Microsoft 365 -valvonta käytännössä: mitä kannattaa seurata ja miten aloittaa kevyesti

Microsoft 365 on monessa organisaatiossa kriittinen osa: sähköposti, tiedostot, Teams ja ennen kaikkea käyttäjätunnukset. Samalla se on myös yksi yleisimmistä hyökkäyspinnoista. Jos hyökkääjä saa tilin haltuun, hän saa usein avaimet moneen paikkaan.

Suurin osa M365-tapahtumista jättää jäljen lokiin. Toisaalta haaste on se, että lokit ovat helposti pirstaleisia, signaaleja tulee paljon ja olennaisen erottaminen vie aikaa.

Usein ensimmäiset merkit tietoturvaloukkauksesta näkyvät identiteeteissä ja viestinnässä. Poikkeavissa kirjautumisissa, oikeusmuutoksissa tai esimerkiksi sähköposti- ja jakosäännöissä, joilla toimintaa ohjataan huomaamatta väärään paikkaan. Myös tiedostopalveluissa poikkeava jakaminen, massalataukset tai massapoistot voivat olla merkkejä tilin kaappauksesta tai tietovuotoriskistä.

Miksi Microsoft 365 -valvontaa tarvitaan erikseen?

Microsoft 365 tarjoaa omia näkymiä ja lokitietoa, mutta jatkuva valvonta ja selkeä tilannekuva jäävät monessa ympäristössä vajaaksi etenkin jos halutaan yhdistää pilven tapahtumat muuhun IT-ympäristöön ja löytää tapahtumaketjut nopeasti.

Käytännössä ongelmat ovat usein näitä:

• Signaalit ovat eri paikoissa (Entra ID, Exchange, SharePoint/OneDrive, Teams)
• Olennaisen seulonta vie aikaa (paljon normaalia ja vähän poikkeavaa)
• Jäljitettävyys vaatii ketjujen rakentamista: yksittäinen tapahtuma ei vielä kerro, mitä oikeasti tapahtui.

Light SOC:n Microsoft-valvonta rakentuu siihen, että Microsoft 365- ja Entra ID -tapahtumat tuodaan samaan näkymään muun IT-ympäristön kanssa ja niitä tarkastellaan kokonaisuutena. Tapahtumat kerätään keskitetysti ja niistä muodostetaan yhtenäinen näkymä.

Mitä kannattaa valvoa ensin? 3 tärkeintä tapahtumaluokkaa

1) Entra ID: kirjautumiset, poikkeamat ja oikeusmuutokset

Entra ID -tapahtumista kannattaa nostaa seurattavaksi ainakin:

• kirjautumisyritykset ja epäonnistumiset
• kirjautumisen lähde (maa/IP), kirjautumistapa ja asiakasohjelma
• toistuvat epäonnistumiset ja epätyypillinen kirjautumiskäyttäytyminen
• MFA:han liittyvät epäonnistumiset ja poikkeamat
• ryhmäjäsenyys- ja roolimuutokset.

2) Sähköposti (Exchange Online)

Sähköpostissa riskit näkyvät usein nopeasti esimerkiksi:

• epäilyttävät postilaatikkosäännöt (automaattinen edelleenlähetys) ja luvattomat muutokset
• poikkeava käyttö ja kirjautumiset postilaatikkoon
• mailflow-tapahtumat ja poikkeamat
• oikeus- ja asetustason muutokset.

3) SharePoint / OneDrive / Teams: jakaminen, oikeudet ja massatoiminnot

Tiedosto- ja yhteistyöpalveluissa kannattaa hälyttää erityisesti:

• jakolinkkien luonti ja käyttö, jaon muutokset
• käyttöoikeusmuutokset ja hallintatason muutokset
• poikkeavat tiedostosiirtomäärät, massalataukset ja massapoistot
• Teamsin keskeiset hallintatoimet ja jäsenyysmuutokset

Miten Light SOC tukee Microsoft 365 -valvontaa?

Kun M365- ja Entra ID -tapahtumat tuodaan samaan näkymään muun IT-ympäristön kanssa, yksittäiset tapahtumat muuttuvat ketjuiksi: mitä tapahtui ensin, mitä sen jälkeen ja mihin asti se eteni.

Microsoft 365:ssä on paljon lokitietoa, mutta lokien oletussäilytys ja käytettävyys voivat olla lisenssitasosta riippuen rajatumpia. Esimerkiksi Entra ID -lokien oletussäilytys voi olla lyhyt (7–30 päivää), mikä vaikeuttaa jälkiselvityksiä. Lisäksi raportointi ja hälytyslogiikka jää helposti pirstaleiseksi.

Light SOC:ssa lokit voidaan säilyttää sovitun mallin mukaan pidempään (esim. 12 kuukautta), ja käytössä on valmiita raporttipohjia sekä hälytyksiä, jotka yhdistävät tapahtumia toisiinsa tapahtumaketjuksi. Tämä tekee poikkeamien havaitsemisesta ja jäljitettävyydestä luotettavampaa ja helpottaa myös auditointitilanteita

Lisäksi Light SOC:n keskeinen hyöty on käytännönläheisyys: hälytykset priorisoidaan ja toimitetaan sovitusti ja poikkeamiin liitetään selkeät toimenpide-ehdotukset.

Light SOC:n palvelumalli tarjoaa:

• Näkyvyyden Entra ID:n ja Microsoft 365 tapahtumiin
• Hälytykset ja poikkeamat priorisoituna ja toimitettuna sovitulla toimintamallilla, selkeillä toimenpidesuosituksilla
• Mahdollisuuden nähdä tapahtumat ketjuna.
• Lokien säilytys Suomessa.
• Ennakoitavat kustannukset: laitepohjainen lisensointi ja kiinteä kuukausihinta, joka ei perustu lokimäärään.

Jos Microsoft 365 ja Entra ID ovat teillä kriittisiä, mutta tapahtumia ei seurata riittävällä tasolla, kannattaa aloittaa pienesti ja rakentaa valvonta kasvamaan tarpeen mukaan

Sovitaanko 30 minuutin demo?

Käydään läpi, millaisia hälytyksiä ja raportteja Light SOC tuottaa, ja miten ne tukevat tietoturvatapahtumien valvontaa. Saat samalla suosituksen sopivasta laajuudesta sekä selkeät seuraavat askeleet omassa ympäristössäsi.