Microsoft Expanded Cloud Logs So vermeiden Sie blinde Flecken in Microsofts Cloud-Diensten

Anbieter zum Thema

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Ein massiver Cyberangriff zwingt Microsoft und die CISA zu drastischen Maßnahmen: Neue, erweiterte Cloud-Protokolle, die „Expanded Cloud Logs“ sollen Unternehmen schützen – aber nur, wenn sie richtig genutzt werden. Warum jetzt Logging-Strategien über Erfolg oder Scheitern der IT-Sicherheit entscheiden.

Geschichten, die sich um staatlich gesponserte Hacker-Angriffe ranken, sind nicht zuletzt ein beliebtes Hollywood-Genre. Fiktion allerdings nur bis zu dem Punkt, an dem unseren eigenen privaten Daten oder Unternehmensinformationen im Dark Web oder in den Händen von Hackern landen. Im wirklichen Leben lösen die Aktionen von Gruppen, die sich auf Cyber­spionage spezialisiert haben, eine Kaskade von strengeren Sicherheits­maßnahmen aus. Zunächst betreffen diese Regierungsbehörden und regierungsnahe Institutionen. In der Folge werden die Anforderungen zumeist in Industrienormen gegossen. Anbieter, die ihrerseits an Regierungen und Behörden verkaufen wollen, werden so mit sanftem Nachdruck genötigt, sich an diese Normen zu halten.

So ist der Hack von Storm-0558 passiert, das müssen Sie wissen!

Gestohlener Master-Key von Microsoft

Das kürzlich angekündigte Microsoft Expanded Cloud Logs Implementation Playbook, herausgegeben von der US Cybersecurity and Infrastructure Security Agency (CISA), ist so ein Fall. Begonnen hat alles im Juli 2023. Der chinesischen Cyberspionage-Gruppe Storm-0558 gelang es eine Schwachstelle in Microsofts Outlook-E-Mail-System ausnutzen und sich Zugriff auf E-Mail-Konten von US-Behörden und anderen Organisationen zu verschaffen. Mithilfe eines gestohlenen Microsoft-Sicherheitsschlüssels gelang es den Angreifern Authentifizierungs­token zu fälschen und so die Sicherheitsmaßnahmen zu umgehen. Tatsächlich nutzen die meisten Angriffe BEC (Business Email Compromise) als Einstiegspunkt für ihre Angriffsvektoren. Und warum? Weil es funktioniert.

In der Folge ergänzte Microsoft die kostenlosen Protokollierungsfunktionen für alle Benutzer des Purview Audit Standards, nebst einiger weiterer Änderungen. Angesichts der Tatsache, dass es zukünftig weiterer Sicherheitsmaßnahmen bedürfe, nahm sich die CISA der Sache an. Sie hob insbesondere das transformative Potenzial von Microsofts erweiterten Cloud-Protokollen bei der Bedrohungserkennung hervor und stellte entsprechende Richtlinien in einem Playbook bereit.

Microsoft hätte Cyberattacke verhindern können

US-Behörden kritisieren das Verhalten von Microsoft

Die erweiterten Cloud-Protokolle in Microsoft Purview

Microsoft und die CISA hatten sich im Oktober 2023 zusammengetan und eine Art Leitfaden für Behörden und Unternehmen verfasst. Hierin geht es um die Nutzung der Cloud Logs an sich und wie sich die Quellen für Protokolldaten erweitern lassen. Microsoft Purview Audit hat die Messlatte mit seinen erweiterten Protokollierungsfunktionen höher gelegt. Firmen haben jetzt die Möglichkeit, Tausende von Events in Exchange, SharePoint und Teams zu überwachen. Die aktuellen Protokolle erlauben einen tieferen Einblick in die Aktivitäten von Benutzern und Administratoren. Die Idee stammt ursprünglich von der CISA selbst und wurde insbesondere als Mittel gegen fortschrittliche Intrusion-Techniken empfohlen.

Wenn Unternehmen darauf verzichten, die von Microsoft hinzugefügten Protokolle zu sammeln und zu nutzen, wissen sie nicht was in ihren IT-Systemen vor sich geht oder aufgrund von "blinden Flecken" regelmäßig übersehen wird.

Diese Protokolltypen sind:

• Microsoft Exchange Audit Logs

• Microsoft SharePoint Audit Logs

• Microsoft Teams Audit Logs

• Microsoft Viva Engage Audit Logs

• Microsoft Stream Audit Logs

Herausforderungen bei der Operationalisierung der neuen Protokolldaten

• Das Datenvolumen: Wie bei jeder Art von Protokoll ist auch das Sammeln, Verarbeiten, Normalisieren und Versenden von Cloud-Protokollen nicht ganz ohne Herausforderungen. Gerade wenn es darum geht die Protokolle zu operationalisieren. Ohne eine effektive Lösung laufen Unternehmen leicht Gefahr, von der schieren Menge an Audit Events überflutet zu werden. Das führt unter Umständen zu hohen Speicherkosten. Zudem ist es nicht ganz einfach, relevante Daten zu herauszufiltern, um verwertbare und umsetzbare Erkenntnisse zu gewinnen.

• Anpassung an bestehende SIEMs: Um die Daten zu verarbeiten, anzuzeigen und Warnmeldungen auf der Grundlage der neu verfügbaren protokollierten Ereignisse auszulösen, muss man die SIEM-Konfiguration entsprechend anpassen. Ohne Protokolldaten zu Sicherheitsvorkommnissen, fehlen Vorfallswarnungen in Echtzeit. Gleichzeitig haben Unternehmen keine Möglichkeit, Probleme bis zu deren Ursache zurückzuverfolgen. Man sollte sich immer vergegenwärtigen: SIEMs sind für die Analyse optimiert, aber Analysen sind immer nur so gut wie die bereitgestellten Datenquellen. Wenn man wesentliche Datenquellen nicht mit einbezieht, sind die Analysen mindestens unvollständig, wenn nicht unzuverlässig.

• Filterung relevanter Daten: Das CISA Playbook unter dem Titel „Microsoft Expanded Cloud Logs Implementation Playbook“ beschäftigt sich mit Splunk und dem eigenen SIEM-Angebot Microsoft Sentinel. Hier wird erklärt, wie man diese Protokolle am besten verwendet. Das ist hilfreich für diejenigen, die genau diese beiden Technologien verwenden. Alle anderen müssen selbst nach einer Lösung suchen. Wenn man die bestehenden Konfigurationen und Systeme so anpassen will, dass sie die neu verfügbaren Protokolldaten verarbeiten und nutzen können, ist das alles andere als trivial. Fehlen ein genaues Verständnis der neuen Protokolldaten oder die geeigneten Tools, sind die IT-Ressourcen schnell erschöpft. Und zwar sowohl personell als auch finanziell.

Tenable Research entdeckt kritische Schwachstelle in Microsoft Azure

Dienste in der Microsoft-Cloud sind angreifbar

Herausforderungen bei Microsofts erweiterten Cloud Logs bewältigen

Was also tun, wenn das eigene Unternehmen nicht zum Microsoft Sentinel- und Splunk SIEM-Ökosystem gehört?

Wer Microsoft Sentinel oder Splunk verwendet, kann vermutlich darauf bauen, dass die Protokolle bereits unterstützt werden - die Realität ist jedoch meist komplexer. Dies sind nur zwei von vielen weiteren SIEM-Lösungen. Die meisten Unternehmen sind noch dabei, Wege zu finden, wie sie die zusätzlichen Datenquellen einbringen und einen wirklichen Mehrwert aus ihren Protokolldaten ziehen können.

Wer diese Protokolle effektiv handhaben will, der braucht eine auf seine Anforderungen zugeschnittene Lösung. Es gibt also ganz offensichtlich einen Bedarf, der über die Möglichkeiten der nativen SIEM-Integrationen hinausgeht. Hier kommt eine plattformübergreifende Protokollierungslösung ins Spiel. Firmen sind auf umfangreiche Funktionen angewiesen, um die Datenquellen zu erfassen - von bestehenden Systemen über BEC-Daten bis hin zu Cloud-Anwendungen, die das Sammeln, Filtern und Normalisieren von Protokollen aus Microsoft-Technologien vereinfachen. Ziel ist es, alles aus den jeweiligen Cloud-Protokollen herauszuholen, was möglich ist.

Die Vorteile einer übergreifenden Logging-Plattform in der Praxis

Übergreifende Logging-Plattformen bieten Unternehmen eine Reihe von Vorteilen. Eine fortschrittliche Protokollerfassung und nahtlose Verarbeitung unterstützen Anwender dabei, Ereignisse in Microsoft 365 und darüber hinaus zu korrelieren, unabhängig von ihrer bevorzugten SIEM-Lösung. Dies hilft beispielsweise dabei, einen unbefugten Zugriff auf das E-Mail-System schneller zu erkennen. Gleiches gilt für ungewöhnliche Suchvorgänge oder potenzielle Insider-Bedrohung en. Ein vorausschauender Ansatz schützt aber nicht nur vor Cyberbedrohungen, sondern trägt auch dazu bei, Compliance-Anforderungen besser zu erfüllen. Stellen Sie sich beispielsweise ein mittelständisches Unternehmen vor, das mit einem plötzlichen Anstieg von Phishing-Versuchen konfrontiert ist. Mit einer plattformübergreifenden Logging-Plattform lassen sich Microsoft Purview Audit Logs sammeln und verarbeiten, um ungewöhnliche Zugriffsmuster zu erkennen und einen möglichen Sicherheitsverstoß nahezu in Echtzeit zu melden. So kann man Schäden begrenzen und die Sicherheitslage insgesamt verbessern.

Die CISA räumt ein, dass die Umsetzung der Empfehlungen für kleine und mittelgroße Unternehmen im Moment noch kostspielig sein kann. Trotzdem spricht einiges dafür, dass diese Empfehlungen im Laufe der Zeit zu verbindlichen Anforderungen werden. Man kann davon ausgehen, dass sich immer wieder neue Quellen für Protolldaten erschließen und für die IT-Sicherheit nutzbar machen lassen. Mit einem vorausschauenden Ansatz sind Unternehmen deutlich besser für die Zukunft gewappnet.

Digitale (Un-)Souveränität

Die bittersüße Abhängigkeit von Microsofts Cloud

Fazit

Die aktuellen Richtlinien der CISA in Verbindung mit den erweiterten Protokollierungs­funktionen von Microsoft markieren einen gewichtigen Fortschritt, um die Herausforderungen bei der Cybersicherheit anzugehen.

Die Integration dieser Protokolle in einer plattformübergreifenden Logging-Lösung unterstützt Unternehmen dabei, proaktiv gegen Bedrohungen vorzugehen und gleichzeitig eine strenge Compliance aufrechtzuerhalten sowie Sicherheitslücken zu beseitigen.

Über den Autor: Botond Botyánszki ist Gründer, CEO und CTO von NXLog.

(ID:50383714)