyền của ứng dụng bên thứ ba, thời gian lưu trữ nhật ký và chính sách MFA sẽ giúp phát hiện sớm những khoảng trống trước khi chúng trở thành sự cố thực sự.

Cũng cần nhớ rằng không có cấu hình nào ngăn chặn được mọi mối đe dọa. Các thiết lập đúng cách làm giảm đáng kể nguy cơ truy cập trái phép, lộ lọt dữ liệu và chiếm đoạt tài khoản, nhưng hiệu quả cao nhất đạt được khi kết hợp với nâng cao nhận thức nhân viên, giám sát liên tục và một chiến lược an ninh mạng tổng thể. Nếu doanh nghiệp chưa chắc môi trường Microsoft 365 của mình đã được bảo vệ đúng mức, một cuộc đánh giá chuyên nghiệp từ đơn vị tư vấn có kinh nghiệm sẽ là bước khởi đầu hợp lý để xác định khoảng trống và đề xuất cải thiện phù hợp.

Công Ty TNHH Phần Mềm SADESIGN

Mã số thuế: 0110083217

Liên Hệ Zalo

Liên Hệ Hotline

Liên Hệ Facebook