Alarm ved ændrede trusselspolitikker i Exchange Online

Microsoft 365 rummer et betydeligt antal sikkerhedsfunktioner, som en organisation kan konfigurere for at beskytte sig mod trusler, der hele tiden udvikler sig. Mange af dem afhænger af den licens, I har købt hos Microsoft, frem for at være tilgængelige som standard for alle kunder. I Exchange Online er følgende trusselspolitikker tilgængelige for alle kunder, uden at det kræver en ekstra licens (f.eks. Defender for Office 365 Plan 1/2):

• Beskyttelse mod malware. Funktion, der identificerer malware i postkasser i Exchange Online. Den består af flere lag forsvar, herunder muligheden for direkte at blokere vedhæftede filer af en bestemt filtype (f.eks. blokere alle indgående mails med vedhæftede .HTML-filer). Det er særligt nyttigt til at forhindre, at programfiltyper bliver kørt ved et dobbeltklik i Windows, fordi de aldrig bliver leveret i første omgang. Et godt eksempel er en .js-fil, som Windows kører automatisk ved dobbeltklik, ligesom EXE-filer. EXE-filer er blokeret af politikken som standard, men det er JS-filer ikke.
• Beskyttelse mod spam. Funktion, der identificerer uønskede mails (og som løbende bliver bedre ud fra mails, brugerne markerer, herunder forbrugermails på outlook.com). Den blokerer ikke kun enkelte spammails, men også spam sendt i bulk til mange postkasser. Politikkerne kan sættes ret aggressivt op, faktisk så alle mails fra bestemte lande automatisk bliver markeret som spam.
• Beskyttelse mod phishing. Funktion, der hjælper mod forfalskede afsendere (spoofing). Forfalskede mails ser ud til at komme fra en anden person eller et andet sted end den reelle afsender.
• Beskyttelse mod udgående spam. Funktion, der kan afvise afsendelse af mails, hvis der opstår bestemte mistænkelige afsendermønstre, eller hvis afsendelsen når en grænse. Politikken styrer også, om videresendelse af mails i organisationen er tilladt (f.eks. kan I vælge at slå funktionen fra for at undgå, at data omfattet af GDPR bliver lækket ud af organisationen).
• Karantæne og de tilhørende politikker. Funktion, der tilbageholder skadelige, farlige eller uønskede mails. Markerer beskyttelsen mod malware f.eks. en mail som malware, bliver den holdt i karantæne og ikke leveret til brugeren (medmindre brugeren eller en administrator frigiver den, afhængigt af konfigurationen).
• Tillad og bloker domæner / URL'er / afsendere. Funktion, der giver administratorer mulighed for at tilsidesætte Exchange Onlines vurdering af, om en mail skal tillades eller blokeres ud fra bestemte kendetegn, f.eks. afsenderadressen.

Har I også Defender for Office 365 Plan 1/2 i jeres licens, får I desuden trusselspolitikker for:

• Safe attachments. Funktion, der giver et ekstra lag beskyttelse af vedhæftede filer, som allerede er scannet af beskyttelsen mod malware uden at blive markeret som skadelige. Safe Attachments bruger et virtuelt miljø til at undersøge vedhæftede filer for skadeligt indhold (f.eks. malware og phishing), før de bliver leveret til modtagerne (en proces, der kaldes detonation).
• Safe links. Funktion, der giver et lag beskyttelse mod skadelige links, som bruges i phishingangreb. Safe Links scanner og omskriver URL'er i indgående mails undervejs i mailflowet og kontrollerer URL'er og links i det øjeblik, der bliver klikket på dem, i mails, Teams og understøttede Office 365-apps. Scanningen i Safe Links sker oven i den almindelige beskyttelse mod spam og malware.
• Ekstra funktioner i politikkerne mod phishing (f.eks. beskyttelse mod personefterligning, impersonation protection).

Politikkerne findes i Microsoft Defender-portalen på https://security.microsoft.com under 'Email & collaboration' > 'Policies & rules' > 'Threat Policies'.

Når politikkerne bliver konfigureret og/eller ændret, bliver der skrevet en auditlog. Loggen kan søges frem i Microsoft 365's unified audit log og i afsnittet "Advanced Hunting". I Advanced Hunting ligger den i tabellen CloudAppEvents.

Hver politik hænger sammen med sine egne action types. Jeg har forsøgt at give et overblik i tabellen nedenfor:

Vigtigt

Selv med de rigtige licenser skal I selv sikre, at aktiviteten faktisk bliver gemt. Det sættes op på https://security.microsoft.com under Settings > Cloud apps > App Connectors. I skal have en connector til Microsoft 365, som omfatter al denne aktivitet:

Når den er slået til, kan der gå 24-72 timer, før I ser logs komme ind (så hav tålmodighed).

Søgning i loggene

For at finde ændringer i politikken mod udgående spam kører vi følgende forespørgsel:

Forespørgslen er:

CloudAppEvents
| where ActionType in ("New-HostedOutboundSpamFilterRule", "Enable-HostedOutboundSpamFilterRule", "Disable-HostedOutboundSpamFilterRule", "Remove-HostedOutboundSpamFilterRule", "Set-HostedOutboundSpamFilterRule", "New-HostedOutboundSpamFilterPolicy", "Set-HostedOutboundSpamFilterPolicy", "Remove-HostedOutboundSpamFilterPolicy")

Feltet ActivityObjects i resultatet indeholder de indstillinger, politikken nu er konfigureret med. Det er ikke synligt i standardvisningen af kolonner, så I skal rulle længere til venstre for at nå det. Nedenfor ses et eksempel: NotifyOutboundSpamRecipients er sat til en adresse, og det er præcis den slags ændring, det er værd at kende til.

Med de nævnte action types kan vi enten søge i loggene i Advanced Hunting eller oprette custom detections, der kører efter en plan, f.eks. dagligt. Custom detections er særligt nyttige, fordi de sikrer, at enhver ændring giver en alarm.

Konklusion

Alarmer ved ændringer i politikker kan hjælpe med at opdage uønskede eller uautoriserede ændringer. Nogle af loggene kræver en bestemt licens til Exchange Online, men de bliver ikke indsamlet som standard, når licensen er opgraderet. Det kræver en manuel handling at begynde at indsamle dem.

Har I de nødvendige licenser, anbefaler vi kraftigt, at I sikrer jer, at loggene faktisk bliver indsamlet, og at alarmerne er sat op.