Microsoft 365 heeft grote securitygebreken: dít is hoe je dat oplost

Microsoft 365 is een complex netwerk waar databeheer, beveiliging, productiviteit en compliance van elkaar afhankelijk zijn. Het platform kent een uiteenlopend profiel aan gebruikers, waardoor de mogelijkheden ‘goed genoeg’ zijn voor algemeen gebruik, maar niet de diepgang bieden die nodig zijn voor betere beveiliging, prestaties of functionaliteit in specifieke gevallen. Daarnaast hebben organisaties binnen sectoren met veel regelgeving en databescherming een hogere mate van beveiliging nodig om aan alle eisen te voldoen. Een enkele storing in de complexe verbinding tussen verschillende oplossingen kan bovendien een crash van het gehele systeem tot gevolg hebben.

Over Tony Pepper

De oprichter en CEO van Egress Software Technologies is een topautoriteit op het gebied van security. Meer dan tien jaar aan ervaring in de high-tech securityindustrie resulteert in een gastexpert met zowel hart voor als kennis van de branche. De voormalige executive voor diverse bekende securitynamen weet nog altijd de mouwen op te stropen wanneer dat nodig is. Dezelfde eigenschap is herkenbaar in het portfolio van zijn bedrijf. Egress ontwikkelt software die dreigingen niet alleen in kaart brengt, maar aanpakt. Onder andere Microsoft 365 wordt daarmee een stuk veiliger.

Omdat Microsoft 365 op sommige punten niet voldoet aan alle eisen van security en compliance, is het van belang om te kijken waar deze beveiliging verbeterd kan worden. Veel oplossingen van derden zijn namelijk een beter alternatief dan de oplossingen van Microsoft zelf. Niet voor niets geeft inmiddels een derde van de gebruikers aan dat er additionele oplossingen worden gebruikt om de veiligheid van Office 365 te verbeteren.

E-mail vormt een belangrijk onderdeel binnen het zakelijk gebruik van Microsoft 365. Maar liefst 93 procent van de gebruikers noemt e-mail een extreem belangrijke feature van Microsoft 365. Ter vergelijking, slechts 54 procent zegt dit over Skype en 45 procent over OneDrive. De meeste organisaties vertrouwen echter op de basisbeveiliging van Microsoft 365. Dit brengt een aantal beveiligingsproblemen met zich mee:

1. Targeted en geavanceerde threats

Microsoft 365 biedt securityoplossingen die gebruikers zouden moeten beschermen tegen geavanceerde risico’s die verstopt zijn in e-mails, zoals valse urls, phishing mails en documenten. Maar deze oplossingen hebben een aantal nadelen. Een daarvan is dat een administrator afzonderlijk beleid moet instellen voor veilige attachments en links voor individuen, groepen en de hele organisatie. Deze beveiliging is niet altijd ingeschakeld. En zelfs als dit wel het geval is, moeten gebruikers ingelogd zijn op Microsoft 365 om hier gebruik van te kunnen maken. De manier waarop attachments worden gecontroleerd, door virtual sandboxing, garandeert daarnaast geen volledige beveiliging tegen ransomware, omdat de tool moeite heeft met het herkennen van ransomwarewachtwoorden in de body van een email.

Safe Links, dat de veiligheid van URL’s in mails controleert, richt zich voornamelijk op links naar Word-, Excel- en PowerPoint-bestanden, zolang de gebruiker ingelogd is in Microsoft 365 en gebruikmaakt van Windows, iOS of Android. Links naar andere file formats worden niet gecontroleerd en Mac-gebruikers zijn helemaal niet beveiligd.

Ten slotte biedt Microsoft 365 wel een overzicht van malware-aanvallen, maar geen geconsolideerd beeld. Elke afzonderlijke aanval wordt gerapporteerd, waardoor administrators zelf de puzzelstukjes in elkaar moeten passen.

2. Risico op dataverlies

Microsoft 365 biedt twee verschillende data loss prevention (DLP) tools; voor de Exchange Server on premise en via het Security & Compliance Center. Beide tools bieden goede DLP-mogelijkheden, maar hebben een aantal zwakke plekken.

DLP in Exchange online biedt slechts een basisondersteuning wanneer er gevoelige informatie wordt geïdentificeerd. De tool kan bijvoorbeeld wel een bericht tegenhouden als er ongepaste informatie in staat, maar niet bewerken of opschonen. Daarnaast worden berichten niet automatisch van encryptie voorzien. Een administrator zal uiteindelijk moeten ingrijpen om het probleem op te lossen, waardoor een backlog van handmatig te verwerken acties ontstaat.

DLP in Microsoft 365 Security & Compliance Center is een nieuwere aanpak, die echter nog in ontwikkeling is. De tool heeft nog niet de capaciteiten om verkeerd verzonden e-mails proactief te signaleren door fouten in de auto-invulling. Microsoft 365 analyseert namelijk niet het verzendgedrag van gebruikers en detecteert afwijkingen niet, waardoor kwaadwillende acties over het hoofd worden gezien. Daarnaast mist de tool workflowopties voor berichten die een DLP-regel overtreden. Een mail wordt geblokkeerd of voorzien van encryptie, maar er is geen mogelijkheid om deze ter controle door te sturen naar een administrator.

3. Phishing en e-mailfraude

Office 365 slaagt er vaak niet in om pogingen tot credential phishing te identificeren, bijvoorbeeld van een vals Office 365 inlogscherm. Daarnaast waarschuwt Office 365 gebruikers wel als dubieuze berichten de domeinnaam nabootsen, maar alleen als het een exacte overeenkomst is. Kleine afwijkingen worden niet opgemerkt. Administrators moeten daarnaast voor elke nagebootste account handmatig nieuwe regels toepassen en deze lijst continu updaten.

4. Retractiemogelijkheden

Outlook biedt een retractiefeature die slechts onder bepaalde omstandigheden een bericht verwijderd of vervangt als deze eenmaal in de mailbox van de ontvanger zit. Deze feature zit niet in de webapplicatie of de standaardversie van Outlook 365 en werkt alleen als het bericht nog niet door de ontvanger is gelezen. En die ontvanger moet overigens ook gebruik maken van Office 365 en Outlook. Daarnaast kan de ontvanger alsnog een verwijderd bericht terugplaatsen in zijn inbox, door het herstellen van verwijderde items.

Microsoft Office 365 is een uitstekend platform voor organisaties om algemene processen in goede banen te leiden. Maar er zijn vooralsnog altijd extra toepassingen van derden nodig om het platform ook daadwerkelijk veilig te kunnen gebruiken.