Контроль Microsoft 365 и Exchange Online: как закрыть утечки через облачную почту

Почему облачная почта Microsoft 365 — зона риска для утечек

Корпоративная почта — один из каналов передачи конфиденциальной информации. В Microsoft 365 сотрудники могут обмениваться данными не только во вложениях, но и через ссылки на файлы в OneDrive, в том числе используя Outlook Web и личные устройства. Чтобы снизить риск утечек, компании необходимо контролировать передачу данных в этих сценариях.

Защита почты делится на два контура:

1. Входящий — предотвратить угрозы извне: фишинг, спам, вредоносные вложения, компрометация деловой переписки (BEC).
2. Исходящий — не допустить утечки изнутри: например, когда сотрудник отправляет конфиденциальные данные внешним контактам.

Что дает и чего не закрывает встроенная защита Microsoft

В Microsoft 365 есть несколько механизмов защиты почты и данных: Exchange Online Protection (EOP) фильтрует спам, фишинг и вредоносные вложения; Microsoft Purview помогает выявлять и предотвращать передачу конфиденциальной информации; метки чувствительности позволяют классифицировать данные и, в зависимости от настроек, применять к ним дополнительные меры защиты; SPF, DKIM и DMARC помогают проверять подлинность домена отправителя и затрудняют подмену адреса.

Входящий контур: как Microsoft фильтрует спам, фишинг и вредоносные вложения

EOP проверяет входящие и исходящие сообщения на спам и другие почтовые угрозы. Дополнительные возможности защиты, например расширенная проверка ссылок и вложений, зависят от используемых лицензий и настроек. SPF определяет, каким серверам разрешено отправлять почту от имени домена, DKIM позволяет проверить цифровую подпись сообщения, а DMARC задает политику обработки писем, не прошедших проверку. Эти механизмы затрудняют подмену домена, но не защищают от всех сценариев фишинга и утечек.

Ограничения встроенной защиты для задач ИБ

Microsoft 365 включает собственные инструменты предотвращения утечек, однако их возможности зависят от лицензирования, конфигурации и сценариев использования. Например:

• Метки чувствительности помогают классифицировать данные, но сами по себе не гарантируют предотвращение утечки.
• Purview DLP позволяет настраивать правила обнаружения и ограничения передачи конфиденциальной информации, однако необходимо учитывать поддерживаемые условия, действия и охват каналов.
• Для контроля файлов, устройств и других каналов передачи данных могут потребоваться дополнительные компоненты и отдельная настройка политик.
• Возможности аудита, поиска и хранения переписки зависят от используемых сервисов и настроек организации.

Поэтому при выборе средств защиты важно оценивать, насколько они соответствуют требованиям компании. Внешняя DLP-система, например Falcongaze SecureTower, может дополнить существующую инфраструктуру и обеспечить контроль с более широким охватом данных.

Контроль исходящего контура через DLP: перехват, анализ, блокировка

Перехват переписки M365 и Exchange Online идет по протоколам MAPI, POP3, SMTP, IMAP и HTTP (веб-почта Outlook Web). Данные перехватываются агентом на рабочей станции, интеграцией с почтой или зеркалированием трафика. Зеркалирование видит только нешифрованный трафик, поэтому для облака нужны агенты и коннекторы.

Под перехват DLP-системы попадают:

• тексты писем и переписка сотрудника;
• вложения, включая сканы и фото документов;
• сообщения из Outlook Web.

Контентный анализ и распознавание

Одна из основных задач DLP — контроль и предотвращение утечки важных для компании документов, для этого настраиваются правила безопасности. Ключевые слова и контроль по словарям учитывают морфологию, транслит и опечатки. Регулярные выражения находят номера карт и реквизиты. Цифровые отпечатки срабатывают на фрагменты защищаемого документа, а OCR может анализировать сканы и изображения на наличие конфиденциальной информации.

Блокировка и архив

Блокировка передачи работает по MAPI, SMTP и HTTP-веб-почте. POP3 и IMAP DLP-система перехватывает и анализирует, но не блокирует: это нужно учесть в политиках. Перехваченные письма попадают в единый архив компании, независимый от облака Microsoft. По нему служба ИБ восстанавливает цепочку переписки и собирает доказательную базу.

Как подключить контроль Microsoft 365 и Exchange Online

Контроль Microsoft 365 и Exchange Online в DLP-системе SecureTower настраивается через Консоль администратора, модуль Обработка почты.

Законность контроля корпоративной почты

Почта и учетная запись M365 — рабочий инструмент, а не личное пространство. Работодатель вправе контролировать использование служебной почты при трех условиях:

1. Почта объявлена служебным средством в локальном нормативном акте (политика ИБ, регламент), и это закреплено в трудовом договоре.
2. Сотрудник ознакомлен с актом под подпись.
3. Определена цель обработки данных.

Как внедрить контроль M365 без остановки работы

Внедрение мониторинга в компании с помощью DLP-системы, как правило, рекомендуется проводить в четыре этапа. Они включают: аудит, настройку политик безопасности, запуск пилота и полное развертывание на всю компанию.

Пользователей для мониторинга либо интегрируют из Active Directory, либо добавляют вручную. Что касается политик безопасности, их можно создавать по группам AD, а можно — самостоятельно выбирать тех, на кого правила будут распространяться.

Уведомления о случившихся инцидентах DLP-система может передавать в SIEM по Syslog, в Telegram специалиста по безопасности или по электронной почте. Агенты работают на Windows, Linux (в том числе Astra Linux) и macOS.

Контроль остальных каналов передачи данных с рабочего места сотрудника разобран в материале про контроль за компьютером и других статьях в блоге. Если кратко, то для контроля нужен регламент, обучение сотрудников и разграничение прав доступа: к архиву с перехваченными данными допускают узкий круг сотрудников, обычно специалистов по безопасности. Все это часть системы контроля персонала.

Заключение

Защита конфиденциальных данных требует комплексного подхода. Встроенные механизмы Microsoft помогают защищать почту, а DLP-система Falcongaze SecureTower дополняет их контролем передачи данных, выявлением потенциальных утечек и сбором информации для расследования инцидентов. В сочетании с внутренними политиками и обучением сотрудников это помогает снизить риски, связанные с человеческим фактором, и усилить защиту корпоративной информации.

Часто задаваемые вопросы

• Чем защита от входящих угроз (EOP) отличается от защиты от утечек (DLP) в Microsoft 365?

   

  Антиспам ловит вредные и поддельные письма на входе, а DLP следит за тем, какие данные покидают компанию.

• Достаточно ли встроенных средств Microsoft 365 для защиты почты?

   

  Зависит от требований бизнеса. Для базового уровня может и хватить, но для предотвращения утечек и контроля других каналов — нет.

• Как проконтролировать исходящую почту сотрудников в Exchange Online и не нарушить закон?

   

  Закрепите почту как служебное средство в ЛНА, ознакомьте сотрудников под подпись и определите цель обработки.

• Можно ли перехватывать и архивировать корпоративную переписку в Microsoft 365?

   

  Да, если есть ЛНА, сотрудники ознакомлены с ним под подпись и определена цель обработки. Архив хранится у компании.

• По каким протоколам DLP перехватывает почту Exchange Online?

   

  По MAPI, POP3, SMTP, IMAP и HTTP для веб-почты. Блокировка работает по MAPI, SMTP и HTTP-веб-почте.