Microsoft Defender for Office 365 – Best Practices im Detail
Microsoft Defender for Office 365 ist ein zentraler Teil der Microsoft-Sicherheitssuite, und es gibt viele Stellschrauben. Wie behält man da den Überblick?
In diesem Beitrag geht es um die Best Practices für Microsoft Defender for Office 365, also um die Konfiguration von «Microsoft Defender for Office 365» und «Exchange Online Protection (EOP)».
«Microsoft Defender for Office 365» vereint nützliche Funktionen:
- Exchange Online Protection (EOP)
EOP ist der cloudbasierte Filterdienst, der Ihre Organisation vor Spam, Malware und anderen E-Mail-Bedrohungen schützt. Man kann ihn heute als Kern von «Microsoft Defender for Office 365» bezeichnen, denn EOP ist in allen Microsoft-365-Organisationen mit Exchange-Online-Postfächern enthalten. - Microsoft Defender for Office 365
Defender for Office 365 bietet erweiterte Funktionen für die E-Mail-Sicherheit und ist in zwei Plänen erhältlich. Plan 1 ist im beliebten Abonnement «Microsoft 365 Business Premium» standardmässig enthalten. Alle Funktionen, die wir in diesem Beitrag beschreiben, sind in Plan 1 enthalten.
Bevor eine E-Mail in Ihrem Posteingang landet, wird sie von EOP auf Herz und Nieren geprüft. Die Grafik zeigt einen umfassenden Überblick über die Stationen, die eine E-Mail durchläuft, bis sie in Ihrem Posteingang ankommt. Weiter unten schauen wir uns jede Station genauer an.
Inhalt – Microsoft Defender for Office 365 Best Practices
Wir behandeln folgende Themen:
- Best-Practice-Konfiguration (ORCA)
Mit dem Tool von Microsoft prüfen Sie im Handumdrehen alle relevanten Einstellungen, die die E-Mail-Sicherheit betreffen. - Edge Blocking (EOP)
Verbindungsfilterung: Wer hat die E-Mail gesendet? IP-Whitelist, IP-Blacklist. - Viren- und Malware-Scan (EOP)
Mehrere Engines erkennen Virensignaturen und Malware. - Richtliniendurchsetzung (EOP)
E-Mails werden anhand der definierten Transportregeln weitergeleitet. - Safe Attachments, Safe Links (Microsoft Defender for Office 365)
Prüft Anlagen und Links in Ihren Microsoft-365-Diensten. - Antiphishing (Microsoft Defender for Office 365)
Machine Learning, Spoof-Intelligence (SPF, DKIM, DMARC). - Spamfilter (EOP)
Anhand von Regeln werden für E-Mails ein Spam Confidence Level (SCL) und ein Bulk Complaint Level (BCL) berechnet. - ZAP (Microsoft Defender for Office 365)
Laufende Prüfung des Postfachs auf Spam und Malware.
Best-Practice-Konfiguration für Microsoft Defender for Office 365
Bevor wir uns die einzelnen Komponenten ansehen, möchten wir Sie auf die Microsoft-Seite mit den Best Practices hinweisen:
Recommended settings for EOP and Microsoft Defender for Office 365 security
Mit den folgenden PowerShell-Befehlen installieren und starten Sie das Tool ORCA («Office 365 Advanced Threat Protection Recommended Configuration Analyzer») aus der PowerShell Gallery. Es ist ein Audit-Tool bzw. Best Practice Analyzer von Microsoft und macht die Best-Practice-Konfiguration von Microsoft Defender for Office 365 sehr einfach.
Install-Module -Name ORCA
Get-OrcaReport
Das Tool erzeugt eine HTML-Datei und zeigt Ihnen, an welchen Sicherheits-Stellschrauben Sie drehen sollten. Hier ein Beispiel der Ausgabe für einen neu erstellten Office-365-Tenant. Die vorgeschlagenen Änderungen setzen wir nun um, um einen besseren Wert zu erreichen.
Wir haben alle Punkte im Report abgearbeitet und am Ende einen Wert von fast 100 erreicht.
Edge Blocking
Mit der Verbindungsfilterrichtlinie (Verbindungsfilter) definieren Sie ganz einfach eine IP-Whitelist oder -Blacklist von Absendern. Das geht entweder direkt im Webportal (security.microsoft.com) oder per PowerShell. Die Befehle finden Sie in der Anleitung auf dieser Seite.
Viren- und Malware-Scan
EOP verwendet mindestens drei Antimalware-Engines, um optimal vor bekannten und unbekannten E-Mail-Bedrohungen zu schützen. Die Engines scannen den Text der E-Mail sowie alle Anlagen. Enthält eine E-Mail Signaturen (Code-Teile) bekannter Viren, wird sie blockiert. Im Hintergrund prüft EOP alle 15 Minuten auf neue Virensignaturen und aktualisiert seine Engines. Bricht ein Virus weltweit aus, aktualisieren die Spezialisten die Engines zusätzlich manuell, damit alle Microsoft-Kunden davon profitieren.
Wie die Engines genau arbeiten, ist natürlich Microsofts Betriebsgeheimnis und nicht öffentlich dokumentiert.
Links
- Microsoft – Antischadsoftwareschutz in EOP
- Konfiguration – Antischadsoftwarerichtlinien im Microsoft Defender-Portal
Richtliniendurchsetzung
Die Nachrichtenflussregeln von EOP greifen früh im Mailfluss. So können Sie zum Beispiel die Spamfilterung umgehen oder eine ausgehende E-Mail stoppen, wenn im Inhalt vertrauliche Informationen (z. B. Kontonummern) erkannt werden. Die Nachrichtenflussregeln legen Sie im Exchange Admin Center fest.
Links
- Microsoft – Nachrichtenflussregeln (Transportregeln) in Exchange Online
- Konfiguration – Nachrichtenflussregeln im Exchange Admin Center
Safe Attachments, Safe Links
Wenn Sie eine Safe-Attachments-Richtlinie (im deutschen Portal «Sichere Anlagen») konfigurieren, werden Anlagen in E-Mails, die bereits vom Antimalware-Schutz (EOP) gescannt wurden, durch einen Link ersetzt. Klicken bzw. öffnen Sie die Anlage, wird sie vorher im Hintergrund in einer Sandbox ausgeführt («detoniert»), um zu prüfen, ob sie sicher ist.
Aktivieren Sie die Safe-Links-Richtlinie (im deutschen Portal «Sichere Links»), werden URLs in E-Mails umgeschrieben, z. B. auf «https://eur03.safelinks.protection.outlook.com/?url=» (die Benutzerin sieht weiterhin die ursprüngliche URL). So kann Microsoft die Zielseite beim Klick mit seinem Scan-Dienst prüfen.
Ob die Richtlinie korrekt funktioniert, testen Sie, indem Sie sich selbst eine E-Mail mit folgendem Link schicken: http://www.spamlink.contoso.com
Links
- Microsoft – Safe Links in Microsoft Defender for Office 365
- Microsoft – Safe Attachments in Microsoft Defender for Office 365
- Konfiguration – Safe Links im Microsoft Defender-Portal
Antiphishing
Antiphishing nutzt künstliche Intelligenz (Postfachintelligenz), um anhand der Nachrichten in Ihrem Postfach zu erkennen, wer sich als Sie ausgibt. Ein Beispiel aus der Microsoft-Dokumentation:
Gabriela Laureano (glaureano@contoso.com) ist zum Beispiel die CEO Ihres Unternehmens, deshalb fügen Sie sie in den Einstellungen Benutzer zum Schutz aktivieren der Richtlinie als geschützte Absenderin hinzu. Einige der Empfänger, für die die Richtlinie gilt, kommunizieren jedoch regelmässig mit einer Lieferantin, die ebenfalls Gabriela Laureano heisst (glaureano@fabrikam.com). Weil diese Empfänger eine Kommunikationshistorie mit glaureano@fabrikam.com haben, stuft die Postfachintelligenz Nachrichten von glaureano@fabrikam.com für diese Empfänger nicht als Identitätswechselversuch von glaureano@contoso.com ein.Beispiel: Postfachintelligenz beim Antiphishing
Zum Antiphishing gehört natürlich auch der Schutz vor Spoofing («Spoof Intelligence: On»). Bei gespooften E-Mails gibt sich ein Angreifer als jemand anderes aus, um Sie zur Preisgabe vertraulicher Informationen zu verleiten. Der Spoofing-Schutz beruht auf der Prüfung der SPF-, DKIM- und DMARC-Einträge des Absenders. Ein Thema für einen eigenen Beitrag. Übrigens: Wie Sie diese Einträge in Ihrer eigenen Umgebung korrekt setzen, zeigt Ihnen das bereits erwähnte ORCA-Tool.
Links
- Microsoft – Spoofintelligenz in EOP
- Konfiguration – Antiphishingrichtlinien im Microsoft Defender-Portal
Spamfilter
Die E-Mails werden anhand verschiedener Eigenschaften und Regeln untersucht und erhalten eine SCL-Bewertung (Spam Confidence Level). Die SCL-Bewertung kann zum Beispiel steigen, wenn eine E-Mail bestimmte «Spam-Triggerwörter» wie «Jetzt bestellen» oder «Gratis Geld» enthält.
Welche Regeln Microsoft genau verwendet, ist natürlich nicht öffentlich dokumentiert. Kommt Ihre E-Mail aber im Postfach an, sehen Sie das berechnete Spam Confidence Level im E-Mail-Header (z. B. «X-MS-Exchange-Organization-SCL: 1»). Ab einem Spam Confidence Level von 5 stuft EOP die E-Mail als Spam ein.
Das Bulk Complaint Level (BCL) legen Sie in der Antispamrichtlinie selbst fest. Je mehr Beschwerden («Bulk Complaints») es zu einem Absender gibt, desto wahrscheinlicher handelt es sich um einen Massen- bzw. Spam-Absender. Erhöhen Sie in der Antispamrichtlinie den Wert «Schwellenwert für Massen-E-Mails» (Bulk email threshold), erhöhen Sie also die Toleranz für das BCL. Microsoft empfiehlt einen Wert von 6.
Links
ZAP (Zero-Hour Auto Purge)
Zero-Hour Auto Purge (ZAP) prüft E-Mails, die bereits in Ihr Postfach zugestellt wurden. Es kann sein, dass das Postfach E-Mails enthält, die vorher nicht als Spam oder Malware erkannt wurden, nach neueren Erkennungsregeln aber als Malware gelten. ZAP ist standardmässig aktiv. Als Spam-Aktion sollten Sie im Microsoft Defender-Portal «Nachricht in Junk-E-Mail-Ordner verschieben» einstellen (Standardeinstellung).
Links
PowerShell
Zum Schluss noch einige nützliche PowerShell-Befehle, mit denen Sie die Richtlinien von Microsoft Defender for Office 365 einfach anzeigen bzw. prüfen.
# Verbindungsfilterrichtlinie / Connection Filter
Get-HostedConnectionFilterPolicy
# Antispam Richtlinie
Get-HostedContentFilterPolicy
Get-HostedContentFilterRule
Get-HostedOutboundSpamFilterPolicy
# Anti Phishing
Get-AntiphishPolicy
Get-AntiPhishRule
# Anti Malware
Get-MalwareFilterPolicy
Get-MalwareFilterRule
# Transport Rules
Get-TransportRule
# Safe Links / Safe Attachments
Get-AtpPolicyForO365
Get-SafeAttachmentPolicy
Get-SafeAttachmentRule
Get-SafeLinksPolicy
Get-SafeLinksRule
# DKIM Configuration
Get-DkimSigningConfig
Fazit – Microsoft Defender for Office 365 Best Practices
Wie Sie gesehen haben, gibt es rund um EOP und Microsoft Defender for Office 365 viele Einstellungen. Das Werkzeug ORCA ist eine grosse Hilfe, um Microsoft Defender for Office 365 nach Best Practice zu konfigurieren.
War dieser Artikel hilfreich für Sie? Helfen Sie uns, besser zu werden: