Microsoft 365 中需要监控的十大安全事件

随着越来越多的组织从本地 Active Directory 环境过渡到 Azure AD 和 Microsoft 365，了解其帐户和数据的访问和使用方式对他们来说从未如此重要。

虽然大多数信誉良好的云服务提供商确实竭尽全力确保他们能够遵守严格的安全标准并遵守相关的数据隐私法，但用户仍然可以执行许多操作，这将使组织的系统和数据面临风险。

糟糕的密码卫生、权限升级和草率的数据共享实践都是云服务提供商无法缓解的威胁。除此之外，大多数云供应商提供的本机审计工具有许多限制，这阻碍了对用户执行的活动类型的可见性。

例如，审核日志搜索功能很少能够满足我们的需求，并且日志保留的时间很短（Azure AD Premium 最多保留 30 天）。

由于在云中托管数据和应用程序的组织不再能够控制其防火墙和其他入侵防御技术，因此他们严重依赖于监视 Azure AD 环境中的更改。这包括监视角色、组、应用程序、共享和邮箱等的更改。

Microsoft 365 中需要监控的十大安全事件

以下是需要监控的十个最重要的安全事件，以防止您的特权帐户和敏感数据落入坏人之手。

1. 重要角色变更

用户最终获得的角色常常多于他们实际需要的角色，而成功入侵用户帐户的对手将尽其所能通过获取更多角色来提升自己的权限。

因此，管理员需要知道重要角色何时发生变化。要查找此信息，他们可以访问Azure 门户，并对核心目录服务和RoleManagement类别执行搜索，这将返回其环境中角色的所有更改的列表。

或者，他们可以通过 Office 365 安全与合规中心搜索统一审核日志，其中还包括所有 Microsoft 365 应用程序的日志。

2. 群组变更

组是授予对 Active Directory 中资源的访问权限的主要方式。 Azure AD 允许更多类型的组。例如，当使用 Teams 和 Outlook 等应用程序时，用户可以创建自己的组并将其他用户分配到这些组。在某些情况下，用户将创建群组以实现与客户、供应商和业务伙伴更好的协作，从而增加意外泄露敏感数据的可能性。要在 Azure AD 中查找组更改，请转到 Azure 门户，然后在审核日志部分下，选择目录服务或 GroupManagement 类别。

3. 申请变更

Azure AD 在应用程序和服务之间维护多个桥梁，包括本地托管的桥梁。虽然这有助于沟通和协作，但也会带来故障点。

任何配置错误的应用程序都可能会造成相当大的破坏，特别是如果员工无法访问履行职责所需的应用程序，或者客户无法访问公司网站、付款等。因此，能够检测并响应应用程序的更改对于防止潜在的停机和收入损失至关重要。

在Azure 门户中，您可以查看已安装的每个应用程序的审核日志。大多数审核事件来自 ApplicationManagement 或 UserManagement 类别，但您可能需要深入浏览大量事件才能找到与您相关的事件。

4. 资源创建

当用户创建 Teams 网站时，还会创建许多其他资源，例如 Outlook 日历和组收件箱、OneNote 笔记本、SharePoint 网站等。正如您所期望的那样，如果管理员没有意识到或未能密切关注资源，那么“在幕后”自动创建资源可能会带来安全威胁。您可以通过搜索用户管理和组管理类别，找到与Azure门户中的资源创建相关的审核日志。 Azure Active Directory 部分。或者，您可以在 Office 365 安全与合规中心中搜索统一审核日志，其中将列出创建和修改的所有资源。

5. 重要文件和匿名链接的共享

SharePoint Online 和 OneDrive for Business 的开放共享功能带来了许多安全风险，因为它更容易意外地与错误的收件人共享敏感数据。更糟糕的是，有时允许用户共享包含敏感数据的文档的链接，外部用户可以匿名访问该链接。

除了监视审核日志是否存在异常共享行为之外，限制两个平台的共享功能通常也是一个好主意。要查找与 SharePoint 和 OneDrive 中的文件共享和访问请求活动相关的事件，您需要在 Office 365 安全与合规中心中搜索统一审核日志。

6. Teams 中的访客访问

如上所述，用户在 Teams 中授予“来宾访问权限”的能力是另一个需要密切关注的领域。疫情发生后，许多组织都争先恐后地转向远程工作模式，因此许多组织选择使用Teams进行远程协作和沟通。

随着这种转变带来了大量的安全挑战。很少有组织花时间仔细检查共享设置，从而阻止用户邀请访客 - 其中一些访客可能被授予对团队文件、聊天、会议等的完全访问权限。

要查找所有来宾用户（或用户创建事件）的列表，请在 Office 365 安全与合规中心中搜索统一审核日志。您还可以按日期范围限制搜索。或者，在 Azure 门户中，您可以使用以下筛选器执行搜索：

• 服务——核心目录
• 类别 — 用户管理
• 活动 — 添加用户

7. 创建或删除团队

除了监视 Teams 中的来宾访问之外，您还需要密切关注正在创建和删除的 Teams。默认情况下，用户有权根据自己的选择创建和删除团队。

虽然可以禁用此功能，但这样做会阻碍协作。不仅如此，管理员可能还想自己创建和删除团队，并且这些操作也需要受到监控。不幸的是，Teams 创建的 Microsoft 365 组与 Azure AD 中的其他组之间没有区别。

但是，在Azure 门户中，您可以通过将服务设置为核心目录并将类别设置为GroupManagement来缩小结果范围。与往常一样，您还可以在 Office 365 安全与合规中心中搜索统一审核日志，尽管这将花费更长的时间，并且您仍然需要筛选 Microsoft 365 组找出创建/删除了哪些团队。

8. 转发入站电子邮件消息

转发入站电子邮件是一种完美的做法。也就是说，管理员跟踪电子邮件转发的更改通常是一个好主意，因为恶意行为者有时会在他们已泄露的电子邮件帐户上设置自动转发。

但问题是，Azure AD 和 Microsoft 365 都不允许管理员监控审核日志中的这些更改。相反，他们必须将完整的 Exchange Online 审核日志导出为 CSV 文件，并搜索 {“name”:”DeliverToMailboxAndForward”,”value”:”True”}。

9. 非所有者邮箱活动

技术支持团队成员访问不属于他们的邮箱帐户的情况并不少见，在某些情况下，员工使用共享邮箱帐户。同样，管理员可以轻松授予自己访问高管帐户的权限并进行窥探。

无论什么情况，允许用户访问不属于他们的邮箱帐户通常不是一个好主意，如果这样做，请务必监视它们是否有可疑活动。邮箱事件只能在统一审核日志中找到，它允许您查看以下事件；

• 使用代表发送权限发送消息
• 添加或删除具有日历/文件夹委托访问权限的用户
• 使用“代理发送”权限发送消息
• 新增委托邮箱权限
• 删除了委托邮箱权限

10. 登录尝试失败

监控所有失败的登录尝试至关重要，因为攻击者经常尝试暴力破解帐户密码。要查看失败的登录尝试列表，请转至监控下的登录屏幕，然后从中选择失败状态下拉菜单。然后，您需要仔细检查列出的每个登录事件是否存在恶意活动。

Lepide 如何帮助您监控 Azure AD/Microsoft 365 中的更改

如前所述，Azure AD/Microsoft 365 本机审核的主要缺点之一是搜索功能有限。

另一方面，Lepide 数据安全平台拥有强大的搜索功能，可以聚合来自多个平台（无论是本地平台还是基于云的平台）的事件数据，并通过单个直观的仪表板显示重要事件的摘要。

不仅如此，只要您需要，事件日志就会保留。

每当您的角色、组、应用程序、邮箱和文件共享发生更改时，管理员都可以收到实时警报，从而防止他们错过任何关键更改。 Lepide 数据安全平台还使用机器学习模型来自动识别和响应异常用户活动，包括多次失败的登录尝试、非所有者邮箱访问等等。

如果您想了解 Lepide 数据安全平台如何帮助确保 Azure AD 和 Microsoft 365 的安全，请与我们的一位工程师安排演示或立即开始免费试用。