Dieser Leitfaden richtet sich an MSSPs (Managed Security Service Providers), die mehrere Mandanten innerhalb der PowerDMARC-Plattform verwalten. Das Verständnis für den Zugriff und die Interpretation der Audit-Protokollfunktion ist entscheidend für die Aufrechterhaltung der Transparenz über Konten, die Gewährleistung der Einhaltung von Richtlinien und die Unterstützung einer proaktiven Sicherheitsüberwachung.
Was ist die Funktion Audit Log?
Das Audit-Protokoll dient als umfassendes Tracking-Tool, das eine Zeitleiste der in Ihren verwalteten Umgebungen durchgeführten Aktionen aufzeichnet. Dazu gehören unter anderem Anmeldeversuche von Clients, Anpassungen von DNS-Authentifizierungsprotokollen (SPF, DKIM, DMARC, MTA-STS), Änderungen des Benutzerzugriffs, Aktivierungen oder Deaktivierungen von Funktionen und Aktualisierungen von Unternehmensrichtlinien.
Diese Funktion ermöglicht es MSSPs, die volle Rechenschaftspflicht aufrechtzuerhalten, Anomalien schnell zu untersuchen und ihren Kunden eine wertschöpfende Aufsicht zu bieten, indem sie sicherstellen, dass alle Aktivitäten nachvollziehbar und sicher sind.
Zugang zu Audit-Protokollen
Melden Sie sich beim MSSP-Portal an und klicken Sie auf „Audit-Protokolle“ am unteren Rand des Fensters.
Verwenden Sie die Filteroptionen, um nach Aktivität, Konto oder Datum zu suchen.
Sie erhalten einen vollständigen Überblick über die in Ihrer Domäne durchgeführten Aktionen.
Exportieren Sie Protokolle für Audit-Zwecke.
Tipps zur effektiven Nutzung
Überwachen Sie die Protokolle regelmäßig, um unbefugte oder unerwartete Änderungen zu erkennen.
Legen Sie interne Richtlinien für die monatliche oder wöchentliche Überprüfung von Protokollen fest.
Unteradministratoren können nur ihre Aktionen einsehen.
Nutzen Sie die Exportfunktion für die Archivierung oder die Prüfung der Einhaltung von Vorschriften.
Prüfprotokolle – Verbesserte Sichtbarkeit gelöschter Benutzer
Die Funktion „Audit-Protokolle“ wurde aktualisiert, um auch nach dem Löschen eines Benutzerkontos eine lückenlose Rückverfolgbarkeit zu gewährleisten. Bisher führten das Löschen eines Benutzers dazu, dass alle zugehörigen Protokolleinträge ihren identifizierbaren Kontext verloren, was zu Lücken bei der Sicherheitsüberwachung und der Compliance-Berichterstattung führte. Dank dieser Verbesserung bleiben gelöschte Benutzer in den Audit-Protokollen sichtbar, sodass Sie weiterhin alle Aktionen nachverfolgen können, die von diesem Konto oder an diesem Konto durchgeführt wurden.
Was hat sich geändert?
Dauerhafte Speicherung der Benutzeridentität Die Benutzeridentität, die E-Mail-Adresse und die IP-Adresse werden nun zum Zeitpunkt der Aktion direkt im Protokollsatz erfasst. Das bedeutet, dass diese Informationen im Protokoll erhalten bleiben, auch wenn das Benutzerkonto später gelöscht wird. Dies gilt für:
MSSP-Konten, die Protokolle als MSSP anzeigen
MSSP-Konten, die Protokolle als Kontobenutzer einsehen
Kennzeichnung „(Gelöschter Benutzer)“ Wenn ein in einem Protokolleintrag genannter Benutzer nicht mehr im System vorhanden ist, wird im Prüfprotokoll neben seiner Kennung die Kennzeichnung „(Gelöschter Benutzer)“ angezeigt. Diese Kennzeichnung erscheint sowohl im Feld „Ausgeführt von“ als auch im Feld „Zielbenutzer“, wo immer die Benutzeridentität angezeigt wird.
Filterung gelöschter Benutzer Das Dropdown-Menü für den Benutzerfilter auf der Seite „Auditprotokolle“ enthält nun auch gelöschte Benutzerkonten. Gelöschte Benutzer werden optisch von aktiven Benutzern unterschieden (grau dargestellt) und können in einem kombinierten Filter zusammen mit aktiven Benutzern ausgewählt werden.
Wichtige Hinweise
Prüfprotokolle sind unveränderlich – die Kennzeichnung „(Gelöschter Benutzer)“ dient lediglich der Anzeige und hat keinen Einfluss auf den zugrunde liegenden Protokolleintrag.
Diese Erweiterung stellt gelöschte Benutzerkonten nicht wieder her und hat keine Auswirkungen auf bestehende Workflows zum Löschen von Benutzern.
Das bisherige Verhalten bei der Filterung und Protokolltrennung bleibt unverändert.
Schlussfolgerung
Die Audit Log-Funktion in PowerDMARC bietet MSSPs vollständige Transparenz über Aktivitäten auf Kontoebene in allen verwalteten Mandanten. Sie ermöglicht es Dienstanbietern, clientseitige Änderungen zu überwachen, bewährte Sicherheitspraktiken durchzusetzen und schnell auf nicht autorisierte Aktionen zu reagieren. Unabhängig von der Administrationsstufe ist es für ein sicheres und zuverlässiges E-Mail-Bedrohungsmanagement unerlässlich, dass Sie wissen, wie Sie auf diese Protokolle zugreifen und sie überprüfen können.