Office Private Preview

Wer hat die Anti-Phishing-Richtlinie aufgeweicht – und was hat es gekostet?

Gapsio liest das Audit-Protokoll von Defender for Office 365 und stellt jede Änderung an einer Anti-Phish-Richtlinie den Phishing-Ergebnissen davor und danach gegenüber: zugestellt gegen blockiert, pro Richtlinie, über bis zu 400 Tage. Eine gelockerte Einstellung, auf die mehr zugestellte Phishing-Mails folgen, wird zum Befund – mit Admin, Einstellung sowie altem und neuem Wert.

Was durchkam – und warum.

Mail, die Defender als Phishing oder Malware bewertet und die noch in einem Posteingang liegt. Die Allows, die sie zugestellt haben – getrennt nach Richtlinie auf Organisationsebene und den sicheren Absendern des Empfängers. Benutzer, die die Safe-Links-Warnung übergangen haben, und Mail, die Ihre eigenen Domänen fälscht. Jede Zahl stammt aus dokumentierten Hunting-Spalten; eine nicht lesbare Prüfung erscheint als fehlgeschlagen, nie als null.

Gapsio-Übersicht Defender for Office 365: Bedrohungen noch in Posteingängen, durch ein Allow zugestellte Bedrohungen, Safe-Links-Durchklicks und Befunde
Was durchkam: Bedrohungen, die noch im Posteingang liegen, die Allows, die sie zugestellt haben, und Klicks an der Safe-Links-Warnung vorbei.

Phish-Drift

Jede Änderung an einer Anti-Phish-Richtlinie oder -Regel: wer, wann, welche Einstellung, von welchem Wert auf welchen – bewertet als aufgeweicht oder verschärft. Identitätswechsel-Schutz, Mailbox Intelligence, Spoof Intelligence, Sicherheitstipps, Schwellenwerte und Aktionen.

Policy Map

Welcher Schutz bei eingehender Mail gegriffen hat, was Ihre Richtlinien auf Organisationsebene erlaubt oder blockiert haben – und welche Allows aus den Listen sicherer Absender der Empfänger stammen.

Richtlinienänderungen

Jede Änderung an Anti-Spam, Anti-Malware, Safe Links, Safe Attachments, der Tenant Allow/Block List, Transportregeln und Quarantänerichtlinien – mit dem Admin und den gesetzten Werten. ZAP ausgeschaltet, ein neuer Allow-Eintrag oder erlaubtes Durchklicken wird zum Befund. 400 Tage aufbewahrt.

Quarantäne

Wer was aus der Quarantäne freigegeben hat – und ob die freigegebene Mail ein Phishing- oder Malware-Urteil trägt. Dazu Freigabeanforderungen, Ablehnungen und Löschungen.

Gapsio-Richtlinienänderungen: jede Änderung an einer Schutzrichtlinie von Defender for Office 365 mit dem Admin und der Bewertung, ob sie den Schutz abschwächt
Richtlinienänderungen: jede Änderung an einer Schutzrichtlinie, wer sie gemacht hat – und ob der gesetzte Wert den Schutz abschwächt.

Auch Teams ist abgedeckt.

Teams-Nachrichten, die Defender als Phishing oder Malware bewertet: blockiert, zugestellt – und die zugestellten, die niemand entfernt hat. Mit Absendern und den Domänen ihrer Links.

Gapsio-Anti-Phishing-Drift: wer welche Anti-Phishing-Einstellung geändert hat, bewertet als schwächer oder stärker
Anti-Phishing-Drift: jede Policy-Änderung mit Admin, altem und neuem Wert – und ob sie den Schutz geschwächt hat.

Private Preview: ein zusätzliches Modul, das Sie bei der Installation aktivieren (-Features Endpoint,Agents,OfficePreview). Es braucht genau eine zusätzliche Leseberechtigung, ThreatHunting.Read.All, sonst ändert sich nichts. Ihr Feedback bestimmt, was in die Vollversion kommt.

Zur Modul-Dokumentation

Was Sie sehen

  • Phish-Drift: wer welche Anti-Phish-Einstellung geändert hat, inklusive Richtung aufgeweicht / verschärft.
  • Policy Map: welche Richtlinie auf wen wirkt und wie sich die Ergebnisse pro Richtlinie über die Zeit entwickeln.
  • Vorher/Nachher: zugestellt vs. blockiert um den Änderungszeitpunkt herum.
  • Richtlinienänderungen: jede Änderung an Anti-Spam, Anti-Malware, Safe Links, Safe Attachments, Allow-Listen, Transportregeln und Quarantänerichtlinien – bewertet, ob der gesetzte Wert den Schutz abschwächt.
  • Quarantäne: wer freigegeben hat und ob die freigegebene Mail ein Phishing- oder Malware-Urteil trägt.
  • Teams-Schutz: Teams-Nachrichten mit Phishing- oder Malware-Urteil, die zugestellt und nicht entfernt wurden.

Aktivierung

Installieren Sie Gapsio mit dem zusätzlichen Feature OfficePreview. Das aktiviert das Modul officepreview.

Zur Modul-Dokumentation · Installation

Berechtigung

Zusätzlich zur Standardinstallation wird ThreatHunting.Read.All benötigt (nur lesend).

What you get

  • Phish drift: who changed which anti-phish setting, including direction weakened / hardened.
  • Policy map: which policy applies to whom and how outcomes per policy evolve over time.
  • Before/after: delivered vs blocked around each change point.
  • Policy changes: every change to anti-spam, anti-malware, Safe Links, Safe Attachments, allow lists, transport rules and quarantine policies – rated whether the value set weakens protection.
  • Quarantine: who released, and whether the released mail carries a phishing or malware verdict.
  • Teams protection: Teams messages with a phishing or malware verdict that were delivered and not removed.

Enable it

Install Gapsio with the extra feature OfficePreview. This enables the officepreview module.

Module documentation · Installation

Permission

In addition to the standard setup, it requires ThreatHunting.Read.All (read-only).

Sehen Sie es in Ihrem eigenen Mandanten.

Nur lesend, selbst gehostet in Ihrer Azure-Subscription, in Minuten startklar. Jede Prüfung ist kostenlos.

Loslegen Alle Module