Die 10 wichtigsten zu überwachenden Sicherheitsereignisse in Microsoft 365

Da immer mehr Unternehmen von ihrer lokalen Active Directory-Umgebung auf Azure AD und Microsoft 365 umsteigen, war es für sie noch nie so wichtig, Einblick in den Zugriff und die Nutzung ihrer Konten und Daten zu haben.

Zwar haben die meisten seriösen Cloud-Dienstanbieter große Anstrengungen unternommen, um sicherzustellen, dass sie strenge Sicherheitsstandards einhalten und die relevanten Datenschutzgesetze einhalten, doch es gibt immer noch viele Aktionen, die Benutzer durchführen können, die einem Unternehmen Probleme bereiten Systeme und Daten sind gefährdet.

Schlechte Passworthygiene, Rechteausweitung und schlampige Datenaustauschpraktiken gehören zu den Bedrohungen, die vom Cloud-Dienstanbieter nicht gemindert werden können. Darüber hinaus weisen die von den meisten Cloud-Anbietern bereitgestellten nativen Auditing-Tools viele Einschränkungen auf, die den Einblick in die Art der von den Benutzern durchgeführten Aktivitäten erschweren.

Beispielsweise sind die Suchfunktionen für Überwachungsprotokolle selten spezifisch genug für unsere Anforderungen und Protokolle werden nur für einen kurzen Zeitraum aufbewahrt (bis zu 30 Tage für Azure AD Premium).

Da Unternehmen, die Daten und Anwendungen in der Cloud hosten, keine Kontrolle mehr über ihre Firewalls und andere Intrusion Prevention-Technologien haben, sind sie stark auf die Überwachung von Änderungen in ihrer Azure AD-Umgebung angewiesen. Dazu gehört die Überwachung von Änderungen an Rollen, Gruppen, Anwendungen, Freigaben und Postfächern, um nur einige zu nennen.

Die 10 wichtigsten zu überwachenden Sicherheitsereignisse in Microsoft 365

Nachfolgend sind die zehn wichtigsten Sicherheitsereignisse aufgeführt, die Sie überwachen sollten, um zu verhindern, dass Ihre privilegierten Konten und sensiblen Daten in die falschen Hände gelangen.

1. Änderungen an wichtigen Rollen

Benutzer verfügen häufig über mehr Rollen, als sie tatsächlich benötigen, während Angreifer, die ein Benutzerkonto erfolgreich kompromittiert haben, ihr Möglichstes tun, um ihre Privilegien durch den Erwerb weiterer Rollen zu erweitern.

Daher müssen Administratoren wissen, wann Änderungen an wichtigen Rollen vorgenommen werden. Um diese Informationen zu finden, können sie das Azure-Portal besuchen und eine Suche im Core Directory-Dienst und in den RoleManagement-Kategorien durchführen Liste aller Änderungen an Rollen in ihrer Umgebung.

Alternativ können sie das Unified Audit Log über das Office 365 Security & Compliance Center durchsuchen, das auch die Protokolle aller Microsoft 365-Anwendungen enthält.

2. Änderungen an Gruppen

Gruppen dienen als primäres Mittel, um Zugriff auf Ressourcen in Active Directory zu gewähren. Azure AD ermöglicht mehr Gruppentypen. Wenn Benutzer beispielsweise Apps wie Teams und Outlook verwenden, können sie ihre eigenen Gruppen erstellen und diesen Gruppen andere Benutzer zuweisen. In einigen Fällen erstellen Benutzer Gruppen, um eine bessere Zusammenarbeit mit Kunden, Lieferanten und Geschäftspartnern zu ermöglichen, wodurch die Wahrscheinlichkeit einer versehentlichen Offenlegung sensibler Daten steigt. Um Gruppenänderungen in Azure AD zu finden, gehen Sie zum Azure-Portal und wählen Sie im Abschnitt Überwachungsprotokolle entweder die Kategorien Verzeichnisdienst oder GroupManagement aus .

3. Änderungen an Anwendungen

Azure AD unterhält mehrere Brücken zwischen Anwendungen und Diensten, einschließlich der vor Ort gehosteten. Dies kann zwar bei der Kommunikation und Zusammenarbeit hilfreich sein, führt aber auch zu Fehlerquellen.

Fehlkonfigurierte Anwendungen können sich als ziemlich störend erweisen, insbesondere wenn Mitarbeiter nicht auf die Apps zugreifen können, die sie zur Erfüllung ihrer Aufgaben benötigen, oder wenn Kunden nicht auf die Website des Unternehmens zugreifen, keine Zahlungen tätigen können usw. Daher ist es von entscheidender Bedeutung, Änderungen an Anwendungen erkennen und darauf reagieren zu können, um potenzielle Ausfallzeiten und Umsatzeinbußen zu vermeiden.

Im Azure-Portal können Sie die Überwachungsprotokolle für jede von Ihnen installierte Anwendung anzeigen. Die meisten Überwachungsereignisse stammen entweder aus den Kategorien ApplicationManagement oder UserManagement, obwohl Sie möglicherweise zahlreiche Ereignisse durchgehen müssen, um diejenigen zu finden, die für Sie relevant sind.

4. Ressourcenerstellung

Wenn ein Benutzer eine Teams-Site erstellt, werden auch eine Reihe zusätzlicher Ressourcen erstellt, z. B. Outlook-Kalender und Gruppenposteingänge, ein OneNote-Notizbuch, eine SharePoint-Site und mehr. Wie zu erwarten ist, kann die automatische Erstellung von Ressourcen „unter der Haube“ ein Sicherheitsrisiko darstellen, wenn Administratoren sich dessen nicht bewusst sind oder sie nicht genau im Auge behalten. Sie finden die Überwachungsprotokolle im Zusammenhang mit der Erstellung von Ressourcen im Azure-Portal, indem Sie die Kategorien UserManagement und GroupManagement unter durchsuchen Abschnitt „Azure Active Directory“. Alternativ können Sie das Unified Audit Log im Office 365 Security & Compliance Center durchsuchen, das alle erstellten und geänderten Ressourcen auflistet.

5. Teilen wichtiger Dateien und anonymer Links

Die offenen Freigabefunktionen von SharePoint Online und OneDrive for Business bergen eine Reihe von Sicherheitsrisiken, da es dadurch viel einfacher wird, vertrauliche Daten versehentlich an die falschen Empfänger weiterzugeben. Erschwerend kommt hinzu, dass Benutzern manchmal erlaubt wird, einen Link zu einem Dokument mit sensiblen Daten zu teilen, auf das externe Benutzer anonym zugreifen können.

Zusätzlich zur Überwachung der Prüfprotokolle auf ungewöhnliche Freigabepraktiken ist es im Allgemeinen eine gute Idee, die Freigabefunktionen beider Plattformen einzuschränken. Um Ereignisse im Zusammenhang mit Dateifreigabe- und Zugriffsanforderungsaktivitäten in SharePoint und OneDrive zu finden, müssen Sie die Unified Audit Logs im Office 365 Security & Compliance Center durchsuchen.

6. Gastzugang in Teams

Wie oben ist die Möglichkeit für Benutzer, „Gastzugriff“ in Teams zu gewähren, ein weiterer Bereich, der besondere Aufmerksamkeit erfordert. Im Zuge der Pandemie bemühten sich viele Unternehmen darum, auf ein Remote-Arbeitsmodell umzusteigen, und viele entschieden sich daher für die Verwendung von Teams für die Remote-Zusammenarbeit und -Kommunikation.

Mit diesem Wandel gingen zahlreiche Sicherheitsherausforderungen einher. Nur wenige Organisationen haben sich die Zeit genommen, die Freigabeeinstellungen sorgfältig zu überprüfen und so zu verhindern, dass Benutzer Gäste einladen - von denen einige möglicherweise vollen Zugriff auf die Dateien, Chats, Besprechungen usw. des Teams erhalten.

Um eine Liste aller Gastbenutzer (oder Benutzererstellungsereignisse) zu finden, durchsuchen Sie das Unified Audit Log im Office 365 Security & Compliance Center. Sie können die Suche auch nach Datumsbereich einschränken. Alternativ können Sie im Azure-Portal eine Suche mit folgenden Filtern durchführen:

• Dienst - Kernverzeichnis
• Kategorie - Benutzerverwaltung
• Aktivität - Benutzer hinzufügen

7. Teams werden erstellt oder gelöscht

Neben der Überwachung des Gastzugriffs in Teams möchten Sie auch genau im Auge behalten, welche Teams erstellt und gelöscht werden. Standardmäßig haben Benutzer die Möglichkeit, Teams nach Belieben zu erstellen und zu löschen.

Es ist zwar möglich, diese Funktion zu deaktivieren, dies beeinträchtigt jedoch die Zusammenarbeit. Darüber hinaus möchten Administratoren möglicherweise auch selbst Teams erstellen und löschen, und diese Aktionen müssen ebenfalls überwacht werden. Leider gibt es keinen Unterschied zwischen von Teams erstellten Microsoft 365-Gruppen und anderen Gruppen in Azure AD.

Im Azure-Portal können Sie die Ergebnisse jedoch eingrenzen, indem Sie den Dienst auf Core Directory und die Kategorie auf GroupManagement festlegen. Wie immer können Sie das Unified Audit Log auch im Office 365 Security & Compliance Center durchsuchen, allerdings dauert dies länger und Sie müssen die Microsoft 365-Gruppen trotzdem filtern um herauszufinden, welche Teams erstellt/gelöscht wurden.

8. Weiterleitung eingehender E-Mail-Nachrichten

Das Weiterleiten eingehender E-Mail-Nachrichten ist eine absolut sinnvolle Vorgehensweise. Allerdings ist es im Allgemeinen eine gute Idee für Administratoren, Änderungen an der E-Mail-Weiterleitung im Auge zu behalten, da böswillige Akteure manchmal eine automatische Weiterleitung für E-Mail-Konten einrichten, die sie manipuliert haben.

Das Problem besteht jedoch darin, dass weder Azure AD noch Microsoft 365 es Administratoren ermöglichen, diese Änderungen in den Audit-Protokollen zu überwachen. Stattdessen müssen sie die vollständigen Exchange Online-Überwachungsprotokolle als CSV-Datei exportieren und nach {„name“: „DeliverToMailboxAndForward“, „value“: „True“} suchen.

9. Postfachaktivitäten, die keine Eigentümer sind

Es ist nicht ungewöhnlich, dass ein Mitglied des technischen Supportteams auf Postfachkonten zugreift, die nicht ihm gehören, und in einigen Fällen verwenden Mitarbeiter freigegebene Postfachkonten. Ebenso könnten sich Administratoren problemlos Zugriff auf das Konto einer Führungskraft verschaffen und dort herumschnüffeln.

Unabhängig vom Szenario ist es im Allgemeinen keine gute Idee, Benutzern den Zugriff auf Postfachkonten zu erlauben, die ihnen nicht gehören. Wenn Sie dies tun, sollten Sie sie unbedingt auf verdächtige Aktivitäten überwachen. Postfachereignisse können nur im Unified Audit Log gefunden werden, in dem Sie die folgenden Ereignisse anzeigen können:

• Nachricht mit der Berechtigung „Senden im Namen“ gesendet
• Benutzer mit Stellvertreterzugriff auf Kalender/Ordner hinzugefügt oder entfernt
• Nachricht mit der Berechtigung „Senden als“ gesendet
• Delegierte Postfachberechtigung hinzugefügt
• Die Berechtigung zum Delegieren des Postfachs wurde entfernt

10. Fehlgeschlagene Anmeldeversuche

Es ist von entscheidender Bedeutung, dass Sie alle fehlgeschlagenen Anmeldeversuche überwachen, da Angreifer häufig versuchen, Kontokennwörter brutal zu erzwingen. Um eine Liste der fehlgeschlagenen Anmeldeversuche anzuzeigen, gehen Sie zum Bildschirm Anmeldungen unter Überwachung und wählen Sie Fehler aus Dropdown-Menü „Status“. Anschließend müssen Sie jedes der aufgeführten Anmeldeereignisse auf böswillige Aktivitäten untersuchen.

Wie kann Lepide Ihnen bei der Überwachung von Änderungen in Azure AD/Microsoft 365 helfen?

Wie bereits erwähnt, sind die eingeschränkten Suchfunktionen einer der größten Nachteile der nativen Überwachung von Azure AD/Microsoft 365.

Die Lepide Data Security Platform hingegen verfügt über eine leistungsstarke Suchfunktion, die Ereignisdaten von mehreren Plattformen, ob vor Ort oder cloudbasiert, aggregiert und eine Zusammenfassung wichtiger Ereignisse über ein einziges und intuitives Dashboard anzeigt.

Darüber hinaus werden die Ereignisprotokolle so lange aufbewahrt, wie Sie sie benötigen.

Immer wenn Änderungen an Ihren Rollen, Gruppen, Anwendungen, Postfächern und Dateifreigaben vorgenommen werden, kann der Administrator eine Echtzeitwarnung erhalten und so verhindern, dass ihm wichtige Änderungen entgehen. Die Lepide Data Security Platform verwendet außerdem Modelle des maschinellen Lernens, um anomale Benutzeraktivitäten automatisch zu erkennen und darauf zu reagieren, darunter mehrere fehlgeschlagene Anmeldeversuche, Zugriff auf das Postfach eines Nicht-Eigentümers und vieles mehr.

Wenn Sie sehen möchten, wie die Lepide Data Security Platform dabei helfen kann, Azure AD und Microsoft 365 sicher zu halten, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.