Darum geht es
Die Einstellung in Exchange Online legt fest, ob das Microsoft-365-Überwachungsprotokoll überhaupt Ereignisse aufnimmt, etwa Postfachzugriffe, Dateiaktionen und Änderungen durch Administratoren. Zusammen mit der Postfachüberwachung bildet sie die Grundlage, um Sicherheitsvorfälle nachvollziehen zu können.
Was passieren kann
Ohne aktive Aufzeichnung fehlen bei einem Vorfall die Nachweise darüber, wer auf E-Mails und Dateien zugegriffen hat. Ermittlung, Schadensbewertung und Meldung an Behörden werden dadurch kaum möglich.
Schritt für Schritt
Verbinden Sie sich mit Exchange Online PowerShell (Connect-ExchangeOnline).
Prüfen Sie Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled; der Wert muss True sein. Führen Sie den Befehl in Exchange Online PowerShell aus; in Security & Compliance PowerShell zeigt er immer False.
Prüfen Sie zusätzlich Get-OrganizationConfig | Format-List AuditDisabled; der Wert muss False sein. Andernfalls: Set-OrganizationConfig -AuditDisabled $false.
Ist er False, aktivieren Sie die Aufzeichnung im Microsoft Purview Portal unter Lösungen > Überwachung („Aufzeichnung starten“).
Führen Sie nach 24 Stunden im Purview-Portal eine Überwachungssuche aus und prüfen Sie, ob Exchange-Ereignisse erscheinen.
Hier finden Sie die Einstellung
- Exchange Online PowerShell (Connect-ExchangeOnline)
oder
- ergänzend Microsoft Purview Portal (purview.microsoft.com)
- Lösungen
- Überwachung
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Exchange Online schreibt Ereignisse in das Microsoft-365-Überwachungsprotokoll
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Get-OrganizationConfig | fl AuditDisabled (erwartet False); Get-AdminAuditLogConfig | fl UnifiedAuditLogIngestionEnabled (erwartet True).
Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.13.1v1: Postfachüberwachung aktivierenMS.SECURITYSUITE.5.1v1: Einheitliche Überwachungsprotokollierung aktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.5.A3: Konfiguration der Protokollierung auf System- und Netzebene
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.