Data/Locales/checks/de/M365ExchangeChecks.json
|
{ "_family": "M365ExchangeChecks.json", "M365EXO-001": { "name": { "value": "Audit der Anti-Spam-Richtlinie", "status": "machine-draft" }, "description": { "value": "Anti-Spam-Richtlinien in Exchange Online Protection filtern ein- und ausgehende E-Mails, um unerwünschte Nachrichten und spam-basierte Phishing-Kampagnen zu blockieren. Falsch konfigurierte oder standardmäßige Anti-Spam-Einstellungen bieten möglicherweise keinen ausreichenden Schutz und erlauben es schädlichen E-Mails, die Postfächer der Benutzer zu erreichen. Angepasste Spamfilterrichtlinien mit geeigneten Schwellenwerten und Aktionen sind entscheidend, um das Volumen der an die Endbenutzer zugestellten Bedrohungen zu reduzieren.", "status": "machine-draft" }, "recommendedValue": { "value": "Benutzerdefinierte Anti-Spam-Richtlinie mit Quarantäne für Spam mit hoher Zuverlässigkeit; Schwellenwert für Massen-E-Mails auf 6 oder niedriger gesetzt; Warnungen für ausgehenden Spam aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Anti-Spam-Richtlinien in Exchange Online und stellen Sie sicher, dass Spam mit hoher Zuverlässigkeit und Phishing mit hoher Zuverlässigkeit in Quarantäne verschoben statt in den Junk-E-Mail-Ordner zugestellt werden. Konfigurieren Sie den Schwellenwert für Massen-E-Mails auf 6 oder niedriger, um aggressive Massenversender zu erfassen, und aktivieren Sie Benachrichtigungen für die Erkennung von ausgehendem Spam. Wenden Sie die benutzerdefinierte Richtlinie auf alle Empfängerdomänen an und überprüfen Sie, dass keine Überschreibungen auf Benutzerebene die Organisationsrichtlinie abschwächen.", "status": "machine-draft" } }, "M365EXO-002": { "name": { "value": "Audit der Anti-Phishing-Richtlinie", "status": "machine-draft" }, "description": { "value": "Anti-Phishing-Richtlinien nutzen Postfachintelligenz und Identitätswechselerkennung, um E-Mails zu identifizieren, die vertrauenswürdige Absender oder Domänen fälschen. Ohne ordnungsgemäß konfigurierte Anti-Phishing-Richtlinien können Angreifer Führungskräfte, Partner oder vertrauenswürdige Domänen imitieren, um Business-E-Mail-Compromise- und Anmeldedaten-Diebstahl-Angriffe durchzuführen. Erweiterte Anti-Phishing-Einstellungen einschließlich des Schutzes vor Benutzer- und Domänen-Identitätswechsel sind entscheidend für die Abwehr gezielter Phishing-Kampagnen.", "status": "machine-draft" }, "recommendedValue": { "value": "Schutz vor Benutzer-Identitätswechsel für Führungskräfte und VIPs aktiviert; Schutz vor Domänen-Identitätswechsel für alle Organisationsdomänen aktiviert; Postfachintelligenz aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie Anti-Phishing-Richtlinien mit Identitätswechselschutz für hochwertige Ziele, darunter Führungskräfte, Mitglieder des Finanzteams und IT-Administratoren. Aktivieren Sie den Schutz vor Domänen-Identitätswechsel für alle Organisationsdomänen und wichtigen Partnerdomänen und legen Sie als Aktion die Quarantäne imitierter Nachrichten fest. Aktivieren Sie Postfachintelligenz und Spoofing-Intelligenz mit geeigneten Sicherheitstipps, um Benutzer vor potenziell imitierten Absendern zu warnen.", "status": "machine-draft" } }, "M365EXO-003": { "name": { "value": "Audit der Anti-Malware-Richtlinie", "status": "machine-draft" }, "description": { "value": "Anti-Malware-Richtlinien in Exchange Online prüfen E-Mail-Anhänge vor der Zustellung auf bekannte Malware, Viren und schädliche Inhalte. Standardmäßige Anti-Malware-Einstellungen blockieren möglicherweise nicht alle gefährlichen Dateitypen, und bestimmte häufig bei Angriffen verwendete Anhangstypen wie ausführbare Dateien und Skripte können ungefiltert durchgelassen werden. Eine umfassende Anti-Malware-Richtlinie mit Filterung gängiger Anhangstypen ist entscheidend, um die Zustellung von Malware per E-Mail zu verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "Filter für gängige Anhangstypen aktiviert, der ausführbare und Skript-Dateitypen blockiert; Zero-Hour Auto Purge aktiviert; Administratorbenachrichtigungen bei Malware-Erkennung aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Anti-Malware-Richtlinie und aktivieren Sie den Filter für gängige Anhänge, um gefährliche Dateitypen wie exe, vbs, js, ps1, bat, cmd und andere ausführbare Formate zu blockieren. Aktivieren Sie Zero-Hour Auto Purge (ZAP), um in bereits zugestellten Nachrichten erkannte Malware rückwirkend zu entfernen. Konfigurieren Sie Administratorbenachrichtigungen, um das Sicherheitsteam bei erkannter Malware zu alarmieren, und überprüfen Sie, dass die Richtlinie auf alle Empfänger in der Organisation angewendet wird.", "status": "machine-draft" } }, "M365EXO-004": { "name": { "value": "Richtlinie für sichere Anlagen", "status": "machine-draft" }, "description": { "value": "Sichere Anlagen in Microsoft Defender für Office 365 detonieren E-Mail-Anhänge in einer Sandbox-Umgebung, um Zero-Day-Malware und fortgeschrittene Bedrohungen zu erkennen, die signaturbasierte Prüfungen nicht identifizieren können. Ohne aktivierte sichere Anlagen können neuartige Malware-Varianten, die als E-Mail-Anhänge zugestellt werden, herkömmliche Anti-Malware-Filter umgehen. Diese Verteidigungsebene ist entscheidend für Organisationen, die von raffinierten Angreifern mit benutzerdefinierter oder polymorpher Malware ins Visier genommen werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Sichere Anlagen im Modus Dynamische Zustellung für alle Benutzer aktiviert; globale Einstellungen für SharePoint, OneDrive und Teams aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen oder aktualisieren Sie die Richtlinie für sichere Anlagen so, dass der Modus Dynamische Zustellung verwendet wird, der den E-Mail-Text sofort zustellt, während die Anhänge geprüft werden, wodurch die Beeinträchtigung der Benutzer minimiert und der Schutz aufrechterhalten wird. Aktivieren Sie sichere Anlagen für SharePoint, OneDrive und Teams in den globalen Einstellungen, um den Detonationsschutz für Dateien über E-Mail hinaus auszuweiten. Weisen Sie die Richtlinie allen Benutzern zu und überwachen Sie den Threat Explorer auf Erkennungen, um die Wirksamkeit der Richtlinie zu überprüfen.", "status": "machine-draft" } }, "M365EXO-005": { "name": { "value": "Richtlinie für sichere Links", "status": "machine-draft" }, "description": { "value": "Sichere Links in Microsoft Defender für Office 365 bieten eine URL-Überprüfung zum Zeitpunkt des Klicks, um Benutzer vor schädlichen Links in E-Mail-Nachrichten und Office-Dokumenten zu schützen. Angreifer verwenden häufig verzögerte Phishing-Techniken, bei denen eine URL zum Zeitpunkt der Zustellung harmlos ist, aber nach der ersten Prüfung der E-Mail auf eine schädliche Website umgestellt wird. Ohne sichere Links sind Benutzer, die diese nachträglich mit Schadcode versehenen URLs anklicken, ungeschützt.", "status": "machine-draft" }, "recommendedValue": { "value": "Sichere Links für E-Mail und Office-Apps aktiviert; URL-Umschreibung aktiviert; kein Durchklicken zu schädlichen URLs zulassen; Echtzeitprüfung aktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie eine Richtlinie für sichere Links, die für alle Benutzer gilt und die URL-Prüfung für E-Mail-Nachrichten und Microsoft-Office-Anwendungen aktiviert. Aktivieren Sie die Einstellung, die Benutzer daran hindert, zu erkannten schädlichen URLs durchzuklicken, und aktivieren Sie die Echtzeit-URL-Prüfung für verdächtige Links. Fügen Sie der Liste „Nicht umschreiben“ keine breiten URL-Ausnahmen hinzu und überprüfen Sie bestehende Ausnahmen, um sicherzustellen, dass sie weiterhin notwendig sind und keine Sicherheitslücken schaffen.", "status": "machine-draft" } }, "M365EXO-006": { "name": { "value": "DKIM/DMARC/SPF-Validierung", "status": "machine-draft" }, "description": { "value": "DKIM, DMARC und SPF sind E-Mail-Authentifizierungsprotokolle, die die Absenderidentität überprüfen und Domänenspoofing verhindern. Ohne alle drei ordnungsgemäß konfigurierten Protokolle können Angreifer E-Mails senden, die scheinbar von der Domäne Ihrer Organisation stammen, was hochgradig überzeugende Phishing-Kampagnen gegen Mitarbeiter, Kunden und Partner ermöglicht. Eine vollständige E-Mail-Authentifizierung ist eine grundlegende Verteidigung gegen Business Email Compromise und Domänen-Identitätswechsel.", "status": "machine-draft" }, "recommendedValue": { "value": "SPF-Eintrag mit -all (Hard Fail); DKIM-Signierung für alle Domänen aktiviert; DMARC-Richtlinie auf reject oder quarantine gesetzt mit aktivierter Aggregatberichterstattung", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, dass jede Organisationsdomäne einen gültigen SPF-Eintrag besitzt, der mit -all (Hard Fail) endet und alle autorisierten Sendequellen enthält. Aktivieren Sie die DKIM-Signierung in Exchange Online für alle benutzerdefinierten Domänen und veröffentlichen Sie die DKIM-CNAME-Einträge im DNS. Veröffentlichen Sie für jede Domäne einen DMARC-Eintrag, beginnend mit der Richtlinie none zur Überwachung, und wechseln Sie dann schrittweise zu quarantine und schließlich reject, sobald die legitimen Sendequellen bestätigt sind, wobei Aggregatberichte für eine dauerhafte Sichtbarkeit konfiguriert werden.", "status": "machine-draft" } }, "M365EXO-007": { "name": { "value": "Richtlinie für automatische Weiterleitung", "status": "machine-draft" }, "description": { "value": "Die automatische E-Mail-Weiterleitung an externe Adressen ist eine gängige Datenexfiltrationstechnik, die von Angreifern nach der Kompromittierung eines Postfachs eingesetzt wird. Ein Angreifer kann Regeln für die automatische Weiterleitung einrichten, um alle eingehenden E-Mails unbemerkt an eine externe Adresse zu kopieren und so auch nach dem Entzug seines Zugriffs dauerhaften Zugriff auf sensible Kommunikation zu behalten. Organisationen sollten die externe automatische Weiterleitung standardmäßig blockieren und alle bestehenden Weiterleitungsregeln prüfen.", "status": "machine-draft" }, "recommendedValue": { "value": "Externe automatische Weiterleitung über die Richtlinie für ausgehenden Spam blockiert; bestehende Weiterleitungsregeln geprüft und freigegeben", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Filterrichtlinie für ausgehenden Spam so, dass die automatische Weiterleitung auf „Automatic - System-controlled“ oder „Off“ gesetzt wird, um die externe automatische Weiterleitung auf Transportebene zu blockieren. Prüfen Sie alle bestehenden Postfach-Weiterleitungsregeln und SMTP-Weiterleitungskonfigurationen, um jede unbefugte externe Weiterleitung zu identifizieren, die auf eine Kompromittierung hindeuten könnte. Entfernen Sie alle nicht freigegebenen Weiterleitungsregeln und richten Sie Überwachungswarnungen ein, um die Erstellung neuer Weiterleitungsregeln über das einheitliche Überwachungsprotokoll zu erkennen.", "status": "machine-draft" } }, "M365EXO-008": { "name": { "value": "Inventar und Analyse der Transportregeln", "status": "machine-draft" }, "description": { "value": "Transportregeln (Nachrichtenflussregeln) in Exchange Online verarbeiten E-Mail-Nachrichten während der Übertragung und können Header ändern, Nachrichten umleiten, Haftungsausschlüsse hinzufügen oder Sicherheitskontrollen umgehen. Schädliche oder falsch konfigurierte Transportregeln können E-Mails unbemerkt umleiten, Sicherheitsheader entfernen oder die Spamfilterung für bestimmte Absender umgehen. Ein umfassendes Audit aller Transportregeln ist notwendig, um Regeln zu identifizieren, die die Sicherheit schwächen oder die Datenexfiltration erleichtern könnten.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Transportregeln mit geschäftlicher Begründung dokumentiert; keine Regeln, die ohne ausdrückliche Genehmigung die Spamfilterung oder Sicherheitskontrollen umgehen", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren und überprüfen Sie alle Transportregeln von Exchange Online und achten Sie besonders auf Regeln, die die Spamfilterung umgehen, E-Mails an externe Adressen umleiten oder Nachrichtenheader ändern. Entfernen oder deaktivieren Sie alle Regeln, denen eine dokumentierte geschäftliche Begründung fehlt oder die von Konten erstellt wurden, die inzwischen kompromittiert oder deprovisioniert wurden. Führen Sie einen Änderungsverwaltungsprozess für die Erstellung und Änderung von Transportregeln ein und richten Sie Überwachungsprotokollwarnungen für Änderungen an Transportregeln ein.", "status": "machine-draft" } }, "M365EXO-009": { "name": { "value": "Postfachüberwachung aktiviert", "status": "machine-draft" }, "description": { "value": "Die Postfachüberwachung zeichnet Aktionen auf, die vom Postfachbesitzer, von Stellvertretern und von Administratoren an Postfachinhalten durchgeführt werden, und liefert damit entscheidende forensische Beweise bei Sicherheitsuntersuchungen. Obwohl die Postfachüberwachung in Microsoft 365 standardmäßig aktiviert ist, haben Organisationen sie möglicherweise für bestimmte Postfächer deaktiviert oder nicht überprüft, ob die standardmäßigen Überwachungsaktionen ausreichend sind. Ohne Postfachüberwachung können unbefugter Postfachzugriff und Datenexfiltration nicht erkannt oder untersucht werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Postfachüberwachung für alle Postfächer aktiviert; standardmäßige Überwachungsaktionen umfassen MailItemsAccessed, Send und SoftDelete für alle Anmeldetypen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, dass die Postfachüberwachung organisationsweit aktiviert ist, indem Sie prüfen, dass der Parameter AuditDisabled bei allen Postfächern auf False gesetzt ist. Überprüfen Sie die überwachten Aktionen für jeden Anmeldetyp (Owner, Delegate, Admin) und stellen Sie sicher, dass kritische Aktionen wie MailItemsAccessed, Send, SoftDelete, HardDelete und UpdateFolderPermissions aufgezeichnet werden. Aktivieren Sie bei Postfächern mit deaktivierter Überwachung die Überwachung erneut und untersuchen Sie, warum sie deaktiviert wurde, um eine böswillige Manipulation auszuschließen.", "status": "machine-draft" } }, "M365EXO-010": { "name": { "value": "Warnungen vor externen Absendern", "status": "machine-draft" }, "description": { "value": "Die Identifizierung externer Absender hilft Benutzern zu erkennen, wenn eine E-Mail von außerhalb der Organisation stammt, und verringert so die Wirksamkeit von Identitätswechsel- und Social-Engineering-Angriffen. Ohne sichtbare Kennzeichnung externer Absender können Benutzer möglicherweise nicht zwischen internen Kollegen und externen Absendern unterscheiden, die interne Anzeigenamen fälschen. Die Konfiguration von Kennzeichnungen für externe Absender oder von E-Mail-Tipps bietet einen visuellen Hinweis, der Benutzer zu erhöhter Vorsicht anregt.", "status": "machine-draft" }, "recommendedValue": { "value": "Kennzeichnung für externe Absender oder E-Mail-Tipp aktiviert, um E-Mails von externen Absendern visuell zu identifizieren", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die Funktion zur Identifizierung externer Absender in der Anti-Phishing-Richtlinie von Exchange Online, um bei E-Mails von externen Absendern einen visuellen Hinweis anzuzeigen. Erwägen Sie die Einführung einer Transportregel, die der Betreffzeile eingehender E-Mails von außerhalb der Organisation als zusätzliche visuelle Warnung „[External]“ voranstellt. Kommunizieren Sie die Änderung an die Endbenutzer und geben Sie Hinweise, wie sie verdächtige externe E-Mails erkennen und darauf reagieren.", "status": "machine-draft" } }, "M365EXO-011": { "name": { "value": "OAuth/SMTP-AUTH-Audit pro Postfach", "status": "machine-draft" }, "description": { "value": "Legacy-Authentifizierungsprotokolle wie SMTP AUTH erlauben die Postfachauthentifizierung nur mit Benutzername und Kennwort und umgehen dabei die Multi-Faktor-Authentifizierung und die Kontrollen des bedingten Zugriffs. Angreifer, die Postfach-Anmeldedaten durch Phishing oder Password Spraying erlangen, können SMTP AUTH nutzen, um auf E-Mails zuzugreifen, ohne MFA-Abfragen auszulösen. Das Deaktivieren von SMTP AUTH und Legacy-OAuth-Flows bei Postfächern, die diese nicht benötigen, schließt einen erheblichen Vektor zur Umgehung der Authentifizierung.", "status": "machine-draft" }, "recommendedValue": { "value": "SMTP AUTH organisationsweit deaktiviert mit Ausnahmen pro Postfach nur für dokumentierte Dienstkonten; Legacy-OAuth deaktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Deaktivieren Sie SMTP AUTH auf Organisationsebene mit Set-TransportConfig und aktivieren Sie es dann selektiv nur für bestimmte Dienstkonto-Postfächer, die es für die Anwendungsintegration benötigen. Prüfen Sie alle Postfächer mit aktiviertem SMTP AUTH, um sicherzustellen, dass eine dokumentierte geschäftliche Begründung vorliegt und die Anmeldedaten sicher verwaltet werden. Überwachen Sie die Anmeldeprotokolle auf die Nutzung von SMTP AUTH, um potenziellen Missbrauch von Anmeldedaten zu erkennen, und planen Sie die Migration von Legacy-Anwendungen zu modernen Authentifizierungsmethoden.", "status": "machine-draft" } }, "M365EXO-012": { "name": { "value": "Einstellung zur automatischen Weiterleitung bei Remotedomänen", "status": "machine-draft" }, "description": { "value": "Die Einstellungen für Remotedomänen in Exchange Online steuern die Nachrichtenformatierung und die Zustellung von Abwesenheitsnotizen an externe Domänen, einschließlich der Frage, ob die automatische Weiterleitung pro Domäne zulässig ist. Die Standard-Remotedomäne (*) kann so konfiguriert sein, dass sie die automatische Weiterleitung zulässt, was die Richtlinie für ausgehenden Spam überschreibt und die Datenexfiltration über Postfach-Weiterleitungsregeln ermöglicht. Diese Einstellung muss unabhängig vom Filter für ausgehenden Spam geprüft werden, um konsistente Kontrollen für die externe Weiterleitung sicherzustellen.", "status": "machine-draft" }, "recommendedValue": { "value": "Automatische Weiterleitung bei der Standard-Remotedomäne (*) und allen benutzerdefinierten Remotedomänen deaktiviert, sofern nicht ausdrücklich erforderlich", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Konfiguration der Standard-Remotedomäne (*) und setzen Sie AutoForwardEnabled auf False, um die automatische Weiterleitung an alle externen Domänen zu verhindern. Prüfen Sie alle benutzerdefinierten Remotedomäneneinträge und deaktivieren Sie die automatische Weiterleitung, sofern keine dokumentierte geschäftliche Anforderung für eine bestimmte Partnerdomäne besteht. Überprüfen Sie, dass die Einstellungen der Remotedomänen mit der Konfiguration der automatischen Weiterleitung in der Richtlinie für ausgehenden Spam übereinstimmen, um eine konsistente Durchsetzung über beide Kontrollschichten hinweg sicherzustellen.", "status": "machine-draft" } }, "M365EXO-013": { "name": { "value": "Automatische Weiterleitung an externe Domänen deaktiviert (MS.EXO.1.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.1.1 erfordert, dass die automatische Weiterleitung an externe Domänen deaktiviert ist. Die Konfiguration der Remotedomänen in Exchange Online bestimmt, ob E-Mails automatisch aus dem Mandanten weitergeleitet werden können. Wenn die Standard-Remotedomäne (*) die automatische Weiterleitung zulässt, kann ein kompromittiertes Postfach unbemerkt alle eingehenden E-Mails an eine vom Angreifer kontrollierte externe Adresse exfiltrieren und den Zugriff selbst nach dem Zurücksetzen der Anmeldedaten aufrechterhalten.", "status": "machine-draft" }, "recommendedValue": { "value": "AutoForwardEnabled bei der Standard-Remotedomäne (*) und bei jeder benutzerdefinierten Remotedomäne auf False gesetzt, sofern keine bestimmte Partnerintegration dokumentiert ist", "status": "machine-draft" }, "remediationSteps": { "value": "Öffnen Sie im Exchange Admin Center unter Nachrichtenfluss die Remotedomänen und bearbeiten Sie den Eintrag Standard (*) so, dass die automatische Weiterleitung nicht zulässig ist (AutoForwardEnabled = False). Wiederholen Sie dies für jede benutzerdefinierte Remotedomäne, die keine dokumentierte geschäftliche Notwendigkeit für mandantenübergreifende automatische Weiterleitung hat. Stellen Sie sicher, dass die Einstellung zur automatischen Weiterleitung in der Richtlinie für ausgehenden Spam konsistent ist, sodass beide Kontrollschichten dieselbe Beschränkung durchsetzen.", "status": "machine-draft" } }, "M365EXO-014": { "name": { "value": "Liste der freigegebenen Sende-IPs gepflegt (MS.EXO.2.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.2.1 erfordert, dass eine Liste der freigegebenen IP-Adressen für den Mailversand gepflegt wird, die die Grundlage für einen korrekten SPF-Eintrag bildet. Die Liste der freigegebenen Absender ist die maßgebliche Grundlage, die bestimmt, welche Hosts legitim E-Mails für jede Domäne senden dürfen. Ohne eine gepflegte Liste kann eine SPF-Richtlinie nicht korrekt abgegrenzt werden und blockiert entweder keine Spoofer oder blockiert legitime Absender.", "status": "machine-draft" }, "recommendedValue": { "value": "Eine dokumentierte, aktuelle Liste aller freigegebenen Sendequellen pro Domäne (Exchange Online include plus etwaige Drittanbieter-Absender), die im veröffentlichten SPF-Eintrag abgebildet ist", "status": "machine-draft" }, "remediationSteps": { "value": "Inventarisieren Sie jedes System, das legitim E-Mails im Namen jeder akzeptierten Domäne sendet, einschließlich Exchange Online (spf.protection.outlook.com), Marketingplattformen, Ticketing-Systemen und lokalen Relays. Erfassen Sie diese Liste der freigegebenen Absender als verbindliche Quelle und stellen Sie sicher, dass der veröffentlichte SPF-Eintrag genau diese Quellen referenziert. Überprüfen Sie die Liste immer dann, wenn ein neuer Sendedienst hinzugefügt oder außer Betrieb genommen wird, damit der SPF-Eintrag korrekt bleibt.", "status": "machine-draft" } }, "M365EXO-015": { "name": { "value": "SPF-Richtlinie für jede Domäne veröffentlicht (MS.EXO.2.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.2.2 erfordert, dass für jede Domäne eine SPF-Richtlinie veröffentlicht wird, die nur freigegebene Adressen als Absender ausweist und alle anderen fehlschlagen lässt. SPF wird als DNS-TXT-Eintrag und nicht als Exchange-Online-Einstellung veröffentlicht. Ein fehlender SPF-Eintrag oder ein Eintrag, der mit +all oder ?all endet, erlaubt es Angreifern, das FROM-Feld von E-Mails zu fälschen, die scheinbar von der Organisation stammen, was überzeugendes Phishing ermöglicht.", "status": "machine-draft" }, "recommendedValue": { "value": "Ein einzelner SPF-TXT-Eintrag pro Domäne, der alle freigegebenen Absender auflistet und mit -all (Hard Fail) endet", "status": "machine-draft" }, "remediationSteps": { "value": "Veröffentlichen Sie für jede akzeptierte Domäne einen einzelnen SPF-TXT-Eintrag, der alle freigegebenen Sendequellen aufzählt und mit -all endet, um nicht autorisierte Absender per Hard Fail abzuweisen. Entfernen Sie doppelte SPF-Einträge, die gegen RFC 7208 verstoßen und dazu führen, dass die Validierung fehlschlägt. Vermeiden Sie +all und ?all, die die SPF-Durchsetzung außer Kraft setzen, und validieren Sie den Eintrag nach der Veröffentlichung mit einer DNS-Abfrage.", "status": "machine-draft" } }, "M365EXO-016": { "name": { "value": "DKIM für alle Domänen aktiviert (MS.EXO.3.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.3.1 empfiehlt, dass DKIM für alle Domänen aktiviert wird. DKIM fügt dem Nachrichtenheader eine kryptografische Signatur hinzu, sodass Empfänger die Integrität und Authentizität der Nachricht überprüfen können. Ohne DKIM haben Empfänger ein Signal weniger, um gefälschte E-Mails zu erkennen, und die DMARC-Ausrichtung kann sich nicht auf DKIM stützen, was die gesamte E-Mail-Authentifizierung schwächt.", "status": "machine-draft" }, "recommendedValue": { "value": "DKIM-Signierung für jede benutzerdefinierte Domäne aktiviert, wobei die entsprechenden Selector-CNAME-Einträge im DNS veröffentlicht sind", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die DKIM-Signierung in Exchange Online für jede benutzerdefinierte Domäne und veröffentlichen Sie die beiden Selector-CNAME-Einträge, die der Dienst generiert, im DNS der Domäne. Überprüfen Sie, dass die Signierungskonfiguration den Status Enabled meldet, sobald sich die CNAME-Einträge verbreitet haben. Rotieren Sie die Schlüssel regelmäßig und stellen Sie sicher, dass für neu hinzugefügte Domänen DKIM im Rahmen des Domänen-Onboardings aktiviert wird.", "status": "machine-draft" } }, "M365EXO-017": { "name": { "value": "DMARC-Richtlinie für jede Domäne veröffentlicht (MS.EXO.4.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.1 erfordert, dass für jede Domäne der zweiten Ebene eine DMARC-Richtlinie veröffentlicht wird. DMARC ist ein DNS-TXT-Eintrag unter _dmarc.<domain>, der Empfängern mitteilt, wie E-Mails zu behandeln sind, die SPF und DKIM nicht bestehen, und wohin Berichte gesendet werden sollen. Ohne einen DMARC-Eintrag behandeln Empfänger Authentifizierungsfehler inkonsistent, was es gefälschten E-Mails erlaubt, Postfächer zu erreichen.", "status": "machine-draft" }, "recommendedValue": { "value": "Ein DMARC-TXT-Eintrag unter _dmarc für jede Domäne der zweiten Ebene veröffentlicht", "status": "machine-draft" }, "remediationSteps": { "value": "Veröffentlichen Sie einen DMARC-TXT-Eintrag unter _dmarc.<domain> für jede Domäne der zweiten Ebene; ein Eintrag auf der Domäne der zweiten Ebene schützt deren Subdomänen. Beginnen Sie mit p=none, um Aggregatberichte zu sammeln, ohne die Zustellung zu beeinträchtigen, überprüfen Sie, dass legitime Quellen unter SPF oder DKIM ausgerichtet sind, und erhöhen Sie dann die Durchsetzungsstufe. Stellen Sie mit einer DNS-Abfrage sicher, dass der Eintrag korrekt aufgelöst wird.", "status": "machine-draft" } }, "M365EXO-018": { "name": { "value": "DMARC-Durchsetzung auf p=reject gesetzt (MS.EXO.4.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.2 erfordert, dass die DMARC-Option zur Nachrichtenabweisung auf p=reject gesetzt wird. Von den drei Richtlinienwerten (none, quarantine, reject) bietet reject den stärksten Schutz, indem er Empfänger anweist, nicht authentifizierte E-Mails direkt zu verwerfen. Eine Richtlinie mit none oder quarantine lässt ein Fenster offen, in dem gefälschte E-Mails Postfächer der Benutzer erreichen oder in deren Nähe landen können.", "status": "machine-draft" }, "recommendedValue": { "value": "DMARC-Eintrag für jede Domäne enthält p=reject", "status": "machine-draft" }, "remediationSteps": { "value": "Nachdem Sie unter Überwachung bestätigt haben, dass alle legitimen Absender die SPF- oder DKIM-Ausrichtung bestehen, aktualisieren Sie den DMARC-Eintrag jeder Domäne auf p=reject, damit Empfänger E-Mails verwerfen, die die Authentifizierung nicht bestehen. Durchlaufen Sie zunächst p=none und p=quarantine, um legitime E-Mails nicht zu stören. Überwachen Sie die Aggregatberichte auch nach der Durchsetzung von reject weiter, um neu hinzugefügte Absender zu erkennen, die noch nicht ausgerichtet sind.", "status": "machine-draft" } }, "M365EXO-019": { "name": { "value": "Kontakt für DMARC-Aggregatberichte konfiguriert (MS.EXO.4.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.3 erfordert, dass der Kontakt für DMARC-Aggregatberichte (RUA) bei bundesstaatlichen Behörden der Exekutive reports@dmarc.cyber.dhs.gov enthält und dass allgemeiner ein Ziel für Aggregatberichte konfiguriert ist. Aggregatberichte geben Domäneninhabern Einblick, wer E-Mails als ihre Domäne sendet, was für den sicheren Übergang zu p=reject und die Erkennung von Spoofing-Kampagnen unerlässlich ist.", "status": "machine-draft" }, "recommendedValue": { "value": "DMARC-Eintrag enthält ein rua=-Ziel für Aggregatberichte; bundesstaatliche Behörden der Exekutive nehmen reports@dmarc.cyber.dhs.gov auf", "status": "machine-draft" }, "remediationSteps": { "value": "Fügen Sie jedem DMARC-Eintrag ein rua=-Tag hinzu, das auf ein überwachtes Postfach oder einen Berichtsverarbeitungsdienst verweist, damit Aggregatberichte gesammelt und überprüft werden. Bundesstaatliche Ministerien und Behörden der Exekutive müssen gemäß BOD 18-01 reports@dmarc.cyber.dhs.gov in das RUA-Feld aufnehmen. Stellen Sie sicher, dass das empfangende Postfach oder der Dienst aktiv überwacht wird, damit auf Spoofing-Trends reagiert wird.", "status": "machine-draft" } }, "M365EXO-020": { "name": { "value": "SMTP AUTH organisationsweit deaktiviert (MS.EXO.5.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.5.1 erfordert, dass SMTP AUTH deaktiviert wird. SMTP AUTH ist ein Legacy-Übermittlungsprotokoll, das sich mit Benutzername und Kennwort authentifiziert und keine Multi-Faktor-Authentifizierung durchsetzen kann. Wenn es als Mandantenstandard aktiviert bleibt, erhalten Angreifer einen Weg, E-Mails mit gestohlenen Anmeldedaten zu senden und dabei MFA und den bedingten Zugriff zu umgehen.", "status": "machine-draft" }, "recommendedValue": { "value": "SMTP AUTH als Organisationsstandard deaktiviert (SmtpClientAuthenticationDisabled = True), mit Ausnahmen pro Postfach nur für dokumentierte Dienstkonten", "status": "machine-draft" }, "remediationSteps": { "value": "Deaktivieren Sie SMTP AUTH als globalen Standard, indem Sie SmtpClientAuthenticationDisabled in der Transportkonfiguration auf True setzen. Wo ein bestimmtes Dienstkonto SMTP AUTH tatsächlich benötigt, aktivieren Sie es nur bei diesem einzelnen Postfach und dokumentieren Sie die Begründung. Überwachen Sie die Anmeldetelemetrie auf die Nutzung von SMTP AUTH und migrieren Sie Legacy-Anwendungen zur modernen Authentifizierung.", "status": "machine-draft" } }, "M365EXO-021": { "name": { "value": "Freigabe von Kontaktordnern nicht für alle Domänen offen (MS.EXO.6.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.6.1 erfordert, dass Kontaktordner nicht für alle Domänen freigegeben werden. Freigaberichtlinien in Exchange Online können die standardmäßige Beschränkung der ausgehenden Kontaktfreigabe lockern. Eine Richtlinie, die Kontakte für alle Domänen freigibt (ein Domäneneintrag „*“), legt Verzeichnis- und Kontaktdaten breit offen, wodurch ein Weg zur Datenexfiltration entsteht und die Aufklärung für Social Engineering unterstützt wird.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Freigaberichtlinienregel gewährt die Kontaktfreigabe an die Platzhalterdomäne (*); Freigabe ausschließlich auf bestimmte freigegebene Domänen beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie jede Freigaberichtlinie in Exchange Online und entfernen Sie jede Regel, die Kontaktordner für die Platzhalterdomäne (*) freigibt. Wo eine externe Kontaktfreigabe tatsächlich erforderlich ist, grenzen Sie sie auf bestimmte benannte Partnerdomänen statt auf alle Domänen ein. Überprüfen Sie, dass die Standard-Freigaberichtlinie die Kontaktfreigabe an alle Domänen nicht unbemerkt wieder aktiviert.", "status": "machine-draft" } }, "M365EXO-022": { "name": { "value": "Freigabe von Kalenderdetails nicht für alle Domänen offen (MS.EXO.6.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.6.2 erfordert, dass Kalenderdetails nicht für alle Domänen freigegeben werden. Freigaberichtlinien können die externe Freigabe von Kalenderdetails erlauben; eine Regel, die die Platzhalterdomäne (*) abdeckt, legt Besprechungsbetreffe, -orte und Teilnehmerinformationen für jede externe Partei offen. Dies gibt organisatorische Aktivitäten preis, die gezieltes Phishing und physische Aufklärung unterstützen.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Freigaberichtlinienregel gewährt die Freigabe von Kalenderdetails (CalendarSharing*) an die Platzhalterdomäne (*); Freigabe auf bestimmte freigegebene Domänen beschränkt, idealerweise nur Frei/Gebucht", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie jede Freigaberichtlinie in Exchange Online und entfernen Sie jede Regel, die Kalenderdetails für die Platzhalterdomäne (*) freigibt. Falls eine externe Kalenderfreigabe erforderlich ist, beschränken Sie sie auf bestimmte benannte Domänen und bevorzugen Sie Stufen mit ausschließlich Frei/Gebucht gegenüber vollständigen Details. Stellen Sie sicher, dass die Standard-Freigaberichtlinie Kalenderdetails nicht für alle Domänen offenlegt.", "status": "machine-draft" } }, "M365EXO-023": { "name": { "value": "Warnung vor externen Absendern umgesetzt (MS.EXO.7.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.7.1 erfordert, dass Warnungen vor externen Absendern umgesetzt werden. Das Kennzeichnen von E-Mails, die von außerhalb der Organisation stammen, hilft Benutzern, Identitätswechsel- und Social-Engineering-Versuche zu erkennen. Dies kann über die native Kennzeichnung für externe Absender (Set-ExternalInOutlook) oder über eine Nachrichtenflussregel erfolgen, die dem Betreff eingehender externer E-Mails eine Kennzeichnung wie [External] voranstellt.", "status": "machine-draft" }, "recommendedValue": { "value": "Native Identifizierung externer Absender aktiviert (Get-ExternalInOutlook Enabled = True) oder eine Nachrichtenflussregel, die eingehenden externen E-Mails eine externe Kennzeichnung voranstellt", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die native Funktion zur Identifizierung externer Absender, damit Outlook bei E-Mails von außerhalb der Organisation eine Kennzeichnung External anzeigt. Erstellen Sie alternativ oder zusätzlich eine aktivierte Nachrichtenflussregel, die dem Betreff von E-Mails, die von außerhalb der Organisation empfangen werden, eine Kennzeichnung wie [External] voranstellt. Kommunizieren Sie die Änderung an die Benutzer, damit sie die Bedeutung des Hinweises verstehen.", "status": "machine-draft" } }, "M365EXO-024": { "name": { "value": "Lösung zur Verhinderung von Datenverlust im Einsatz (MS.EXO.8.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.1 erfordert, dass eine DLP-Lösung eingesetzt wird, die Dienste vergleichbar mit der nativen Microsoft-Lösung bietet. DLP erkennt sensible Informationen in E-Mails von Exchange Online und verhindert die unbefugte Offenlegung. Ohne DLP können Benutzer versehentlich oder böswillig sensible Daten außerhalb der Organisation senden, ohne dass eine automatisierte Erkennung oder Blockierung erfolgt.", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens eine aktive DLP-Richtlinie, die auf die Workload Exchange Online abgegrenzt ist", "status": "machine-draft" }, "remediationSteps": { "value": "Setzen Sie eine DLP-Lösung ein, die die E-Mail-Workload von Exchange Online abdeckt, und bestätigen Sie, dass mindestens eine Richtlinie aktiviert und angewendet ist. Wenn Sie die native DLP-Funktion von Microsoft verwenden, erstellen Sie im Compliance-Portal eine Richtlinie, die auf Exchange-E-Mails abgegrenzt ist. Überprüfen Sie, dass sich die Richtlinie im Durchsetzungsmodus und nicht nur im Testmodus befindet, damit Offenlegungen tatsächlich blockiert werden.", "status": "machine-draft" } }, "M365EXO-025": { "name": { "value": "DLP schützt personenbezogene Daten und sensible Datentypen (MS.EXO.8.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.2 erfordert, dass die DLP-Lösung personenbezogene Daten und sensible Informationen schützt und mindestens die Weitergabe von Kreditkartennummern, Steueridentifikationsnummern und Sozialversicherungsnummern per E-Mail einschränkt. Eine DLP-Lösung, die zwar vorhanden ist, diese hochwertigen Kennungen aber nicht erkennt, kann die schädlichsten Klassen versehentlicher Offenlegung nicht verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "DLP-Richtlinie umfasst Typen sensibler Informationen für Kreditkartennummern, TIN und SSN mit einer Aktion zum Einschränken/Blockieren für E-Mails", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die DLP-Richtlinie, die Exchange Online abdeckt, so, dass sie die Typen sensibler Informationen für Kreditkartennummern, Steueridentifikationsnummern und Sozialversicherungsnummern sowie alle weiteren behördlich definierten personenbezogenen Daten erkennt. Legen Sie die Regelaktion so fest, dass ausgehende E-Mails, die diese Kennungen enthalten, blockiert oder eingeschränkt werden. Testen Sie mit Beispieldaten, um die Erkennung zu bestätigen und sicherzustellen, dass Benutzerbenachrichtigungen und Vorfallsberichte generiert werden.", "status": "machine-draft" } }, "M365EXO-026": { "name": { "value": "E-Mails nach Anhangsdateityp gefiltert (MS.EXO.9.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.1 erfordert, dass E-Mails nach Anhangsdateityp gefiltert werden, vergleichbar mit dem Filter für gängige Anhänge. Viele Malware-Payloads treffen als Click-to-Run-Anhänge ein. Das Filtern eingehender E-Mails nach Anhangstyp blockiert gefährliche Dateiklassen, bevor sie die Benutzer erreichen, und verringert so die Wahrscheinlichkeit einer versehentlichen Ausführung.", "status": "machine-draft" }, "recommendedValue": { "value": "Eine Malware-/Anti-Malware-Richtlinie mit aktiviertem Filter für gängige Anhangstypen (EnableFileFilter = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie den Filter für gängige Anhänge in der Anti-Malware-Richtlinie, damit eingehende E-Mails nach Anhangsdateityp gefiltert werden. Bestätigen Sie, dass die Richtlinie auf alle Empfänger angewendet wird und nicht auf eine Teilmenge beschränkt ist. Wo ein vergleichbares Gateway eines Drittanbieters diese Filterung bietet, überprüfen Sie, dass sie aktiviert ist und dieselben gefährlichen Dateiklassen abdeckt.", "status": "machine-draft" } }, "M365EXO-027": { "name": { "value": "Anhangsfilter bewertet den tatsächlichen Dateityp (MS.EXO.9.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.2 empfiehlt, dass der Anhangsfilter versucht, den tatsächlichen Dateityp zu bestimmen und die Dateierweiterung zu bewerten. Angreifer benennen Dateien um, um gefährliche Typen zu tarnen (etwa das Umbenennen einer ausführbaren Datei in .txt). Die Erkennung des tatsächlichen Typs erfasst Diskrepanzen, bei denen die Erweiterung nicht mit dem tatsächlichen Dateiinhalt übereinstimmt, und schließt so eine gängige Umgehungstechnik.", "status": "machine-draft" }, "recommendedValue": { "value": "Anhangsfilterung so konfiguriert, dass sie den tatsächlichen Dateityp prüft, statt sich allein auf die Dateierweiterung zu verlassen", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie sicher, dass die Lösung zur Anhangsfilterung den tatsächlichen Dateiinhalt prüft, um den tatsächlichen Typ zu bestimmen, statt der Dateierweiterung zu vertrauen. In der nativen Lösung wird dies durch die Typerkennung des Filters für gängige Anhänge bereitgestellt; überprüfen Sie, dass sie aktiviert ist. Bei Gateways von Drittanbietern bestätigen Sie, dass eine auf dem tatsächlichen Typ oder Inhalt basierende Prüfung konfiguriert ist, damit umbenannte gefährliche Dateien dennoch erfasst werden.", "status": "machine-draft" } }, "M365EXO-028": { "name": { "value": "Nicht zugelassene Anhangsdateitypen festgelegt (MS.EXO.9.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.3 erfordert, dass nicht zugelassene Dateitypen bestimmt und festgelegt werden und mindestens Click-to-Run-Dateien wie .exe, .cmd und .vbe blockiert werden. Ein Anhangsfilter, der zwar aktiviert ist, aber eine leere oder unzureichende Blockliste hat, bietet keinen echten Schutz. Die Organisation muss die Liste der blockierten Erweiterungen entsprechend ihrer Risikotoleranz definieren und pflegen.", "status": "machine-draft" }, "recommendedValue": { "value": "Blockliste des Anhangsfilters mit ausführbaren/Click-to-Run-Typen befüllt, mindestens exe, cmd, vbe, vbs, js, ps1, bat", "status": "machine-draft" }, "remediationSteps": { "value": "Befüllen Sie die Blockliste des Anhangsfilters mit den Dateitypen, die die Organisation nicht per E-Mail akzeptiert, und stellen Sie sicher, dass Click-to-Run-ausführbare Dateien wie exe, cmd, vbe, vbs, js, ps1 und bat mindestens enthalten sind. Überprüfen Sie die Liste anhand aktueller Bedrohungstrends und der Risikotoleranz der Organisation. Überprüfen Sie, dass die Liste nicht leer ist und auf alle Empfänger angewendet wird.", "status": "machine-draft" } }, "M365EXO-029": { "name": { "value": "E-Mails auf Malware geprüft (MS.EXO.10.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.1 erfordert, dass E-Mails auf Malware geprüft werden. E-Mail ist ein primärer Kanal zur Malware-Zustellung; die Prüfung eingehender E-Mails erkennt bekannte schädliche Inhalte, bevor sie die Benutzer erreichen. Eine Organisation ohne aktive Anti-Malware-Richtlinie lässt ihre Benutzer Malware-behafteten Anhängen direkt ausgesetzt.", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens eine aktive Anti-Malware-Richtlinie, die auf alle Empfänger angewendet wird", "status": "machine-draft" }, "remediationSteps": { "value": "Bestätigen Sie, dass mindestens eine Anti-Malware-Richtlinie aktiv ist und auf alle Empfänger angewendet wird, damit eingehende E-Mails auf Malware geprüft werden. Wenn Sie eine vergleichbare Lösung eines Drittanbieters verwenden, überprüfen Sie, dass sie aktiviert ist und alle eingehenden E-Mails abdeckt. Überprüfen Sie regelmäßig die Erkennungstelemetrie, um zu bestätigen, dass die Prüfung funktioniert.", "status": "machine-draft" } }, "M365EXO-030": { "name": { "value": "Malware-E-Mails in Quarantäne verschoben oder verworfen (MS.EXO.10.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.2 erfordert, dass als malwarehaltig identifizierte E-Mails in Quarantäne verschoben oder verworfen werden. Die Erkennung allein reicht nicht aus, wenn die schädliche Nachricht dennoch zugestellt wird. Die Anti-Malware-Richtlinie muss eine Entfernungsaktion ausführen, damit Benutzer nicht mit Nachrichten interagieren können, die als malwarehaltig befunden wurden.", "status": "machine-draft" }, "recommendedValue": { "value": "Aktion der Anti-Malware-Richtlinie verschiebt als Malware identifizierte Nachrichten in Quarantäne oder verwirft sie (keine Aktion Zustellen-mit-Warnung)", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Anti-Malware-Richtlinie so, dass als malwarehaltig identifizierte Nachrichten in Quarantäne verschoben oder verworfen statt zugestellt werden. Überprüfen Sie, dass keine Richtlinie so eingestellt ist, dass malwarepositive Nachrichten nur mit einer Warnung zugestellt werden. Bestätigen Sie, dass Administratorbenachrichtigungen aktiviert sind, damit das Sicherheitsteam bei Erkennungen alarmiert wird.", "status": "machine-draft" } }, "M365EXO-031": { "name": { "value": "Malware-Prüfung nach der Zustellung aktiviert (MS.EXO.10.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.3 erfordert, dass die E-Mail-Prüfung in der Lage ist, E-Mails nach der Zustellung zu überprüfen. Malware-Signaturen werden fortlaufend aktualisiert, sodass eine bei der Zustellung harmlose Nachricht später als schädlich erkannt werden kann. Zero-Hour Auto Purge (ZAP) entfernt solche Nachrichten rückwirkend aus den Postfächern und verringert so das Zeitfenster der Gefährdung.", "status": "machine-draft" }, "recommendedValue": { "value": "Zero-Hour Auto Purge (ZAP) bei allen Anti-Malware-Richtlinien aktiviert (ZapEnabled = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie Zero-Hour Auto Purge (ZAP) bei jeder Anti-Malware-Richtlinie, damit später als Malware identifizierte Nachrichten nach der Zustellung aus den Postfächern entfernt werden. Bestätigen Sie, dass ZAP bei allen Richtlinien aktiviert ist, nicht nur bei der Standardrichtlinie. Wo eine vergleichbare Lösung eines Drittanbieters verwendet wird, überprüfen Sie, dass sie eine gleichwertige Behebung nach der Zustellung bietet.", "status": "machine-draft" } }, "M365EXO-032": { "name": { "value": "Prüfungen des Identitätswechselschutzes aktiviert (MS.EXO.11.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.1 empfiehlt, dass Prüfungen des Identitätswechselschutzes verwendet werden. Der Identitätswechselschutz vergleicht Absenderadressen mit bekannten Benutzern und Domänen, um ähnlich aussehende Adressen zu kennzeichnen (etwa exmple.com gegenüber example.com). Ohne ihn müssen Benutzer nahezu identische Absenderadressen manuell unterscheiden, was unzuverlässig ist und den Erfolg von Phishing erhöht.", "status": "machine-draft" }, "recommendedValue": { "value": "Anti-Phishing-Richtlinie mit aktiviertem Schutz vor Benutzer- und/oder Domänen-Identitätswechsel, angewendet auf hochwertige Ziele", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie den Schutz vor Benutzer- und Domänen-Identitätswechsel in einer Anti-Phishing-Richtlinie und wenden Sie ihn auf hochwertige Ziele wie Führungskräfte, Finanzabteilung und IT sowie auf Organisations- und wichtige Partnerdomänen an. Legen Sie als Aktion für imitierte Nachrichten die Quarantäne fest. Beachten Sie, dass der Identitätswechselschutz einen Defender-für-Office-365-Plan erfordert; falls nicht verfügbar, prüfen Sie eine vergleichbare Funktion eines Drittanbieters.", "status": "machine-draft" } }, "M365EXO-033": { "name": { "value": "Sicherheitstipps/-warnungen für Benutzer angezeigt (MS.EXO.11.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.2 empfiehlt, dass Benutzerwarnungen vergleichbar mit EOP-Sicherheitstipps angezeigt werden. Sicherheitstipps blenden automatisierte Signale (ungewöhnliche Zeichen in der FROM-Adresse, Erstkontakt-Absender) direkt im Client ein und regen im Moment des Risikos zur Vorsicht an. Dies nimmt Benutzern Erkennungsarbeit ab und verringert erfolgreiches Phishing.", "status": "machine-draft" }, "recommendedValue": { "value": "Anti-Phishing-Richtlinie mit aktivierten Erstkontakt-Sicherheitstipps sowie Sicherheitstipps zu Spoofing/Identitätswechsel", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die Optionen für Sicherheitstipps in der Anti-Phishing-Richtlinie, einschließlich Erstkontakt-Sicherheitstipps sowie Sicherheitstipps zu Spoofing und Identitätswechsel, damit Benutzer clientseitige Warnungen erhalten. Wenden Sie die Richtlinie auf alle Benutzer an. Wo eine vergleichbare Lösung eines Drittanbieters verwendet wird, bestätigen Sie, dass sie gleichwertige empfängerseitige Warnungen anzeigt.", "status": "machine-draft" } }, "M365EXO-034": { "name": { "value": "KI-basierte Phishing-Erkennung im Einsatz (MS.EXO.11.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.3 empfiehlt ein KI-basiertes Werkzeug zur Phishing-Erkennung, vergleichbar mit der EOP-Postfachintelligenz. Die Postfachintelligenz erstellt ein Modell der üblichen Korrespondenten eines Benutzers, um anomale Absender zu erkennen, die regelbasierte Filter übersehen. Ohne eine KI-basierte Ebene entgeht neuartiges oder hochgradig gezieltes Phishing der Erkennung mit höherer Wahrscheinlichkeit.", "status": "machine-draft" }, "recommendedValue": { "value": "Anti-Phishing-Richtlinie mit aktivierter Postfachintelligenz (EnableMailboxIntelligence = True) und konfigurierter Schutzaktion", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die Postfachintelligenz in der Anti-Phishing-Richtlinie und konfigurieren Sie die Schutzaktion der Postfachintelligenz, um erkannte Identitätswechsel zu behandeln. Wenden Sie die Richtlinie auf alle Benutzer an. Die Postfachintelligenz erfordert einen Defender-für-Office-365-Plan; falls nicht verfügbar, prüfen Sie eine vergleichbare KI-basierte Phishing-Erkennung eines Drittanbieters.", "status": "machine-draft" } }, "M365EXO-035": { "name": { "value": "Keine IP-Positivliste im Verbindungsfilter (MS.EXO.12.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.12.1 empfiehlt, dass keine IP-Positivlisten erstellt werden. Adressen auf der Positivliste des Verbindungsfilters umgehen die Spamfilterung, SPF, DKIM, DMARC und die Durchsetzung der FROM-Adresse. Jeder Eintrag auf dieser Liste ist eine Lücke, durch die ein Angreifer, der von dieser Adresse senden kann, E-Mails zustellen kann, die alle eingehenden Sicherheitskontrollen überspringen.", "status": "machine-draft" }, "recommendedValue": { "value": "IPAllowList der Verbindungsfilterrichtlinie bei allen Richtlinien leer", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Verbindungsfilterrichtlinie und entfernen Sie alle Einträge aus der Liste der zugelassenen IP-Adressen, damit keine Absender die Spamfilterung und die Authentifizierungsprüfungen umgehen. Wenn ein Absender zugelassen werden muss, um Fehlalarme zu vermeiden, bevorzugen Sie einen eng abgegrenzten Eintrag für zugelassene Absender gegenüber einer IP-Positivliste. Überprüfen Sie, dass keine benutzerdefinierte Verbindungsfilterrichtlinie Positivlisteneinträge wieder einführt.", "status": "machine-draft" } }, "M365EXO-036": { "name": { "value": "Sichere Liste des Verbindungsfilters deaktiviert (MS.EXO.12.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.12.2 empfiehlt, dass sichere Listen nicht aktiviert werden. Die sichere Liste des Verbindungsfilters ist eine dynamische, von Drittanbietern bezogene Liste „bekannt guter“ Absender, deren E-Mails die Spamfilterung und die Absenderauthentifizierung umgehen. Da die Liste extern kuratiert wird, überträgt ihre Aktivierung eine Entscheidung zur Sicherheitsumgehung an eine Quelle, die die Organisation nicht kontrolliert.", "status": "machine-draft" }, "recommendedValue": { "value": "EnableSafeList der Verbindungsfilterrichtlinie bei allen Richtlinien auf False gesetzt", "status": "machine-draft" }, "remediationSteps": { "value": "Bearbeiten Sie die Verbindungsfilterrichtlinie und stellen Sie sicher, dass die Option für die sichere Liste ausgeschaltet ist (EnableSafeList = False), damit extern bezogene „bekannt gute“ Absender die Spam- und Authentifizierungsprüfungen nicht umgehen. Überprüfen Sie die Einstellung bei der Standardrichtlinie und allen benutzerdefinierten Verbindungsfilterrichtlinien. Eine IP-Blockliste des Verbindungsfilters kann weiterhin verwendet werden, um bekannte schädliche Absender zu blockieren.", "status": "machine-draft" } }, "M365EXO-037": { "name": { "value": "Postfachüberwachung organisationsweit aktiviert (MS.EXO.13.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.13.1 erfordert, dass die Postfachüberwachung aktiviert wird. Die Postfachüberwachung zeichnet Aktionen auf, die von Besitzern, Stellvertretern und Administratoren an Postfachinhalten durchgeführt werden, und liefert damit wesentliche forensische Beweise zur Untersuchung von Kompromittierungen. Obwohl sie standardmäßig aktiviert ist, schützt diese Kontrolle vor versehentlichem oder böswilligem Deaktivieren auf Organisationsebene.", "status": "machine-draft" }, "recommendedValue": { "value": "Organisation AuditDisabled = False, damit die Postfachüberwachung mandantenweit aktiviert ist", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, dass die Postfachüberwachung organisationsweit aktiviert ist, indem Sie bestätigen, dass AuditDisabled in der Organisationskonfiguration auf False steht. Falls die Überwachung deaktiviert ist, aktivieren Sie sie erneut und untersuchen Sie, warum sie ausgeschaltet wurde, um eine Manipulation auszuschließen. Bestätigen Sie, dass die standardmäßig überwachten Aktionen MailItemsAccessed, Send, SoftDelete und HardDelete über alle Anmeldetypen hinweg abdecken.", "status": "machine-draft" } }, "M365EXO-038": { "name": { "value": "Filter für eingehenden Spam aktiviert (MS.EXO.14.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.1 erfordert, dass ein Spamfilter aktiviert wird, vergleichbar mit der nativen Spamfilterung. Spam überfüllt Postfächer, verringert die Produktivität und enthält häufig schädliche Links oder Anhänge. Eine Organisation ohne aktive Richtlinie für eingehenden Spam lässt ihre Benutzer dem gesamten Volumen unerwünschter und potenziell schädlicher E-Mails ausgesetzt.", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens eine aktive Filterrichtlinie für gehostete Inhalte (Anti-Spam), die auf alle Empfänger angewendet wird", "status": "machine-draft" }, "remediationSteps": { "value": "Bestätigen Sie, dass mindestens eine Anti-Spam-Richtlinie für eingehende E-Mails (Filter für gehostete Inhalte) aktiv ist und auf alle Empfänger angewendet wird. Wenn Sie ein vergleichbares Gateway eines Drittanbieters verwenden, überprüfen Sie, dass es für alle eingehenden E-Mails aktiviert ist. Überprüfen Sie die Schwellenwerte der Spamaktionen, um sicherzustellen, dass aggressive Massen- und Spamversender gefiltert werden.", "status": "machine-draft" } }, "M365EXO-039": { "name": { "value": "Spam in Junk oder Quarantäne geleitet (MS.EXO.14.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.2 erfordert, dass Spam und Spam mit hoher Zuverlässigkeit entweder in den Junk-E-Mail-Ordner oder in die Quarantäne verschoben werden. Das Zustellen von Spam in das Postfach hebt den Zweck der Filterung auf und erhöht die Gefährdung durch schädliche Inhalte. Die Aktionen der Anti-Spam-Richtlinie müssen erkannten Spam vom Postfach fernhalten und gleichzeitig die Überprüfung von Fehlalarmen durch den Benutzer ermöglichen.", "status": "machine-draft" }, "recommendedValue": { "value": "SpamAction und HighConfidenceSpamAction auf MoveToJmf (Junk) oder Quarantine gesetzt; niemals auf Zustellung ins Postfach gesetzt", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Anti-Spam-Richtlinie so, dass die Aktionen für Spam und Spam mit hoher Zuverlässigkeit die Nachrichten in den Junk-E-Mail-Ordner oder in die Quarantäne verschieben, statt sie in das Postfach zuzustellen. Überprüfen Sie, dass keine Aktion auf Hinzufügen eines Headers und Zustellen gesetzt ist. Bestätigen Sie, dass die Richtlinie auf alle Empfänger angewendet wird, damit die Spamweiterleitung konsistent ist.", "status": "machine-draft" } }, "M365EXO-040": { "name": { "value": "Keine zugelassenen Domänen in der Anti-Spam-Richtlinie (MS.EXO.14.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.3 erfordert, dass keine zugelassenen Domänen zu Richtlinien für eingehenden Spam hinzugefügt werden. Das Zulassen einer ganzen Domäne lässt jeden Absender dieser Domäne die Spamschutzmechanismen umgehen, und gängige Domänen können gefälscht werden, um die Ausnahme zu missbrauchen. Zugelassene einzelne Absender sind akzeptabel, aber domänenweite Positiveinträge schaffen eine breite Umgehung.", "status": "machine-draft" }, "recommendedValue": { "value": "AllowedSenderDomains bei allen Anti-Spam-Richtlinien (Filter für gehostete Inhalte) leer", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie jede Anti-Spam-Richtlinie und entfernen Sie alle Einträge aus der Liste der zugelassenen Absenderdomänen. Wo Fehlalarme behoben werden müssen, fügen Sie bestimmte zugelassene Absender statt ganzer Domänen hinzu. Bestätigen Sie, dass keine benutzerdefinierte Anti-Spam-Richtlinie einen zugelassenen Domäneneintrag wieder einführt, insbesondere für gängige Domänen.", "status": "machine-draft" } }, "M365EXO-041": { "name": { "value": "Abgleich mit URL-Blockliste aktiviert (MS.EXO.15.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.1 empfiehlt, dass der URL-Abgleich mit einer Blockliste aktiviert wird. Der URL-Schutz zum Zeitpunkt des Klicks vergleicht Links mit Blocklisten und Listen bekannter schädlicher Websites, sodass Benutzer gestoppt werden, bevor sie gefährliche Ziele erreichen. Ohne ihn bleiben Links, die nach der Zustellung mit Schadcode versehen werden, anklickbar und ungeschützt.", "status": "machine-draft" }, "recommendedValue": { "value": "Richtlinie für sichere Links (oder vergleichbar) für E-Mail mit aktiver URL-Prüfung aktiviert (EnableSafeLinksForEmail = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie eine Richtlinie für sichere Links oder einen vergleichbaren URL-Schutz für E-Mails, damit Links zum Zeitpunkt des Klicks mit Blocklisten und Listen bekannter schädlicher Websites abgeglichen werden. Wenden Sie die Richtlinie auf alle Benutzer an und vermeiden Sie breite URL-Ausnahmen für „Nicht umschreiben“. Sichere Links erfordern einen Defender-für-Office-365-Plan; falls nicht verfügbar, prüfen Sie einen vergleichbaren Linkschutz eines Drittanbieters.", "status": "machine-draft" } }, "M365EXO-042": { "name": { "value": "Direkte Download-Links auf Malware geprüft (MS.EXO.15.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.2 empfiehlt, dass direkte Download-Links auf Malware geprüft werden. Links in E-Mails können direkt auf Malware-Downloads verweisen. Die Echtzeitprüfung der Zieldatei, wenn ein Benutzer einen direkten Download-Link anklickt, blockiert den Download, falls Malware erkannt wird, und verhindert so eine Geräteinfektion.", "status": "machine-draft" }, "recommendedValue": { "value": "Richtlinie für sichere Links (oder vergleichbar) mit aktivierter Echtzeit-URL-/Dateiprüfung (ScanUrls = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die Echtzeitprüfung von URLs und Zielen direkter Downloads in der Richtlinie für sichere Links oder einer vergleichbaren Richtlinie, damit Dateien hinter Links zum Zeitpunkt des Klicks auf Malware geprüft werden. Wenden Sie die Richtlinie auf alle Benutzer an. Überprüfen Sie, dass die Option, erst nach Abschluss der Prüfung zuzustellen, gegebenenfalls konfiguriert ist, um den Schutz zu maximieren.", "status": "machine-draft" } }, "M365EXO-043": { "name": { "value": "Nachverfolgung von Benutzerklicks aktiviert (MS.EXO.15.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.3 empfiehlt, dass die Nachverfolgung von Benutzerklicks aktiviert wird. Die Klicknachverfolgung zeichnet auf, wann Benutzer Links in E-Mails anklicken, und bietet so eine nachträgliche Sichtbarkeit darüber, ob ein schädlicher Link möglicherweise besucht wurde. Dies ist entscheidend für die Eingrenzung von und Reaktion auf Vorfälle mit Phishing-Links.", "status": "machine-draft" }, "recommendedValue": { "value": "Richtlinie für sichere Links (oder vergleichbar) mit aktivierter Klicknachverfolgung (DoNotTrackUserClicks = False)", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie sicher, dass die Nachverfolgung von Benutzerklicks in der Richtlinie für sichere Links oder einer vergleichbaren Richtlinie aktiviert ist, damit Klicks auf Links in E-Mails aufgezeichnet werden (die Option zum Nichtnachverfolgen sollte deaktiviert sein). Wenden Sie die Richtlinie auf alle Benutzer an. Bestätigen Sie, dass die Klicktelemetrie in der entsprechenden Berichtsoberfläche für die Vorfalluntersuchung verfügbar ist.", "status": "machine-draft" } }, "M365EXO-044": { "name": { "value": "Erforderliche Exchange-Online-Warnungen aktiviert (MS.EXO.16.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.16.1 erfordert, dass ein Mindestsatz an Warnungen aktiviert wird, darunter verdächtige E-Mail-Sendemuster, verdächtige Connectoraktivität, verdächtige E-Mail-Weiterleitungsaktivität, verzögerte Nachrichten, Mandant vom Senden nicht bereitgestellter E-Mails eingeschränkt, Mandant vom Senden von E-Mails eingeschränkt sowie ein erkannter Klick auf eine potenziell schädliche URL. Diese Warnungen geben Administratoren Echtzeiteinblick in wahrscheinliche Sicherheitsvorfälle.", "status": "machine-draft" }, "recommendedValue": { "value": "Die sieben erforderlichen Warnungsrichtlinien aktiviert: verdächtige Sendemuster, verdächtige Connectoraktivität, verdächtige Weiterleitung, verzögerte Nachrichten, Mandant vom Senden nicht bereitgestellter E-Mails eingeschränkt, Mandant vom Senden von E-Mails eingeschränkt, Klick auf schädliche URL", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, dass jede der sieben erforderlichen Warnungsrichtlinien aktiviert ist: verdächtige E-Mail-Sendemuster, verdächtige Connectoraktivität, verdächtige E-Mail-Weiterleitungsaktivität, Nachrichten wurden verzögert, Mandant vom Senden nicht bereitgestellter E-Mails eingeschränkt, Mandant vom Senden von E-Mails eingeschränkt und ein erkannter Klick auf eine potenziell schädliche URL. Aktivieren Sie alle, die deaktiviert sind. Wo eine vergleichbare Warnungslösung eines Drittanbieters verwendet wird, bestätigen Sie, dass sie gleichwertige Bedingungen abdeckt.", "status": "machine-draft" } }, "M365EXO-045": { "name": { "value": "Warnungen an überwachtes Ziel geleitet (MS.EXO.16.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.16.2 empfiehlt, dass Warnungen an eine überwachte Adresse gesendet oder in ein SIEM integriert werden. Eine Warnung, die zwar ausgelöst wird, aber an kein überwachtes Ziel zugestellt wird, ist nicht handlungsleitend und lässt verdächtige Ereignisse unbearbeitet, was die Auswirkung von Vorfällen erhöht. Jede erforderliche Warnungsrichtlinie sollte einen überwachten Empfänger benachrichtigen oder ein SIEM speisen.", "status": "machine-draft" }, "recommendedValue": { "value": "Bei jeder aktivierten Warnungsrichtlinie sind Benachrichtigungsempfänger auf ein überwachtes Postfach gesetzt oder die Warnung wird von einem SIEM aufgenommen", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie jede aktivierte Warnungsrichtlinie mit einem oder mehreren Benachrichtigungsempfängern, die auf ein überwachtes Postfach oder eine Verteilerliste verweisen, oder leiten Sie Warnungen in ein SIEM weiter. Bestätigen Sie, dass das Ziel aktiv überwacht wird, damit Warnungen zeitnah bewertet werden. Wo eine Warnungslösung eines Drittanbieters verwendet wird, überprüfen Sie, dass deren Warnungen dasselbe überwachte Ziel oder SIEM erreichen.", "status": "machine-draft" } }, "M365EXO-046": { "name": { "value": "Purview-Audit-(Standard-)Protokollierung aktiviert (MS.EXO.17.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.1 erfordert, dass die Protokollierung von Microsoft Purview Audit (Standard), das einheitliche Überwachungsprotokoll, aktiviert wird. Das einheitliche Überwachungsprotokoll erfasst Benutzer- und Administratoraktivitäten in Microsoft 365 und ist grundlegend für die Reaktion auf Vorfälle und die Bedrohungserkennung. Wenn die Aufnahme in das einheitliche Überwachungsprotokoll deaktiviert ist, werden keine Aktivitätsnachweise gesammelt und Untersuchungen werden erheblich erschwert.", "status": "machine-draft" }, "recommendedValue": { "value": "Aufnahme in das einheitliche Überwachungsprotokoll aktiviert (UnifiedAuditLogIngestionEnabled = True)", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, dass die Aufnahme in das einheitliche Überwachungsprotokoll aktiviert ist (UnifiedAuditLogIngestionEnabled = True), damit Benutzer- und Administratoraktivitäten im Microsoft 365 Überwachungsprotokoll erfasst werden. Falls deaktiviert, aktivieren Sie sie über die Konfiguration des Überwachungsprotokolls. Bestätigen Sie nach der Aktivierung, dass die Protokollierung aktiv ist, indem Sie nach aktuellen Ereignissen abfragen.", "status": "machine-draft" } }, "M365EXO-047": { "name": { "value": "Purview-Audit-(Premium-)Protokollierung aktiviert (MS.EXO.17.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.2 erfordert, dass die Protokollierung von Microsoft Purview Audit (Premium) aktiviert wird. Die Premium-Überwachung fügt hochwertige Ereignistypen (etwa MailItemsAccessed) und eine längere Standardaufbewahrung hinzu, die Standard nicht enthält, und verbessert die Sichtbarkeit während einer Untersuchung erheblich. Die Premium-Überwachung erfordert eine E5/G5-Lizenzierung oder ein gleichwertiges Add-on.", "status": "machine-draft" }, "recommendedValue": { "value": "Premium-Überwachungsereignistypen (z. B. MailItemsAccessed) und Überwachungsaufbewahrungsfunktionen aktiviert, vorbehaltlich einer E5/G5- oder Add-on-Lizenzierung", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie die Funktionen von Microsoft Purview Audit (Premium), damit zusätzliche Ereignistypen wie MailItemsAccessed erfasst werden. Bestätigen Sie, dass der Mandant die erforderliche E5/G5-Lizenzierung oder das Compliance-Add-on besitzt; wo nicht lizenziert, kann diese Kontrolle nicht erfüllt werden und sollte als Nicht bewertet statt als bestanden geführt werden. Überprüfen Sie nach der Aktivierung, dass hochwertige Überwachungsereignisse aufgezeichnet werden.", "status": "machine-draft" } }, "M365EXO-048": { "name": { "value": "Aufbewahrung des Überwachungsprotokolls erfüllt Mindestwert (MS.EXO.17.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.3 erfordert, dass Überwachungsprotokolle mindestens für die von OMB M-21-31 (Anhang C) vorgeschriebene Mindestdauer aufbewahrt werden, die mindestens zwölf Monate im aktiven Speicher vorsieht. Die Standardaufbewahrung kann kürzer als erforderlich sein, und Protokolle, die bei Bedarf nicht verfügbar sind, verhindern die Untersuchung älterer Vorfälle. Eine explizite Aufbewahrungsrichtlinie für Überwachungsprotokolle erzwingt die erforderliche Dauer.", "status": "machine-draft" }, "recommendedValue": { "value": "Eine Aufbewahrungsrichtlinie für Überwachungsprotokolle, die einheitliche Überwachungsprotokolle mindestens 12 Monate im aktiven Speicher aufbewahrt (gemäß OMB M-21-31 Anhang C)", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie eine Aufbewahrungsrichtlinie für Überwachungsprotokolle, die einheitliche Überwachungsprotokolle wie von OMB M-21-31 Anhang C gefordert mindestens zwölf Monate im aktiven Speicher aufbewahrt, mit zusätzlicher Aufbewahrung im Kaltspeicher, sofern zutreffend. Bestätigen Sie, dass die Mandantenlizenzierung eine benutzerdefinierte Überwachungsaufbewahrung unterstützt (E5/G5 oder Add-on); wo nicht lizenziert, führen Sie dies als Nicht bewertet statt als bestanden. Überprüfen Sie, dass der Geltungsbereich der Richtlinie die relevanten Exchange- und einheitlichen Überwachungsprotokoll-Datensatztypen abdeckt.", "status": "machine-draft" } }, "M365EXO-049": { "name": { "value": "Ausführbare Anhangsdateitypen blockiert (MS.EXO.9.5)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.5 erfordert, dass Click-to-Run-ausführbare Dateitypen (etwa .exe, .cmd und .vbe) am Mailgateway blockiert werden. Microsoft Defender für Office 365 setzt dies über den Filter für gängige Anhänge in der Anti-Malware-Richtlinie durch, der Nachrichten mit den aufgelisteten Dateitypen unabhängig von der Inhaltsprüfung direkt abweist. Ausführbare Anhänge sind ein primärer Vektor zur Malware-Zustellung; das Blockieren der risikoreichen Typen nach Erweiterung stoppt die häufigsten Payloads, bevor eine Detonation erforderlich ist. Diese Prüfung inspiziert jede Anti-Malware-Richtlinie und bestätigt, dass der Filter für gängige Anhänge aktiviert ist und mindestens .exe, .cmd und .vbe abdeckt.", "status": "machine-draft" }, "recommendedValue": { "value": "Filter für gängige Anhänge bei allen Anti-Malware-Richtlinien aktiviert, mindestens .exe, .cmd und .vbe blockierend", "status": "machine-draft" }, "remediationSteps": { "value": "Aktivieren Sie im Microsoft Defender Portal unter E-Mail & Zusammenarbeit > Richtlinien & Regeln > Bedrohungsrichtlinien > Anti-Malware den Filter für gängige Anhänge bei jeder Richtlinie und stellen Sie sicher, dass die Liste der blockierten Dateitypen die Click-to-Run-ausführbaren Dateien (.exe, .cmd, .vbe und verwandte Typen) enthält. Bevorzugen Sie die voreingestellten Sicherheitsrichtlinien Standard oder Strikt, die dies standardmäßig aktivieren. Bestätigen Sie, dass die Richtlinie auf alle Empfänger angewendet wird.", "status": "machine-draft" } }, "M365EXO-050": { "name": { "value": "DLP schränkt Weitergabe von SSN, ITIN und Kreditkartennummern ein (MS.EXO.8.4)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.4 erfordert, dass die Lösung zur Verhinderung von Datenverlust mindestens die Weitergabe von Kreditkartennummern, US-amerikanischen Individual Taxpayer Identification Numbers (ITIN) und US-amerikanischen Sozialversicherungsnummern (SSN) per E-Mail einschränkt. Diese Prüfung inspiziert die aus dem Mandanten gesammelten DLP-Compliance-Regeln und bestätigt, dass mindestens eine aktivierte Regel jeden dieser drei Typen sensibler Informationen referenziert. Sie liest DLP-Regeln (nicht nur Richtlinien); da Get-DlpComplianceRule eine nicht konfigurierte DLP-Lösung nicht von einer unterscheiden kann, die nicht gelesen werden konnte, wird ein fehlender oder leerer Regelsatz als Nicht bewertet gemeldet statt als Fehlschlag oder als bestanden. Ein FAIL wird nur zurückgegeben, wenn Regeln vorhanden sind, aber nachweislich keinen der drei erforderlichen Typen abdecken.", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens je eine aktivierte DLP-Regel für die Typen sensibler Informationen US-SSN, US-ITIN und Kreditkartennummer, abgegrenzt auf Exchange-E-Mail", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen oder erweitern Sie im Microsoft Purview Compliance-Portal unter Verhinderung von Datenverlust > Richtlinien eine auf den Speicherort Exchange-E-Mail abgegrenzte Richtlinie mit Regeln, die die Typen sensibler Informationen Kreditkartennummer, US-amerikanische Sozialversicherungsnummer (SSN) und US-amerikanische Individual Taxpayer Identification Number (ITIN) erkennen, und legen Sie als Aktion das Blockieren oder Einschränken der externen Weitergabe fest. Aktivieren Sie die Richtlinie (nicht im Testmodus), damit die Regeln durchgesetzt werden.", "status": "machine-draft" } } } |