Tutorial

تعزيز أمان Microsoft 365: 12 إعداداً تخطئ فيها معظم بيئات الإمارات

نراجع بيئات Microsoft 365 أسبوعياً، ونجد الأخطاء الإعدادية نفسها تقريباً في معظمها. إليك هذه الأخطاء وطريقة إصلاح كل منها.

2026-09-05 · Microsoft 365, Hardening, Security, Tutorial

أُعِدّت معظم بيئات Microsoft 365 في الإمارات على عجل، على يد شخص كان أمامه تراخيص يجب تفعيلها ومستخدمون يجب ترحيلهم. أما الأمان فجاء لاحقاً، هذا إن جاء أصلاً. وعندما نراجع أي بيئة، فهذه هي الملاحظات الاثنتا عشرة الأكثر تكراراً. يستغرق إصلاح كل منها ما بين دقائق وساعات، ويغلق مساراً حقيقياً للهجوم.

1. المصادقة القديمة ما زالت مسموحة

المصادقة الأساسية عبر IMAP وPOP وSMTP تتجاوز MFA بالكامل. احظرها من خلال سياسة وصول مشروط (Conditional Access). وراجع سجلات تسجيل الدخول أولاً بحثاً عن أي ماسح ضوئي أو تطبيق قديم ما زال يعتمد عليها.

2. تفعيل MFA متروك للمستخدمين

الاعتماد على Security Defaults أو MFA لكل مستخدم على حدة يترك ثغرات. استخدم الوصول المشروط لفرض MFA على جميع المستخدمين وجميع التطبيقات، مع متطلبات أقوى للمسؤولين.

3. المسؤولون العامون يقرؤون بريدهم من حساباتهم الإدارية

يجب أن يكون لكل مسؤول حساب إداري منفصل ومحمي بـ MFA، لا يُستخدم إلا للإدارة. واجعل عدد المسؤولين العامين (Global Admins) بين اثنين وأربعة، لا اثني عشر.

4. لا يوجد حساب طوارئ (Break-glass)

أنشئ حسابَي طوارئ مستثنيين من الوصول المشروط، بكلمات مرور طويلة وعشوائية محفوظة دون اتصال بالإنترنت، وفعّل التنبيه عند أي تسجيل دخول إليهما.

5. المشاركة الخارجية مفتوحة على مصراعيها

يسمح SharePoint وOneDrive افتراضياً بالروابط المجهولة. اضبط البيئة على "Existing guests" أو "New and existing guests"، وحدد مدة لانتهاء صلاحية الروابط، وراجع المواقع المشتركة خارجياً.

6. إعادة التوجيه التلقائي إلى عناوين خارجية مسموحة

صندوق بريد مخترق يحتوي قاعدة إعادة توجيه مخفية إلى عنوان Gmail هو الطريقة التي يبدأ بها احتيال الفواتير. احظر إعادة التوجيه التلقائي الخارجي في سياسة البريد العشوائي الصادر، وفعّل التنبيه عند إنشاء قواعد جديدة لصندوق الوارد.

7. DMARC غير مُطبَّق

غالباً ما يكون SPF وDKIM مضبوطين، أما DMARC فعادةً ما يكون غائباً أو مضبوطاً على p=none. انتقل إلى quarantine ثم إلى reject، حتى لا يمكن انتحال نطاقك لاستهداف عملائك.

8. Safe Links وSafe Attachments معطّلتان

إن كان لديك ترخيص Business Premium أو E5، فإن Defender for Office 365 مُضمَّن فيه وكثيراً ما يبقى دون إعداد. فعّل Safe Links وSafe Attachments والحماية من انتحال الهوية ضمن مكافحة التصيد لكبار التنفيذيين لديك.

9. يستطيع المستخدمون منح الموافقة لأي تطبيق

يخدع التصيد عبر موافقة OAuth المستخدمين فيمنحون تطبيقاً خبيثاً حق الوصول إلى صناديق بريدهم. اقصر موافقة المستخدمين على الناشرين الموثَّقين والصلاحيات منخفضة المخاطر، وأحِل الباقي إلى موافقة المسؤول.

10. سجلات التدقيق لا يُحتفَظ بها

يجب تفعيل سجل التدقيق الموحّد (Unified audit logging)، والاحتفاظ به لمدة تتجاوز المدة الافتراضية بالنسبة للشركات الخاضعة للتنظيم. فعند وقوع حادثة، يكون السجل هو الفارق بين أن تعرف ما الذي سُرِق وأن تخمّن.

11. حسابات الضيوف لا تنتهي صلاحيتها أبداً

أجرِ مراجعة للوصول (Access review). ففي معظم البيئات عشرات الضيوف من مشاريع سابقة، ومورّدين، وحسابات شخصية لموظفين سابقين، وجميعهم ما زالوا قادرين على تسجيل الدخول.

12. لا أحد مسؤول عن Secure Score

يعرض Microsoft Secure Score الثغرات لديك مرتبة حسب الأولوية. عيّن مسؤولاً عنه، وراجعه شهرياً، وتعامل مع أي نتيجة أقل من 60 بالمئة على أنها مشروع.

التنفيذ بالطريقة الصحيحة

يمكن إصلاح البنود الاثني عشر كلها خلال يوم واحد من العمل الدقيق، مع اختبارها أولاً في وضع التقرير فقط (report-only) حتى لا يتعطل شيء على المستخدمين. تقدم Binary Minds خدمة تعزيز أمان بيئة Microsoft 365 بسعر ثابت، تشمل هذه البنود ونحو أربعين فحصاً إضافياً، مع تقرير Secure Score قبل التنفيذ وبعده يمكنك تقديمه إلى المدققين أو شركات التأمين.

إن أردت فحصاً ذاتياً سريعاً، فافتح مركز إدارة Microsoft 365، وانتقل إلى Secure Score، واطّلع على أهم خمسة إجراءات موصى بها. فمن شبه المؤكد أنها موجودة في هذه القائمة.

العودة إلى المدونة · اطلب عرض سعر مجاني