Data/Locales/checks/de/M365AuditChecks.json
|
{ "_family": "M365AuditChecks.json", "M365AUDIT-001": { "name": { "value": "Einheitliches Überwachungsprotokoll aktiviert", "status": "machine-draft" }, "description": { "value": "Das einheitliche Überwachungsprotokoll (Unified Audit Log) von Microsoft 365 zeichnet Benutzer- und Administratoraktivitäten über Exchange Online, SharePoint Online, OneDrive, Azure AD, Microsoft Teams und weitere Dienste hinweg auf und stellt damit die grundlegende Datenquelle für Sicherheitsuntersuchungen bereit. Ist die einheitliche Überwachung deaktiviert, verliert die Organisation die Sichtbarkeit über kritische Aktivitäten wie Postfachzugriffe, Dateifreigaben, Berechtigungsänderungen und administrative Vorgänge. Das Deaktivieren des Überwachungsprotokolls ist eine bekannte Angreifertechnik, um nach der Kompromittierung eines Mandanten Spuren zu verwischen.", "status": "machine-draft" }, "recommendedValue": { "value": "Einheitliches Überwachungsprotokoll organisationsweit aktiviert, ohne benutzer- oder postfachbezogene Ausnahmen, die die Überwachung deaktivieren", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie mit Get-AdminAuditLogConfig, ob die einheitliche Überwachung aktiviert ist, und bestätigen Sie, dass UnifiedAuditLogIngestionEnabled auf True gesetzt ist. Ist die Überwachung deaktiviert, aktivieren Sie sie umgehend und untersuchen Sie den Überwachungsverlauf, um festzustellen, wann und von wem sie deaktiviert wurde, da dies auf eine Sicherheitskompromittierung hindeuten kann. Richten Sie eine Überwachungswarnung ein, um künftige Versuche zur Deaktivierung des einheitlichen Überwachungsprotokolls zu erkennen, und beschränken Sie die zum Ändern der Überwachungsprotokolleinstellungen erforderlichen Berechtigungen auf einen minimalen Kreis vertrauenswürdiger Administratoren.", "status": "machine-draft" } }, "M365AUDIT-002": { "name": { "value": "Aufbewahrungsrichtlinie für Überwachungsprotokolle", "status": "machine-draft" }, "description": { "value": "Standardmäßig werden Datensätze des Microsoft-365-Überwachungsprotokolls 180 Tage lang aufbewahrt (bzw. 90 Tage bei Standardlizenzen), was zur Erkennung langlaufender Angriffe oder zur Erfüllung regulatorischer Compliance-Anforderungen möglicherweise nicht ausreicht. Fortgeschrittene, hartnäckige Bedrohungen können monatelang in einer Umgebung agieren, bevor sie entdeckt werden, und ohne ausreichende Protokollaufbewahrung sind die für die Untersuchung erforderlichen forensischen Beweise möglicherweise bereits gelöscht. Eine verlängerte Aufbewahrung der Überwachungsprotokolle stellt sicher, dass historische Aktivitätsdaten bei Bedarf verfügbar sind.", "status": "machine-draft" }, "recommendedValue": { "value": "Aufbewahrung der Überwachungsprotokolle auf mindestens 365 Tage gesetzt; vorrangige Aktivitätstypen über längere Zeiträume aufbewahrt; Protokolle zur Langzeitspeicherung in ein externes SIEM exportiert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie im Microsoft-Purview-Compliance-Portal Aufbewahrungsrichtlinien für Überwachungsprotokolle, um alle Datensätze mindestens 365 Tage aufzubewahren, und verlängern Sie die Aufbewahrung für Datensatztypen mit hoher Priorität wie MailItemsAccessed, FileAccessed und UserLoggedIn. Konfigurieren Sie für Organisationen mit Microsoft 365 E5 oder gleichwertiger Lizenzierung 10-Jahres-Aufbewahrungsrichtlinien für kritische Überwachungsdatensatztypen, um langfristige forensische Untersuchungen zu unterstützen. Richten Sie einen Protokollexport in ein externes SIEM oder eine Protokollanalyseplattform wie Microsoft Sentinel ein, um über den nativen Aufbewahrungszeitraum hinaus eine Langzeitspeicherung und erweiterte Korrelation zu ermöglichen.", "status": "machine-draft" } }, "M365AUDIT-003": { "name": { "value": "Suchfunktion für Überwachungsprotokolle", "status": "machine-draft" }, "description": { "value": "Die Fähigkeit, Überwachungsprotokolldaten wirksam zu durchsuchen und zu analysieren, ist entscheidend für Sicherheitsuntersuchungen, Compliance-Audits und Maßnahmen zur Reaktion auf Sicherheitsvorfälle. Ohne verifizierte Suchfunktion und geschultes Personal lassen sich vorhandene Überwachungsprotokolldaten während zeitkritischer Sicherheitsvorfälle nicht nutzen. Organisationen müssen sicherstellen, dass die Suchwerkzeuge für Überwachungsprotokolle zugänglich und funktionsfähig sind und dass die Reaktionsverfahren die Analyse von Überwachungsprotokollen einschließen.", "status": "machine-draft" }, "recommendedValue": { "value": "Suche im Überwachungsprotokoll für das Sicherheitsteam zugänglich; Suchabfragen für gängige Untersuchungsszenarien getestet und dokumentiert; SIEM-Integration in Betrieb", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, ob Mitglieder der Sicherheitsbetriebs- und Incident-Response-Teams über die geeigneten Rollenzuweisungen (Rolle „Überwachungsprotokolle“ oder „Nur-Lese-Zugriff auf Überwachungsprotokolle“) verfügen, um das einheitliche Überwachungsprotokoll zu durchsuchen. Erstellen und dokumentieren Sie Standard-Suchabfragen für gängige Untersuchungsszenarien wie Postfachkompromittierung, unbefugten Dateizugriff und administrative Rechteausweitung. Testen Sie die Suchfunktion des Überwachungsprotokolls regelmäßig und stellen Sie sicher, dass die SIEM-Integration Überwachungsereignisse korrekt für die automatisierte Erkennung und Korrelation aufnimmt und indexiert.", "status": "machine-draft" } } } |