Útočník se přihlásí do schránky účetní v pátek večer. Nastaví pravidlo, které tiše přeposílá faktury na cizí adresu, a v pondělí rozešle dodavatelům „nové číslo účtu“. Microsoft 365 o tom celou dobu věděl a vygeneroval upozornění. Jenže to upozornění skončilo ve schránce správce, kterou nikdo nečte. Zásady upozornění (alert policies) v Microsoft 365 jsou systém včasného varování, který má každá firma zdarma. V tomto článku najdete, jak fungují, které výchozí zásady jsou pro malou firmu klíčové, jak nastavit doručování upozornění správným lidem a jaké vlastní zásady se vyplatí přidat.

Co jsou zásady upozornění v Microsoft 365

Zásady upozornění (anglicky alert policies) jsou pravidla, která sledují aktivity uživatelů a správců v Microsoft 365. Když se stane něco podezřelého nebo rizikového, systém vytvoří upozornění a volitelně pošle e-mail vybraným lidem.

Každá zásada se skládá z několika částí, které podrobně popisuje oficiální dokumentace Microsoftu k zásadám upozornění:

• Sledovaná aktivita — například vytvoření pravidla pro přeposílání, sdílení souboru mimo firmu nebo přidání správcovských oprávnění.
• Podmínky — kdo aktivitu provedl, z jaké IP adresy, na jakém webu nebo souboru.
• Spouštěč — upozornění při každém výskytu, po překročení limitu nebo při neobvyklé aktivitě.
• Kategorie a závažnost — nízká, střední, vysoká nebo informativní. Podle nich se upozornění třídí a filtrují.
• E-mailová notifikace — komu se upozornění pošle a kolik zpráv denně maximálně odejde.

Všechna upozornění se zobrazují v portálu Microsoft Defender. Zásady najdete v části E-mail a spolupráce → Zásady a pravidla → Zásady upozornění, případně přímo na adrese security.microsoft.com/alertpolicies.

Proč malá firma potřebuje upozornění nastavit

Velké firmy mají bezpečnostní tým, který sleduje dění nepřetržitě. Malá firma s deseti nebo třiceti lidmi takový tým nemá. Právě proto je pro ni automatické upozornění tak cenné — nahrazuje člověka, který by jinak musel logy procházet ručně.

Typické útoky na malé firmy přitom zanechávají v Microsoft 365 jasné stopy:

• Kompromitovaná schránka — útočník založí pravidlo pro přeposílání nebo začne rozesílat phishing jménem zaměstnance.
• Podvodné faktury (BEC) — útočník sleduje komunikaci s dodavateli a ve správnou chvíli podstrčí vlastní číslo účtu.
• Únik dat — hromadné sdílení souborů z OneDrivu nebo SharePointu na soukromé adresy.
• Zneužití oprávnění — někdo si přidělí správcovská práva v Exchange Online.

Rozdíl mezi drobným incidentem a vážnou škodou je často jen v tom, jak rychle se o problému dozvíte. Britské národní centrum kybernetické bezpečnosti proto v průvodci kybernetickou bezpečností pro malé firmy zdůrazňuje, že obrana nekončí prevencí — firma musí útok také včas poznat a umět na něj reagovat.

Výchozí zásady: co Microsoft hlídá za vás

Microsoft 365 obsahuje sadu vestavěných zásad typu Systém. Jsou zapnuté automaticky a nic nestojí. Můžete je vypnout, nastavit příjemce e-mailů a denní limit notifikací. Ostatní nastavení se upravit nedají.

Pro malou firmu jsou nejdůležitější tyto výchozí zásady:

Upozornění na kompromitovaný účet

• User restricted from sending email (Uživateli bylo zablokováno odesílání pošty) — vysoká závažnost. Microsoft zablokoval odchozí poštu účtu, protože z něj odcházel spam. V praxi téměř vždy znamená ukradené heslo.
• Suspicious email sending patterns detected (Zjištěny podezřelé vzorce odesílání) — včasné varování. Účet se chová podezřele, ale ještě nebyl zablokován. Ideální chvíle zasáhnout.
• Email sending limit exceeded (Překročen limit odesílání) — účet odeslal víc zpráv, než povoluje politika odchozího spamu.

Upozornění na přeposílání pošty

• Creation of forwarding/redirect rule (Vytvoření pravidla pro přeposílání) — někdo si ve schránce vytvořil pravidlo, které přeposílá nebo přesměrovává poštu na jiný účet. Jde o nejčastější trik útočníků po převzetí schránky.
• Suspicious email forwarding activity (Podezřelé přeposílání) — pošta se automaticky přeposílá na podezřelý externí účet.

Upozornění na oprávnění a infrastrukturu

• Elevation of Exchange admin privilege (Zvýšení oprávnění správce Exchange) — někdo byl přidán do role s administrátorskými právy v Exchange Online.
• Suspicious connector activity (Podezřelá aktivita konektoru) — na příchozím konektoru se děje něco podezřelého a Microsoft ho zablokoval.
• Tenant Allow/Block List entry is about to expire — položka v seznamu povolených a blokovaných odesílatelů brzy vyprší. Souvisí s nastavením, které popisujeme v článku o pravidlech toku pošty v Exchange Online.

Pokud máte Microsoft 365 Business Premium nebo doplněk Defender for Office 365, přibudou další výchozí zásady — například upozornění, když uživatel klikne na škodlivý odkaz nebo když se po doručení najde v poště nebezpečná příloha. Více o této ochraně najdete v článku Microsoft Defender for Office 365: ochrana e-mailu před phishingem.

Největší chyba: upozornění chodí, ale nikdo je nečte

Výchozí zásady posílají e-maily obvykle globálním správcům. V malých firmách to bývá problém hned ze tří důvodů:

1. Správcovský účet nemá schránku — dobře zabezpečený admin účet často nemá licenci, a tedy ani poštu. Upozornění nikam nedorazí.
2. Schránku nikdo nesleduje — účet [email protected] se používá jednou za čtvrt roku a jeho pošta se nečte.
3. Upozornění jdou externímu dodavateli, který skončil — po změně IT firmy zůstane v příjemcích stará adresa.

Řešení je jednoduché. U každé důležité zásady upravte příjemce notifikací tak, aby upozornění dostal člověk, který je skutečně čte a umí na ně reagovat. Typicky to je majitel firmy nebo vedoucí kanceláře a zároveň váš IT správce.

Osvědčený postup je vytvořit sdílenou adresu, například [email protected], jako distribuční skupinu. Do ní přidáte všechny, kdo mají upozornění dostávat, a v zásadách nastavíte jen tuto jednu adresu. Při změně lidí pak upravíte skupinu, ne desítky zásad.

Jak nastavit zásady upozornění krok za krokem

1. Ověřte, že je zapnutý audit

Vlastní zásady upozornění vycházejí z auditního protokolu. Pokud audit neběží, většina vlastních zásad nemá z čeho čerpat. U novějších tenantů je audit zapnutý automaticky, u starších to ověřte podle návodu Microsoftu k zapnutí auditu. Co všechno audit zaznamenává, vysvětlujeme v článku o auditování aktivit v Microsoft 365.

2. Projděte výchozí zásady

V portálu Microsoft Defender otevřete Zásady upozornění a seřaďte je podle závažnosti. Zkontrolujte, že zásady s vysokou závažností jsou zapnuté. Vypínat výchozí zásady se v malé firmě obvykle nevyplatí — falešných poplachů je u nich málo.

3. Nastavte příjemce notifikací

U zásad s vysokou a střední závažností otevřete detail, zvolte úpravu notifikací a vložte adresu bezpečnostní skupiny. Denní limit ponechte rozumný, například deset zpráv — jinak vás jedna masivní událost zahltí stovkami e-mailů.

4. Přidejte vlastní zásady

Tlačítkem Nová zásada upozornění vytvoříte vlastní pravidlo. Zvolíte kategorii, závažnost, sledovanou aktivitu, podmínky a příjemce. Konkrétní tipy najdete v další kapitole.

5. Počkejte a otestujte

Nová nebo upravená zásada se do detekčního systému propisuje až 24 hodin. Poté si upozornění otestujte — například vytvořením testovacího pravidla pro přeposílání v Outlooku na webu na testovacím účtu. Ověříte tak, že e-mail opravdu dorazí tam, kam má.

Vlastní zásady, které se malé firmě vyplatí

Důležité omezení: v plánech Business Premium a E3 se vlastní zásady spouštějí při každém výskytu aktivity. Upozornění podle prahové hodnoty nebo neobvyklé aktivity vyžaduje E5 nebo doplňkovou licenci. Proto volte aktivity, které jsou vzácné a vždy stojí za pozornost — jinak vás zásada zavalí poštou.

Osvědčené vlastní zásady pro malou firmu:

• Vytvoření anonymního odkazu na citlivém webu — sledujte sdílení odkazem „kdokoli s odkazem“ na SharePoint webu účetnictví nebo personalistiky. Podmínkou omezíte zásadu jen na konkrétní web.
• Sdílení souborů s externími uživateli z citlivých složek — upozornění, když někdo nasdílí smlouvy nebo mzdové podklady mimo firmu.
• Přidání oprávnění k cizí schránce — když někdo získá plný přístup ke schránce jednatele nebo účetní, chcete o tom vědět.
• Aktivita z neočekávané IP adresy — u malého týmu, který pracuje z kanceláře, lze sledovat vybrané citlivé aktivity mimo firemní IP rozsah.

Začněte se dvěma až třemi vlastními zásadami a po měsíci vyhodnoťte, kolik upozornění chodí. Zásada, která posílá deset falešných poplachů denně, je horší než žádná — lidé si zvyknou upozornění ignorovat.

Co dělat, když upozornění přijde

Upozornění má smysl jen tehdy, když na něj někdo zareaguje. Připravte si jednoduchý postup předem, ať v krizi neimprovizujete. Microsoft má podrobný návod, jak reagovat na kompromitovaný e-mailový účet. Pro malou firmu ho lze zjednodušit do pěti kroků:

1. Ověřte upozornění — zavolejte dotčenému kolegovi. Pravidlo pro přeposílání mohl vytvořit sám, například kvůli dovolené.
2. Zablokujte přístup — pokud kolega o aktivitě neví, okamžitě změňte heslo, odhlaste všechny relace a zkontrolujte vícefaktorové ověření.
3. Odstraňte stopy útočníka — smažte podezřelá pravidla schránky, přeposílání a neznámé metody přihlášení.
4. Varujte okolí — pokud z účtu odcházel phishing, informujte kolegy a klíčové dodavatele, ať neplatí podle žádné nové instrukce.
5. Zapište, co se stalo — kdy upozornění přišlo, kdo reagoval a co se udělalo. Pomůže to při dalším incidentu i při posuzování povinností podle GDPR.

Širší postup pro vážnější situace popisujeme v článku Reakce na kybernetický incident ve firmě.

Zásady upozornění a další ochrana Microsoft 365

Upozornění samo útok nezastaví — jen vám řekne, že probíhá. Nejlépe funguje v kombinaci s prevencí:

• Podmíněný přístup zabrání přihlášení z rizikových míst a nespravovaných zařízení. Viz článek o podmíněném přístupu v Microsoft 365.
• Nouzový účet správce zajistí, že se do tenantu dostanete i při incidentu. Přečtěte si, jak nastavit break-glass účet.
• Microsoft Secure Score ukáže, která další nastavení zabezpečení vám chybí. Podrobnosti v článku o Microsoft Secure Score.

Časté otázky

Kolik stojí zásady upozornění v Microsoft 365?

Výchozí zásady jsou součástí běžných firemních plánů Microsoft 365 a nic nestojí. Vlastní zásady spouštěné při každém výskytu aktivity lze vytvořit i v Business Premium. Upozornění podle prahové hodnoty a neobvyklé aktivity vyžadují E5 nebo doplňkovou licenci.

Kde zásady upozornění najdu?

V portálu Microsoft Defender v části E-mail a spolupráce, Zásady a pravidla, Zásady upozornění. Přímá adresa je security.microsoft.com/alertpolicies. Pro vytváření a úpravy potřebujete roli Manage Alerts.

Proč mi upozornění nechodí, i když je zásada zapnutá?

Nejčastěji proto, že notifikace míří na účet bez schránky nebo na adresu, kterou nikdo nečte. U nové zásady také platí, že se do systému propisuje až 24 hodin. U vlastních zásad zkontrolujte, zda je zapnutý audit.

Je zásada pro přeposílání pošty spolehlivá?

Výchozí zásada Creation of forwarding/redirect rule sleduje pravidla vytvořená v Outlooku na webu nebo přes PowerShell. Pravidla vytvořená jinou cestou zachytit nemusí, proto je dobré přeposílání mimo firmu zároveň blokovat v politice odchozího spamu.

Kdo by měl upozornění dostávat?

Člověk, který je skutečně čte a umí rychle reagovat — typicky majitel nebo vedoucí kanceláře a externí IT správce. Nejlépe přes jednu bezpečnostní distribuční skupinu, kterou snadno upravíte při změně lidí.

Závěr: systém včasného varování, který už máte

Zásady upozornění v Microsoft 365 jsou jedním z nejlevnějších bezpečnostních opatření, jaká malá firma může mít — výchozí zásady jsou zapnuté a zaplacené. Většině firem chybí jen poslední krok: zajistit, aby upozornění dorazilo ke správnému člověku a ten věděl, co dělat.

Stačí jedno dopoledne: zkontrolovat audit, nastavit příjemce u důležitých zásad, přidat dvě nebo tři vlastní zásady a připravit jednoduchý postup reakce. Příští útok na schránku pak neodhalíte až z reklamace dodavatele, ale během několika minut.

Chcete mít jistotu, že se o podezřelé aktivitě ve vašem Microsoft 365 dozvíte včas? V rámci správy firemního IT nastavíme zásady upozornění, doručování notifikací i postup reakce a upozornění za vás průběžně vyhodnocujeme. Ozvěte se nám.