Auditoria de Escalada de Privilégios no MS Teams e SharePoint Online

Netwrix Auditor para SharePoint

• Execute o Netwrix Auditor → Navegue até “Pesquisar” → Clique em “Modo avançado” se não estiver selecionado.
• Configure os seguintes filtros:
  • Filtro = “Fonte de dados”
    Operador = “Igual a”
    Valor = “SharePoint Online”
  • Filtro = “Detalhes”
    Operador = “Contém”
    Valor = “Membros”
  • Filter = “Detalhes”
    Operator = “Contém”
    Value = “Permissões”
  • Filtro = “O quê”
    Operador = “Não contém”
    Valor = “ Membros”
  • Filtro = “O quê”
    Operador = “Não contém”
    Valor = “ Visitantes”

• Clique em Search e revise seu relatório:
  Notas sobre o conteúdo do relatório:
  • Nos casos em que as permissões foram atribuídas diretamente, os detalhes abaixo do UPN do ator na coluna “Quem” começarão com “Permissões:” e as permissões concedidas serão especificadas entre aspas.
  • Nos casos em que um usuário foi adicionado a um grupo, os detalhes começarão com “Membros:” e o nome do grupo é fornecido na coluna “What”.
• Para refinar ainda mais os seus resultados de pesquisa, você pode excluir grupos, sites ou atores específicos escolhendo a linha indesejada nos resultados e clicando no botão Exclude from search no painel de Detalhes e selecionando o resultado que deseja excluir.

Saiba mais sobre Netwrix Auditor for SharePoint

Solução Nativa

• Abra o painel de Security & Compliance do Office 365.
• Vá para Search -> Pesquisa de registro de auditoria.
• Nos filtros de Activities, escolha “Shared file, folder, or site” e “Unshared file, folder, or site”.
• Clique Pesquisar.
  Os resultados da pesquisa listarão os seguintes eventos: concessão direta de direitos de acesso, adição de um usuário a um grupo, alteração dos direitos do grupo. A tabela de saída incluirá os seguintes detalhes básicos:
  • Usuário — O nome do usuário que realizou a ação
  • Item — O URL do site SharePoint ou da Equipe onde a alteração foi realizada
  • Detalhe — O usuário ou grupo ao qual a alteração foi aplicada

• Para determinar se houve escalonamento de privilégios, você terá que investigar mais a fundo. Uma opção é expandir o evento e revisar as informações clicando no evento e navegando pela aba Detalhes. Dependendo da atividade, você precisará procurar pelas seguintes informações:
  • Se um usuário foi adicionado a um grupo com permissões de Controle Total:

EventData: <Adicionado ao grupo> mostrará o nome do grupo ao qual o usuário foi adicionado.
(Observe que, por padrão, o grupo com permissões de Controle Total para um site ou equipe é chamado de “[SiteName] Owners”.)

• Se direitos foram concedidos diretamente a um usuário: EventData: <Permissions granted> o campo mostrará as permissões concedidas. Sua maior prioridade é acompanhar os usuários que recebem Controle Total.

No entanto, as capacidades do filtro de pesquisa do Audit Log são bastante simples e não permitem excluir resultados irrelevantes, então com este método, você tem que clicar em cada evento individualmente. Uma maneira alternativa de encontrar escalonamento de privilégios é analisar os dados no Excel:

• Exporte os resultados da sua pesquisa para CSV clicando em Exportar Resultados -> Baixar todos os resultados.
• Abra uma planilha em branco -> Na aba Data, na seção Get & Transform Data, clique em From Text/CSV -> Abra o arquivo CSV que você baixou -> Clique em Transform Data.
• No Editor de Consultas, clique com o botão direito do mouse no título da coluna AuditData -> Clique em Transformar -> Escolha JSON.
• No canto superior direito da coluna AuditData, clique no ícone de expandir -> Clique em Carregar mais -> Desmarque as propriedades que você não deseja incluir -> Clique em OK.
  
  A tabela resultante incluirá as seguintes informações:
  • AuditData.CreationTime — A data e hora do evento
  • AuditData.ClientIP — O endereço IP de onde o evento foi realizado
  • AuditData.UserId — O nome do usuário que realizou a ação
  • AuditData.EventData — A ação realizada
  • AuditData.SiteUrl — O URL do site SharePoint ou da equipe onde a alteração foi realizada
  • AuditData.TargetUserOrGroupName — O usuário ou grupo ao qual a alteração foi aplicada

Mantenha-se à frente da escalada de privilégios para bloquear atores de ameaças antes que eles causem danos

SharePoint Online e Microsoft Teams possibilitam níveis sem precedentes de colaboração e compartilhamento de arquivos. Usuários podem convidar qualquer pessoa com um endereço de e-mail para se juntar a um site ou equipe — incluindo não apenas colegas internos, mas também usuários externos como clientes, fornecedores e contratados — sem qualquer ajuda da equipe de TI.

Este modelo de autoatendimento é conveniente para os usuários, mas claramente exige que as equipes de TI aprimorem suas estratégias de controle de acesso. Você precisa acompanhar de perto quem obtém acesso ao seu ambiente e ser capaz de identificar rapidamente qualquer escalada de permissões, como um usuário sendo adicionado a um grupo de proprietários ou alguém recebendo permissões de Controle Total para uma equipe ou site. Por exemplo, se um usuário externo recebe Controle Total sobre um site ou equipe, isso é uma ameaça direta ao seu ambiente, já que ele pode fazer o que quiser no site ou equipe, incluindo visualizar ou excluir os dados armazenados lá. Para um usuário interno, a escalada de privilégios pode ser um sinal de intenção maliciosa ou comprometimento de conta.

Com ferramentas nativas, é difícil obter a visão necessária para identificar e bloquear essas ameaças. O registro de auditoria do Office 365 registra alterações na associação de grupos e permissões, mas não há uma maneira fácil de acompanhar essas atividades — para revisar os detalhes, você tem que meticulosamente analisar cada evento ou baixar os dados em um arquivo CSV e analisá-los lá.

Netwrix Auditor elimina a necessidade de gastar seu valioso tempo vasculhando meticulosamente uma montanha de entradas de registro de eventos. Com sua busca interativa, você pode facilmente ajustar os parâmetros de pesquisa e rapidamente focar nos eventos relevantes. Além disso, você receberá todos os detalhes importantes de imediato, incluindo quem recebeu novas permissões e se a escalada de privilégios foi resultado de uma mudança na associação de grupo ou de uma atribuição direta.

Além disso, você pode facilmente salvar suas configurações de pesquisa como um relatório personalizado ao qual pode se inscrever ou usá-las para criar um alerta. Dessa forma, você pode facilmente ficar por dentro dos eventos de escalonamento de privilégios nos seus ambientes de MS Teams e SharePoint Online.