Microsoft 365 -valvonta käytännössä: mitä kannattaa seurata?
Microsoft 365 on monessa organisaatiossa kriittinen osa IT-ympäristöä. Samalla se on myös yksi yleisimmistä hyökkäyspinnoista. Jos hyökkääjä saa käyttäjätilin haltuunsa, hän voi päästä käsiksi useisiin organisaation palveluihin ja tietoihin.
Suurin osa Microsoft 365 -tapahtumista jättää jäljen lokiin. Haaste on kuitenkin se, että lokit ovat helposti pirstaleisia, signaaleja tulee paljon ja olennaisen erottaminen vie aikaa.
Usein ensimmäiset merkit tietoturvaloukkauksesta näkyvät identiteeteissä ja viestinnässä: poikkeavissa kirjautumisissa, oikeusmuutoksissa tai esimerkiksi sähköpostin edelleenlähetys- ja jakosäännöissä, joilla toimintaa ohjataan huomaamatta väärään paikkaan. Myös tiedostopalveluissa poikkeava jakaminen, massalataukset tai massapoistot voivat olla merkkejä tilin kaappauksesta tai tietovuotoriskistä.
Haluatko selkeämmän näkymän Microsoft 365 -ympäristösi tietoturvaan?
Kaita SOC kokoaa sovitut lokit yhteen, tunnistaa poikkeamat analytiikan avulla ja toimittaa priorisoidut hälytykset sekä selkeät toimenpidesuositukset.
Tutustu Kaita SOC -palveluun ja sovitaan 30 minuutin demo.
Miksi Microsoft 365 -valvontaa tarvitaan erikseen?
Microsoft 365 tarjoaa omia näkymiä ja lokitietoa, mutta jatkuva valvonta ja selkeä tilannekuva jäävät monessa ympäristössä vajaiksi etenkin, jos halutaan yhdistää pilven tapahtumat muuhun IT-ympäristöön ja löytää tapahtumaketjut nopeasti.
Käytännössä ongelmat ovat usein näitä:
- Tapahtumat ovat eri paikoissa: Entra ID, Exchange Online, SharePoint, OneDrive ja Teams tuottavat tapahtumatietoa eri palveluista.
- Olennaisen erottaminen vie aikaa: tapahtumia syntyy paljon, mutta vain osa niistä vaatii tarkempaa selvitystä.
- Tapahtumaketjut jäävät helposti huomaamatta: yksittäinen tapahtuma ei vielä välttämättä kerro, mitä oikeasti tapahtui.
Kaita SOCin Microsoft 365 -valvonta rakentuu siihen, että Microsoft 365- ja Entra ID -tapahtumat tuodaan samaan näkymään muun IT-ympäristön kanssa ja niitä tarkastellaan kokonaisuutena. Tapahtumat kerätään keskitetysti, ja niistä muodostetaan yhtenäinen tilannekuva.
Mitä kannattaa valvoa ensin? 3 tärkeintä kokonaisuutta.
1) Entra ID: kirjautumiset, poikkeamat ja oikeusmuutokset
Identiteetti on usein hyökkäyksen lähtökohta. Entra ID -tapahtumista kannattaa nostaa seurattavaksi ainakin:
- kirjautumisyritykset ja epäonnistumiset
- kirjautumisen lähde (maa/IP-osoite), kirjautumistapa ja asiakasohjelma
- toistuvat epäonnistumiset ja epätyypillinen kirjautumiskäyttäytyminen
- MFA:han liittyvät epäonnistumiset ja poikkeamat
- ryhmäjäsenyys- ja roolimuutokset
- suojauskäytäntöjen sekä käyttäjien käyttöoikeuksien muutokset.
Erityisesti ylläpitäjäoikeuksien muutokset ja poikkeavat kirjautumiset ovat tapahtumia, joiden merkitystä kannattaa arvioida nopeasti.
2) Sähköpostin tietoturva (Exchange Online)
Sähköposti on yleinen tietojen väärinkäytön kanava. Huomiota kannattaa kiinnittää esimerkiksi:
- epäilyttävät postilaatikkosäännöt (kuten automaattinen edelleenlähetys ja luvattomat muutokset)
- poikkeava postilaatikon käyttö
- sähköpostiliikenteen tapahtumat ja poikkeamat
- postilaatikon käyttöoikeus- ja asetusmuutokset
- epäilyttävät ylläpitotoimet.
Esimerkiksi ulkopuoliseen osoitteeseen luotu automaattinen edelleenlähetyssääntö voi olla merkki siitä, että käyttäjätiliä käytetään tietojen keräämiseen.
3) SharePoint, OneDrive ja Teams: jakaminen ja yhteistyö
Tiedosto- ja yhteistyöpalveluissa kannattaa seurata erityisesti:
- jakolinkkien luontia ja käyttöä sekä jakamisen muutoksia
- käyttöoikeusmuutoksia ja hallintatason muutoksia
- poikkeavia tiedostosiirtomääriä, massalatauksia ja massapoistoja
- Teamsin keskeisiä hallintatoimia ja jäsenyysmuutoksia
- tiedostojen käsittelyyn ja jakamiseen liittyviä epäilyttäviä tapahtumia.
Miten Kaita SOC tukee Microsoft 365 -valvontaa?
Kun Microsoft 365- ja Entra ID -tapahtumat tuodaan samaan näkymään muun IT-ympäristön kanssa, yksittäisistä tapahtumista voidaan muodostaa tapahtumaketjuja: mitä tapahtui ensin, mitä sen jälkeen ja mihin asti tilanne eteni.
Esimerkiksi poikkeava kirjautuminen ja sen jälkeen luotu sähköpostin edelleenlähetyssääntö voivat yhdessä viitata käyttäjätilin väärinkäyttöön. Tapahtumien yhdistäminen auttaa arvioimaan tilannetta ja määrittelemään tarvittavat jatkotoimet.
Microsoft 365:ssä on paljon lokitietoa, mutta lokien oletussäilytys ja käytettävyys vaihtelevat palvelun ja lisenssitason mukaan. Esimerkiksi Microsoft Entra ID:n kirjautumis- ja auditointilokien oletussäilytys on 7 tai 30 päivää. Microsoft Purview Audit (Standard) säilyttää auditointitapahtumia oletusarvoisesti 180 päivää. Pidempi lokihistoria voi olla tarpeen esimerkiksi tietoturvapoikkeamien jälkiselvityksissä ja auditoinneissa.
Kaita SOC:ssa sovitut lokit voidaan kerätä ja säilyttää Suomessa sovitun mallin mukaisesti pidempään, esimerkiksi 12 kuukautta. Käytössä on raportointia ja hälytyksiä, joiden avulla tapahtumia voidaan tarkastella myös toisiinsa liittyvinä kokonaisuuksina helpottaen poikkeamien selvittämistä ja jäljitettävyyttä.
SIEM-analytiikkaa täydentävä käyttäytymisanalytiikka (UEBA) voi auttaa tunnistamaan myös tilanteita, joissa käyttäjän tai järjestelmän toiminta poikkeaa tavanomaisesta. Näin valvonta ei perustu pelkästään yksittäisiin, ennalta määriteltyihin hälytyssääntöihin.
Kaita SOC:n keskeinen hyöty on siinä, että asiakas saa olennaisista havainnoista selkeän arvion, priorisoidut hälytykset ja suositukset jatkotoimiksi. Lokitietojen keruu ja automaattinen analysointi toimivat ympäri vuorokauden. Asiantuntijat arvioivat havaintoja sovittuna palveluaikana ja noudattavat asiakkaan kanssa määriteltyä toimintamallia.
Kaita SOC:n palvelumalli tarjoaa:
- Näkyvyyden sovittuihin Entra ID:n, Exchange Onlinen, SharePointin, OneDriven ja Teamsin tapahtumiin.
- Hälytykset ja poikkeamat priorisoituna sekä toimitettuna sovitulla toimintamallilla ja selkeillä toimenpidesuosituksilla.
- Mahdollisuuden tarkastella toisiinsa liittyviä tapahtumia kokonaisuutena.
- Lokien säilytyksen Suomessa sovitun säilytysajan mukaisesti.
- Ennakoitavat kustannukset, jotka perustuvat valvottaviin lokilähteisiin ja sovittuun palvelulaajuuteen.
Valvonnan voi aloittaa myös kevyellä Light SOC -mallilla ja laajentaa myöhemmin tarpeen mukaan.
Jos Microsoft 365 ja Entra ID ovat organisaatiossanne kriittisiä, mutta tapahtumia ei seurata riittävällä tasolla, kannattaa aloittaa pienesti ja rakentaa valvonta kasvamaan tarpeen mukaan.
Sovitaanko 30 minuutin demo?
Käydään läpi, millaisia hälytyksiä ja raportteja Kaita SOC voi tuottaa Microsoft 365 -ympäristöstänne ja miten ne tukevat tietoturvatapahtumien valvontaa.
Saat samalla suosituksen sopivasta valvonnan laajuudesta sekä selkeät seuraavat askeleet omassa ympäristössäsi.