Funkcja Safe Links automatycznie sprawdza odnośniki w wiadomościach e-mail, zanim pracownik w nie kliknie, ograniczając ryzyko phishingu.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie funkcji Safe Links w Microsoft Defender oraz ustawienie zasad ochrony dla poczty firmowej.

Dla kogo ma sens

Usługa jest przydatna dla firm korzystających z Microsoft 365, którym zależy na dodatkowej ochronie przed phishingiem.

Ile to trwa

Konfiguracja Safe Links mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Jak działa mechanizm techniczny Safe Links

Safe Links działa na zasadzie przepisywania adresów URL (URL rewriting) w treści wiadomości e-mail. Każdy odnośnik, który trafia do skrzynki pracownika, jest zastępowany specjalnym linkiem pośredniczącym prowadzącym przez infrastrukturę Microsoft Defender. Dopiero w momencie kliknięcia system sprawdza, dokąd faktycznie prowadzi dany adres — to tzw. weryfikacja w chwili kliknięcia (time-of-click verification). Rozwiązanie to jest istotne, bo strona phishingowa może zostać uruchomiona już po dostarczeniu wiadomości do skrzynki, a klasyczne filtrowanie antyspamowe sprawdza link tylko raz, w momencie odebrania e-maila. Dzięki powtórnej weryfikacji zabezpieczenie reaguje również na zagrożenia, które pojawiają się z opóźnieniem, na przykład gdy przestępcy przejmują wcześniej niegroźną domenę dopiero kilka dni po wysłaniu kampanii mailowej.

Warianty ochrony w pakiecie Microsoft Defender for Office 365

Safe Links to jeden z kilku modułów dostępnych w ramach Microsoft Defender for Office 365, dlatego warto rozróżnić, co obejmuje konfiguracja, o której mowa w tym artykule, a co wymaga osobnego ustawienia. Poza Safe Links w pakiecie dostępne są między innymi Safe Attachments, czyli mechanizm uruchamiający załączniki w odizolowanym środowisku testowym (tzw. sandbox) przed dostarczeniem ich do skrzynki, oraz zasady ochrony przed podszywaniem się pod nadawcę (anti-phishing policies), które analizują nagłówki wiadomości pod kątem prób imitowania znanych domen lub nazwisk przełożonych. Konfiguracja opisywana w tym artykule dotyczy wyłącznie ochrony odnośników — jeśli firma potrzebuje pełnego pakietu zabezpieczeń poczty, warto zlecić jednocześnie skonfigurowanie pozostałych modułów, ponieważ część ustawień (np. reguły dla domen zaufanych) jest wspólna dla kilku funkcji naraz i lepiej ustawić je spójnie od razu.

Konfiguracja krok po kroku — na czym polega praca serwisanta

Praca zaczyna się od przeglądu obecnych zasad ochrony w centrum zabezpieczeń Microsoft 365 (Microsoft Defender portal) i sprawdzenia, czy licencja firmy w ogóle obejmuje moduł Defender for Office 365 — funkcja Safe Links nie jest dostępna w każdym pakiecie subskrypcji. Następnie ustalane są zasady działania: czy odnośniki mają być sprawdzane również w dokumentach Office (Word, Excel, PowerPoint) i aplikacjach Teams, czy strona ostrzegawcza ma się pojawiać przy podejrzanych linkach, oraz czy pracownicy mają możliwość przejścia dalej mimo ostrzeżenia, czy dostęp ma być całkowicie blokowany. Kolejny krok to zdefiniowanie listy domen zaufanych, które nie powinny być przepisywane (np. wewnętrzne systemy firmowe czy adresy dostawców, z którymi firma stale współpracuje), aby uniknąć zbędnych opóźnień w otwieraniu linków. Na końcu wdrażane są zasady testowo na wybranej grupie użytkowników, a po potwierdzeniu poprawnego działania obejmowane są nimi wszyscy pracownicy objęci daną domeną pocztową.

Błędy przy próbie samodzielnej konfiguracji

Część firm próbuje ustawić zasady ochrony we własnym zakresie, korzystając z ogólnodostępnych instrukcji, co często prowadzi do kilku powtarzających się problemów. Najczęstszy błąd to włączenie Safe Links bez listy domen zaufanych — w efekcie pracownicy zaczynają zgłaszać, że linki do wewnętrznych narzędzi firmowych ładują się z opóźnieniem albo są błędnie oznaczane jako podejrzane, co skłania część osób do wyłączenia zabezpieczenia w ramach „poprawy komfortu pracy”. Drugi powtarzający się problem to pozostawienie domyślnych ustawień globalnych zamiast utworzenia osobnych zasad dla różnych grup (np. działu księgowości, który otrzymuje więcej wiadomości z zewnątrz, i działu produkcji, który komunikuje się głównie wewnętrznie) — jedna uniwersalna zasada rzadko dobrze zabezpiecza wszystkich, a jednocześnie nie utrudnia nikomu pracy. Zdarza się też, że administrator konfiguruje zasady na poziomie organizacji, ale zapomina powiązać je z odpowiednią regułą odbiorców (recipient rule), przez co zasada w praktyce nie obejmuje żadnej skrzynki, mimo że w panelu wygląda na aktywną. Takie sytuacje bywają trudne do wykrycia bez testu na realnej wiadomości phishingowej.

Kiedy Safe Links to nie wystarczająca ochrona

Warto rozróżnić, przed czym chroni Safe Links, a przed czym nie. Funkcja zabezpiecza przed kliknięciem w złośliwy odnośnik przesłany pocztą, natomiast nie chroni przed phishingiem prowadzonym innymi kanałami — na przykład przez SMS, komunikatory czy fałszywe połączenia telefoniczne podszywające się pod dział IT. Nie zastępuje też ochrony przed złośliwymi załącznikami (do tego służy wspomniany moduł Safe Attachments) ani uwierzytelniania wieloskładnikowego (MFA), które pozostaje kluczowe nawet wtedy, gdy pracownik omyłkowo poda swoje dane na fałszywej stronie — to właśnie dodatkowy składnik logowania najczęściej powstrzymuje przejęcie konta w takiej sytuacji. Jeśli firma zgłasza incydenty phishingowe mimo skonfigurowanego Safe Links, przyczyną bywa nie awaria samej funkcji, lecz luka w innym elemencie ochrony poczty — wtedy konieczny jest szerszy przegląd konfiguracji Microsoft 365, a nie ponowne ustawianie tego samego modułu.

Najczęstsze pytania klientów

Czy Safe Links spowalnia otwieranie linków w mailach?

Przy prawidłowo skonfigurowanej liście domen zaufanych opóźnienie jest praktycznie niezauważalne dla pracownika. Zauważalne spowolnienie pojawia się zwykle wtedy, gdy zasady zostały ustawione bez wyłączenia często używanych, zaufanych adresów — to jeden z elementów, który sprawdzany jest podczas konfiguracji.

Czy funkcja działa też na linki otwierane z telefonu firmowego?

Tak, o ile poczta na urządzeniu mobilnym jest skonfigurowana przez to samo konto Microsoft 365 i korzysta z aplikacji Outlook lub przegląda pocztę przez przeglądarkę powiązaną z kontem firmowym. Ochrona działa na poziomie serwera pocztowego, nie samego urządzenia.

Czy trzeba mieć najwyższy pakiet Microsoft 365, żeby korzystać z Safe Links?

Funkcja wymaga licencji obejmującej moduł Microsoft Defender for Office 365 (w planie 1 lub 2) — nie jest dostępna w podstawowych pakietach biznesowych bez tego dodatku. Podczas wstępnej diagnozy sprawdzane jest, jaką licencję firma już posiada, zanim zaproponowana zostanie konfiguracja.

Co się dzieje, gdy pracownik kliknie w link uznany za niebezpieczny?

W zależności od przyjętych zasad wyświetlana jest strona ostrzegawcza informująca o zagrożeniu, z możliwością zablokowania dalszego przejścia albo — w łagodniejszym wariancie zasad — z opcją świadomego kontynuowania po zapoznaniu się z ostrzeżeniem. Wybór wariantu ustalany jest z klientem indywidualnie, zależnie od tego, jak rygorystyczna polityka bezpieczeństwa obowiązuje w danej firmie.

Czy konfiguracja obejmuje też przeszkolenie pracowników?

Sama konfiguracja Safe Links dotyczy ustawień technicznych po stronie administracyjnej i nie wymaga udziału pozostałych pracowników. W ramach wizyty można jednak omówić z osobą odpowiedzialną za IT w firmie, jak interpretować komunikaty ostrzegawcze, które zobaczą użytkownicy, tak aby zgłoszenia dotyczące „dziwnego ostrzeżenia przy linku” nie trafiały niepotrzebnie jako awaria.

Utrzymanie zasad po wdrożeniu

Skonfigurowanie Safe Links nie kończy pracy nad ochroną poczty raz na zawsze — środowisko firmowe zmienia się z czasem, dochodzą nowi dostawcy, nowe systemy chmurowe i nowe adresy, z którymi firma zaczyna współpracować. Jeśli lista domen zaufanych nie jest później aktualizowana, z czasem zaczynają pojawiać się fałszywe alarmy przy zupełnie legalnych linkach, co bywa równie uciążliwe jak brak ochrony, ponieważ pracownicy przyzwyczajają się ignorować ostrzeżenia. Z tego powodu po wdrożeniu warto ustalić z osobą odpowiedzialną za IT w firmie, kto i jak często ma przeglądać listę wyjątków oraz raporty z portalu Microsoft Defender pokazujące, ile odnośników zostało zablokowanych i z jakich domen pochodziły. Taki przegląd nie musi być częsty, ale jego brak jest jednym z powodów, dla których zabezpieczenia wdrożone poprawnie na starcie z czasem tracą skuteczność. W ramach wsparcia po konfiguracji dostępna jest pomoc do 30 dni od zakończenia wdrożenia, obejmująca doprecyzowanie zasad, jeśli w praktyce okażą się zbyt restrykcyjne lub zbyt łagodne wobec realnego ruchu pocztowego w firmie.

Dlaczego warto zlecić to specjaliście

Konfiguracja Safe Links wygląda na prostą operację w panelu administracyjnym, ale jej skuteczność zależy od kilku ustawień, które trudno ocenić bez doświadczenia w pracy z Microsoft 365 — od poprawnego powiązania zasad z regułami odbiorców, przez dobór listy domen zaufanych, po dopasowanie poziomu restrykcyjności do specyfiki danej firmy. Błędnie ustawiona zasada bywa gorsza niż jej brak, bo daje złudne poczucie ochrony przy jednoczesnym realnym ryzyku, że nie obejmuje wszystkich skrzynek. Zespół zajmujący się konfiguracją środowisk IT dla firm ma za sobą ponad 20 lat doświadczenia we wdrożeniach informatycznych, co pozwala od razu wychwycić nietypowe ustawienia w istniejącej infrastrukturze pocztowej klienta, zamiast konfigurować Safe Links w oderwaniu od reszty zabezpieczeń.

22 378 48 09

Microsoft Defender — konfiguracja ochrony przed phishingiem (Safe Links)