Epäily Microsoft 365 -tilimurrosta: käytännön tarkistuslista IT:lle

Edellytykset ja vaikutukset

Microsoft 365 -ylläpitäjille. Tilin estäminen vaikuttaa käyttäjän työhön: varmista oikea organisaatio ja tili ja sovi toimista poikkeamasta vastaavan kanssa. Käytä turvallista konetta ja yhteyskanavaa, joka ei kulje epäillysti murretun postilaatikon kautta.

1. Rajoita pääsyä

Microsoft suosittelee kyseisen tilin poistamista käytöstä tutkinnan ajaksi ja käyttäjän istuntojen peruuttamista. Vaihda vaarantunut salasana siinä identiteettilähteessä, joka todella hallitsee tiliä. Älä toimita uutta salasanaa murretun sähköpostin kautta. [1]

2. Etsi paluureitit

1. Tarkista rekisteröidyt tunnistautumismenetelmät ja poista tuntemattomat menetelmät tarvittavien tietojen talteenoton jälkeen. [1]
2. Tarkista suostumuksen saaneet sovellukset ja myönnetyt ylläpitoroolit. Peruuta asiaton pääsy dokumentoidun arvion perusteella. [1]
3. Tarkista postilaatikon edelleenlähetys ja Saapuneet-kansion säännöt, myös piilotetut säännöt. Tallenna epäilyttävien sääntöjen tiedot ennen poistamista. [1]

3. Selvitä laajuus

Tutki kirjautumis- ja valvontalokeja epäilyä edeltävästä ajasta alkaen. Selvitä lokien mahdollistamalla tarkkuudella, mitä on todella luettu, muutettu tai lähetetty. Lokien saatavuus ja säilytysaika riippuvat palvelusta ja lisenssistä; lokien puuttuminen ei todista, ettei mitään tapahtunut. [1]

4. Palauta ja varmista

• Hyökkääjän tunnistetut pääsyreitit on suljettu ja käyttäjän henkilöllisyys tarkistettu.
• Tavoiteltu vahva tunnistautuminen toimii uudessa kirjautumisessa.
• Sähköpostisäännöt, edelleenlähetys ja tärkeät tiliasetukset on tarkistettu.
• Pääsy palautetaan vasta vastuuhenkilön arvion perusteella; seuraa sen jälkeen uusia poikkeamia.

Merkinnät tallentuvat vain tähän selaimeen.

Tärkeä rajoitus

Istuntojen peruuttaminen ei tarkoita, että kaikki aiemmin myönnetyt tunnisteet ja sovellusten omat istunnot päättyisivät samalla hetkellä. Noudata kyseisten palvelujen Microsoft-ohjeita ja jatka toiminnan seurantaa. [2]