Überlegungen zur Integration von Nicht-Microsoft-Sicherheitsdiensten in Microsoft 365

Dieser Artikel hilft Ihnen dabei, eine unterstützte Methode zur Integration eines E-Mail-Sicherheitsdiensts eines Drittanbieters in Microsoft 365 zu bewerten und auszuwählen, einschließlich der jeweiligen Abwägungen und Supportaspekte für jede Option.

Microsoft bietet zwar eine umfassende Plattform für E-Mail-Sicherheit, aber wir wissen, dass einige Kunden eine tiefgehende Verteidigungsstrategie für die E-Mail-Sicherheit einführen, indem sie einen nicht von Microsoft stammenden Sicherheitsdienst hinzufügen. Es gibt zwei Überlegungen zum Integrieren von Nicht-Microsoft-Sicherheitsdiensten in Microsoft 365:

• Ob der nicht von Microsoft stammende Dienst die Sicherheitslage Ihrer Organisation verbessert und welche Kompromisse dies mit sich bringt. Zum Beispiel:

  • Mehr Kosten.
  • Mehr Komplexität.
  • Die Rate falsch positiver Ergebnisse (gute Artikel, die als schlecht gekennzeichnet sind) steigt, wenn weitere Produkte hinzugefügt werden.
  • Wie der Nicht-Microsoft-Sicherheitsdienst End-to-End integriert. Zum Beispiel:
    • Der Nicht-Microsoft-Dienst sollte eine Benutzeroberfläche bieten, bei der Benutzer nicht darüber nachdenken müssen, welche Quarantäne verwendet werden soll.
    • Der Nicht-Microsoft-Dienst sollte in vorhandene Prozesse und Tools für Sicherheitsvorgänge (Security Operations, SecOps) integriert werden. Beispiel: Sicherheitsinformations- und Ereignisverwaltung (SIEM), Sicherheitsorchestrierung, Automatisierung und Reaktion (SOAR) usw.

  Hinweis

  E-Mail-Sicherheit ist ein umkämpftes Feld. Mit dem Aufkommen von Massen-Phishing- und Angriffskits entwickeln sich Angriffe rasch weiter und verändern sich ständig. Microsoft Defender for Office 365 ist Teil von Microsoft Defender, unserem mehrschichtigen, Vorverletzungs- und Nachverletzungsansatz für die Cybersicherheit des Unternehmens.

  Unabhängig davon, wie viele Ebenen des E-Mail-Schutzes vorhanden sind, erreicht der Gesamtschutz nie 100 Prozent.

• Wie der Nicht-Microsoft-Dienst E-Mail-Nachrichten überprüft und darauf reagiert. In der Regel schlagen Nicht-Microsoft-Sicherheitsdienste die folgenden drei Integrationsoptionen vor, und nicht alle diese Optionen können derzeit von Microsoft gleichermaßen unterstützt werden.

Integration über DNS-E-Mail-Routing (MX-Eintrag verweist auf den Nicht-Microsoft-Dienst)

Mit der erweiterten Filterung für Connectors können Microsoft 365 die ursprüngliche Quelle von Nachrichten identifizieren, die über einen anderen E-Mail-Dienst geleitet werden, bevor sie Exchange Online erreichen. Die Verwendung der erweiterten Filterung für Connectors mit einem Nicht-Microsoft-Dienst vor Microsoft 365 wird ausführlich in Enhanced Filtering for Connectors in Exchange Online behandelt und von Microsoft vollständig unterstützt. Authenticated Received Chain (ARC) bewahrt E-Mail-Authentifizierungsergebnisse, wenn Nachrichten Zwischendienste durchlaufen. E-Mail-Sicherheitsanbieter, die ARC unterstützen, funktionieren am besten, aber es gibt Einschränkungen. Vermeiden Sie beispielsweise die Verwendung von sicheren Links zum Überprüfen und Umschließen von Links mit einem Nicht-Microsoft-Dienst, der auch Links umschreibt. Eine doppelte Link-Umschließung kann verhindern, dass Safe Links den Linkstatus überprüft, Links auf Bedrohungen untersucht und möglicherweise Einmallinks auslöst. Es wird empfohlen, die Funktion zum Umschließen von Links im Nicht-Microsoft-Dienst zu deaktivieren.

Weitere Hintergrundinformationen zum Weiterleiten von E-Mails über einen Nicht-Microsoft-Clouddienst vor Exchange Online finden Sie unter Verwalten des Nachrichtenflusses mithilfe eines nicht Microsoft Clouddiensts mit Exchange Online.

Integration über die Microsoft Graph-API

Einige Nicht-Microsoft-Dienste authentifizieren und verwenden die Microsoft Graph-API, um Nachrichten zu überprüfen, nachdem sie an Benutzerpostfächer übermittelt wurden. Die Verwendung der Microsoft Graph-API zum Scannen von Nachrichten nach der Zustellung ermöglicht es auch dem Nicht-Microsoft-Dienst, Nachrichten zu entfernen, die er für bösartig oder unerwünscht hält.

Integration über das Routing eingehender und ausgehender E-Mails

In-and-out-E-Mail-Routing ermöglicht es dem MX-Eintrag, auf Microsoft 365 zu verweisen. Der nicht von Microsoft stammende Dienst arbeitet jedoch nach dem Microsoft 365-E-Mail-Schutz und der -Verarbeitung, wie im folgenden Diagramm gezeigt:

Für das In-and-Out-E-Mail-Routing muss die Nachricht die Microsoft 365 Dienstgrenze verlassen. Nachrichten, die vom Nicht-Microsoft-Dienst zurückgegeben werden, werden von Microsoft 365 als völlig neue Nachrichten behandelt. Dieses Verhalten führt zu den folgenden Problemen und Komplexitäten:

• Nachrichten werden in den meisten Berichterstellungstools doppelt gezählt, einschließlich Explorer (Threat Explorer), Advanced Hunting und Automatisierte Untersuchung und Reaktion (AIR). Dieses Verhalten macht es schwierig, das Nachrichtenurteil und die Aktionen ordnungsgemäß zu korrelieren.

• Da nachrichten, die an Microsoft 365 zurückgegeben werden, wahrscheinlich nicht erfolgreich E-Mail-Authentifizierungsprüfungen bestehen, werden die Nachrichten möglicherweise als Spoofing (falsch positive Ergebnisse) identifiziert. Einige Nicht-Microsoft-Dienste empfehlen die Verwendung von Nachrichtenflussregeln (Transportregeln) oder IP-Verbindungsfilterung, um dieses Problem zu beheben, aber dies kann dazu führen, dass falsch negative Ergebnisse übermittelt werden.

• Vor allem funktioniert maschinelles Lernen in Defender für Office 365 nicht so effektiv wie möglich. Machine Learning-Algorithmen basieren auf genauen Daten, um Entscheidungen über Inhalte zu treffen. Inkonsistente oder geänderte Daten können sich negativ auf den Lernprozess auswirken, was zu einer Abnahme der Gesamteffektivität von Defender für Office 365 führt. Dazu gehören:

  • Reputation: Im Laufe der Zeit ermitteln die Machine Learning-Modelle die Elemente, die guten und schlechten Inhalten zugeordnet sind (IP-Adressen, Senden von Domänen, URLs usw.). Wenn Nachrichten vom Nicht-Microsoft-Dienst zurückkommen, bleiben die ursprünglichen IP-Adressen des Absenders nicht erhalten, was die Wirksamkeit der IP-Adressen bei der Ermittlung eines korrekten Urteils verringern kann. Dieses Verhalten kann sich auch auf falsch negative und falsch positive E-Mail-Übermittlungen an Microsoft auswirken, wie in Schritt 3 beschrieben: Falsch negative und falsch positive E-Mail-Übermittlungen.
  • Änderungen an Nachrichteninhalten: Viele E-Mail-Sicherheitsdienste fügen Nachrichtenkopfzeilen hinzu, fügen Haftungsausschlüsse hinzu, ändern Nachrichtentextinhalte und/oder schreiben URLs in Nachrichten um. Machine Learning kann versehentlich entscheiden, dass Nachrichten mit diesen Änderungen böswillig sind, da zap (Zero-Hour Auto Purge) schädliche Nachrichten gefunden und entfernt hat und diese schädlichen Nachrichten diese Änderungen enthalten.

Aus diesen Gründen wird dringend empfohlen, diese Konfiguration zu vermeiden und mit dem Nicht-Microsoft-Dienstanbieter zusammenzuarbeiten, um die anderen in diesem Artikel beschriebenen Integrationsoptionen zu verwenden. Wenn Sie jedoch das In-and-Out-E-Mail-Routing einführen müssen, empfehlen wir dringend die folgenden Einstellungen und Vorgänge, um Ihren Schutzstatus zu maximieren:

1. Konfigurieren Sie Defender for Office 365-Richtlinienaktionen, um alle negativen Bewertungen unter Quarantäne zu stellen. Diese Konfiguration kann zwar weniger benutzerfreundlich sein als die Verwendung des Junk-Email Ordners, die Junk-Aktion erfolgt jedoch erst nach der endgültigen Übermittlung an das Postfach. Eine E-Mail, die an den Junk-E-Mail-Ordner zugestellt werden sollte, wurde stattdessen an den Nicht-Microsoft-Dienst gesendet. Wenn diese Nachricht an Microsoft zurückgeht, gibt es keine Garantie dafür, dass das ursprüngliche Urteil (z. B. Spam) beibehalten wird. Dieses Verhalten führt zu einer geringeren Gesamteffektivität.

   Tipp

   Nachrichtenflussregeln (Transportregeln), die sich auf ursprüngliche Urteile beziehen, sind nicht ideal, da sie andere Probleme mit sich bringen und zu Effizienzproblemen führen können.

2. Minimieren Sie Fehlalarme, indem Sie Spoofing für E-Mails außer Kraft setzen, die von einem Nicht-Microsoft-Dienst eingehen. Wenn der Nicht-Microsoft-Dienst beispielsweise die IP-Adresse 172.17.17.35 hat, erstellen Sie in der Tenant Allow/Block List zwei Einträge für zulässige Spoofing-Absender: einen mit „Extern“ und einen mit „Intern“, wie im folgenden Screenshot dargestellt:

   

   Achten Sie darauf, diese Außerkraftsetzungseinträge zu entfernen, wenn Sie den Nicht-Microsoft-Schutzdienst verlassen oder die Funktionsweise ändern.

3. Übermittlungen falsch negativer (zugelassene schädliche E-Mails) und falsch positiver E-Mails an Microsoft sollten aus der ursprünglichen Version der Nachricht stammen, nicht aus der Version, die von dem nicht von Microsoft stammenden Dienst zurückgegeben wird. Falsch positive Ergebnisse, die dem Nicht-Microsoft-Dienst zugeordnet sind, sollten an den Nicht-Microsoft-Dienst gesendet werden. Diese Anforderung kann schwer zu verwalten sein:

   • Microsoft false negative (beim ersten Empfang verpasst): Sie benötigen eine Kopie der Nachricht, bevor sie an das Postfach gesendet werden kann. Übermitteln Sie die in Quarantäne befindliche Kopie aus dem Nicht-Microsoft-Dienst, sofern sie verfügbar ist.
   • Microsoft + Dienst eines Drittanbieters: falsch-negativ: Wenn beide Dienste dies nicht erkennen, empfehlen wir, das ursprüngliche Element bei Microsoft zu melden und das Element im Postfach des Empfängers dem Dienst eines Drittanbieters zu melden. Das Element, das vom Nicht-Microsoft-Dienst an Microsoft 365 zurückgegeben wird, enthält Details aus dem Nicht-Microsoft-Dienst (z. B. sendende IP-Adressen, benutzerdefinierte Header usw.), die zu einer verringerung der Effektivität des maschinellen Lernens führen können.
   • Microsoft false positive: Wenn Microsoft die Nachricht vor dem Nicht-Microsoft-Dienst abgefangen hat, ist die Übermittlung dieser Kopie aus der Quarantäne wirksam.
   • Falsch positiv bei einem Nicht-Microsoft-Dienst: Wenn ein Nicht-Microsoft-Dienst die Nachricht abgefangen hat, müssen Sie die Nachricht bei diesem Dienst einreichen, da Microsoft das Problem nicht beheben kann.

Integrieren von Nicht-Microsoft-Nachrichtenberichtstools

Defender für Office 365 verfügt über vom Benutzer gemeldete Einstellungen, die mit der integrierten Berichtsschaltfläche in unterstützten Versionen von Outlook funktionieren.

Da Sicherheitsdienste von Drittanbietern ihre eigenen Tools und Prozesse zur Meldung von Fehlalarmen und übersehenen Bedrohungen umfassen können, einschließlich Maßnahmen zur Benutzerschulung/-sensibilisierung, unterstützt Defender for Office 365 Übermittlungen aus Nicht-Microsoft-Meldetools. Diese Unterstützung trägt dazu bei, die Meldung falsch positiver und falsch negativer Ergebnisse an Microsoft zu optimieren, und versetzt Ihr Sicherheitsteam (SecOps) in die Lage, Microsoft Defender Vorfallmanagement und automatisierte Untersuchungen und Reaktionen (AIR) zu nutzen.

Weitere Informationen finden Sie unter Optionen für Nicht-Microsoft-Berichterstellungstools.

Verwandte Inhalte

• Übersicht über Microsoft Defender für Office 365
• Erfahren Sie, wie Sie mit Microsoft Defender für Office 365 beginnen