Die drei größten Sicherheitsbedenken bei Office 365 und was Sie dagegen tun können

Microsoft 365 erfreut sich in allen Branchen im Bereich kleiner und mittlerer Unternehmen (KMU) großer Beliebtheit. Sie ist oft die Killer-App für ein Unternehmen und enthält wertvolle, wichtige Informationen über das Unternehmen. Dementsprechend sind die Ausfallsicherheit und der Schutz von Microsoft 365 für IT-Führungskräfte die wichtigsten Anliegen.

Liegt die Verteidigung von Microsoft 365 vollständig in der Verantwortung des Anbieters, Microsoft, und trägt der Benutzer keine Verantwortung? Kaum. Microsoft stellt lediglich die Software-as-a-Service bereit, die auf ihrer Infrastruktur gehostet wird. Sie tragen zwar eine gewisse Verantwortung für die Sicherung der Infrastruktur und die Aktualisierung der Anwendung, Sie sind jedoch der Administrator und es sind Ihre Daten; Daher liegt es in Ihrer Verantwortung, Ihren Mieter zu sichern.

Obwohl die Beweggründe und Fähigkeiten der Angreifer sehr unterschiedlich sind, folgen die meisten Angriffe immer noch einem gemeinsamen Prozess, einem Grundmuster, und gehen von einem Schritt zum nächsten über, um die gewünschten Ergebnisse zu erzielen. Diesem schrittweisen Prozess kann entgegengewirkt werden, indem die Abwehrmaßnahmen auf Engpässe in der Kette konzentriert werden. Natürlich kann jeder Schritt durch Exploit-Technologien umgangen werden. Daher setzen die besten Strategien bei jedem Schritt entlang der unten dargestellten Bedrohungskette Abwehrmaßnahmen ein.

Anliegen 1: Datenexfiltration

Microsoft 365 umfasst viele verschiedene Arten von Daten, darunter E-Mails, Dokumente, Teams-Konversationen und SharePoint-Daten. Tatsächlich kann sogar die Verletzung Ihrer Active Directory-Informationen für einen Angreifer nützlich sein. Daten können auf viele verschiedene Arten gestohlen werden, unter anderem durch eine Verletzung eines Kontos mit Zugriff auf die Daten oder durch System- und Infrastrukturangriffe, die ihnen lokale oder Systemadministratorrechte für Computer verleihen, auf denen die Daten außerhalb von Microsoft 365 gespeichert sind. Warum sollte das so sein? Cyberkriminelle wollen das tun? Viele Gründe wie der Diebstahl geistigen Eigentums, der Wunsch, Sie zu erpressen, die Absicht, Ihre Daten auf dem Schwarzmarkt zu verkaufen oder die Daten zu nutzen, um sich weiter in Ihren Systemen einzuschleichen.

Prävention: Konzentrieren Sie sich nicht nur auf die Daten, sondern auch auf die Konten, die für den Zugriff auf die Daten erforderlich sind. Erzwingen Sie die geringste Berechtigung, erstellen Sie Zugriffskontrolllisten, definieren Sie externe Freigaberichtlinien und verwenden Sie Datenklassifizierungsschemata, um Daten mit hohem Risiko zu identifizieren.

Erkennung: Das Auffinden eines Verstoßes ist kompliziert, da es schwierig ist, normale Nutzung von abnormalen Nutzungsmustern zu unterscheiden, insbesondere da auf die Daten höchstwahrscheinlich mit einem Konto zugegriffen wird, das über die erforderlichen Berechtigungen verfügt. Plattformen zur Erkennung außergewöhnlichen Verhaltens innerhalb des Security Information and Event Management (SIEM) sind in solchen Fällen nützlich. Vor allem bei der Überprüfung durch erfahrene Augen, um ungewöhnliche Interaktionen mit Daten zu erkennen, insbesondere bei großen Downloads. Umgekehrt können Angreifer auch einen „Low and Slow“-Ansatz verwenden, um einer Entdeckung zu entgehen und Daten langsam zu entfernen, insbesondere wenn es sich um sachkundige Insider handelt.

Behebung: Dies ist das am schwierigsten zu behebende Angriffsszenario, da die Katze bereits aus dem Sack ist. Zwei Dinge, auf die man sich konzentrieren sollte

• Identifizieren Sie, wie die Exfiltration stattgefunden hat, damit Sie sie stoppen können
• Erstellen Sie einen Incident Response (IR)-Plan für den Umgang mit den Auswirkungen eines Kontrollverlusts über die Daten und üben Sie ihn jährlich aus

Anliegen 2: Eskalation von Privilegien und seitliche Verschiebung

Dem Angreifer ist es gelungen, ein oder mehrere Konten in Ihrem Mandanten zu kompromittieren, und er strebt nun nach globalen Administratorrechten.

Prävention: Verkleinern Sie Ihre globale Administratoren-Community. mindestens zwei und höchstens fünf für jede Mietergröße. Fordern Sie eine Multi-Faktor-Authentifizierung (MFA) für globale Administratoren und überprüfen Sie regelmäßig die Aktivitäten dieser Benutzer.

Erkennung: Der Schlüssel liegt hier in der Überwachung der Aktivität. Diese Art von Angriff führt zu anomaler Aktivität, die von einer wohlverstandenen Grundlinie abweicht.

Abhilfe: Aktivieren Sie die Multi-Faktor-Authentifizierung. Untersuchen Sie alles, was der Angreifer mit Ihren Daten gemacht hat und was er getan hat, um sich weiter in Ihrem Mietverhältnis zu verankern. Suchen Sie nach neuen Konten, bei denen kürzlich Änderungen vorgenommen wurden (z. B. die Beförderung zum Mandantenadministrator), nach globalen Konfigurationsänderungen und nach jeder Interaktion mit Daten der betroffenen Konten.

Anliegen 3: Kontokompromittierung

Ein Konto in Ihrem Microsoft 365-Mandanten wird verletzt, sodass es von einem Angreifer für die Interaktion mit Ressourcen in Microsoft 365 oder mit Ihrer lokalen Infrastruktur verwendet werden kann. Es gibt verschiedene Möglichkeiten, wie dies passieren kann, darunter Spear-Phishing zum Erlangen von Anmeldeinformationen durch das Sammeln von Websites oder Spear-Phishing mit Malware zur Installation von Rootkits und Keyloggern.

Prävention: Verwenden Sie hochwertige Authentifizierungsmechanismen wie Passwörter und MFA. Überwachen Sie auf mehrere fehlgeschlagene Anmeldeversuche.

Erkennung: Der Schlüssel zu einer effektiven Erkennung von Kontoverstößen liegt darin, zu verstehen, wie ein normales Aktivitätsmuster für Ihre Benutzer aussieht. Die Aktivitätsdaten enthalten mehrere Funktionen, mit denen Sie illegale oder anomale Aktivitäten erkennen können. Zu den Daten gehören beispielsweise Folgendes: IP-Adressen (die mit Regionen korreliert werden können), Datum und Uhrzeit, die spezifische durchgeführte Aktion und Benutzeragent.

Abhilfe: Die Aktivierung der Multi-Faktor-Authentifizierung (MFA) ist eine gängige und leistungsstarke Abhilfemaßnahme, um das Konto nach einer Sicherheitsverletzung zu schützen. Überwachen Sie das Konto eine Zeit lang, um sicherzustellen, dass es nicht erneut gehackt wurde.

Obwohl Microsoft Richtlinien dazu bereitgestellt hat, wie ein Benutzer seinen Microsoft 365-Mandanten schützen sollte, kann es kompliziert und zeitaufwändig sein, dafür zu sorgen, dass alles sicher ist und bleibt. Suchen Sie nach Einfachheit in den Bereichen IT und Cybersicherheit? Wir erleichtern die Sicherung von Microsoft 365 und Ihren Systemen, indem wir vordefinierte Berichte, Dashboards und Warnungen über die Netsurion Managed Threat Protection-Lösung bereitstellen. Der Dienst wird von einem rund um die Uhr besetzten Security Operations Center (SOC) unterstützt, das stets wachsam ist.