Schritte zur Analyse von OAuth-App-Missbrauch mit Microsoft Graph-Aktivitätsprotokollen

Von Mirko Peters · 2026-03-09 · Aktualisiert 2026-03-24

Erkennen Sie OAuth-Bedrohungen für Microsoft 365 mit Entra ID und dem Microsoft Graph-Aktivitätsprotokoll. Erfahren Sie, wie Sie OAuth-App-Bedrohungen über Aktivitätsprotokolle und die Graph API erkennen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Überwachung der Nutzung von OAuth-Apps ist entscheidend für die Sicherheit Ihrer Organisation und die Verhinderung von OAuth-App-Missbrauch. Mit den Microsoft Graph-Aktivitätsprotokollen erhalten Sie wichtige Einblicke, wie OAuth-Anwendungen arbeiten. Diese Protokolle helfen Ihnen, möglichen OAuth-App-Missbrauch zu erkennen und Bedrohungen im Zusammenhang mit der OAuth-App-Aktivität aufzudecken.

• Microsoft Graph-Aktivitätsprotokolle sind unverzichtbar für:

  • Die Überwachung der OAuth-App-Aktivität.

  • Die Erkennung möglichen OAuth-App-Missbrauchs.

  • Die grundlegende Transparenz, die für das Aufdecken von Bedrohungen notwendig ist.

Die Festlegung von Compliance-Standards ist aufgrund der Risiken durch OAuth-App-Missbrauch unverzichtbar. Klare Kriterien für die Bewertung von Sicherheit und Compliance helfen Ihnen, die richtigen Apps für den Unternehmenseinsatz auszuwählen.

Analyse von OAuth-App-Missbrauch mit Microsoft Graph-Aktivitätsprotokollen: 5 überraschende Fakten

Bei der Analyse von OAuth-App-Missbrauch mit Microsoft Graph-Aktivitätsprotokollen stoßen Sicherheitsermittler häufig auf unerwartete Funktionen und Einschränkungen, die Erkennung und Reaktion beeinflussen.

1. Aktivitätsprotokolle zeigen die OAuth-client_app_id für appbezogene Ereignisse. Microsoft Graph-Aktivitätsprotokolle enthalten für viele Anmelde- und Zustimmungsereignisse die client_app_id (die appId der Anwendung). Dadurch lassen sich verdächtige Token oder Aktionen direkt einer registrierten OAuth-App zuordnen und nicht nur einem Benutzer.
2. Nicht alle App-Aktivitäten erscheinen an einem Ort, mehrere Protokolltypen sind relevant. OAuth-bezogene Ereignisse können auf Anmeldeprotokolle, Überwachungsprotokolle und die einheitlichen Microsoft Graph-Aktivitätsprotokolle verteilt sein. Wer sich auf eine einzige Quelle verlässt, kann Zustimmungserteilungen, Token-Ausstellungen oder Änderungen von App-Berechtigungen übersehen, die für Missbrauchsuntersuchungen relevant sind.
3. Aufbewahrungs- und Exportoptionen können forensische Zeitleisten einschränken, sofern sie nicht konfiguriert sind. Die Aufbewahrungsdauer für einige Aktivitätsprotokolle ist im Mandanten standardmäßig begrenzt. Ohne Diagnoseeinstellungen, die Daten in einen Log Analytics-Arbeitsbereich oder ein Speicherkonto exportieren, können Nachweise für App-Missbrauch in der Vergangenheit schnell verloren gehen.
4. Einige sensible Felder sind in Graph-Protokollen maskiert oder geschwärzt. Zum Schutz der Privatsphäre werden bestimmte personenbezogene Daten und Token-Details in den Aktivitätsdaten gekürzt oder verschleiert. Um vollständige Angriffsketten zu rekonstruieren, müssen Sie Protokolle oder Protokolle des bedingten Zugriffs korrelieren.
5. Änderungsbenachrichtigungen und Delta-Abfragen ermöglichen nahezu Echtzeit-Erkennung, müssen aber eingerichtet werden. Microsoft Graph unterstützt Änderungsbenachrichtigungen (Webhooks) und Delta-Abfragen für Aktivitätsprotokolle. Damit lassen sich neu erteilte App-Berechtigungen oder auffällige App-Aktionen automatisiert erkennen. Sie müssen jedoch aktiv konfiguriert werden, damit Missbrauch im Moment seines Auftretens erkannt wird.

Das Wichtigste in Kürze

• Überwachen Sie die OAuth-App-Aktivität mit Microsoft Graph-Aktivitätsprotokollen, um möglichen Missbrauch und Bedrohungen zu erkennen.

• Überprüfen Sie OAuth-Anwendungen regelmäßig, um sicherzustellen, dass die Berechtigungen angemessen sind, und untersuchen Sie verdächtige Apps.

• Implementieren Sie strenge Zugriffskontrollen, beispielsweise indem Sie die Benutzerzustimmung für Drittanbieter-Apps deaktivieren, um die Sicherheit zu erhöhen.

• Nutzen Sie Kusto Query Language (KQL), um Protokolle zu analysieren und ungewöhnliche Muster zu erkennen, die auf OAuth-App-Missbrauch hindeuten können.

• Schulen Sie Mitarbeitende zu Sicherheitsbedrohungen und Phishing-Methoden, um das Risiko von OAuth-App-Missbrauch zu verringern.

Überblick über OAuth-App-Missbrauch

Häufige Angriffsvektoren

Angreifer nutzen die Zustimmung zu OAuth-Apps häufig aus, um sich unbefugten Zugriff auf sensible Daten zu verschaffen. Dabei setzen sie verschiedene Taktiken ein, um Sicherheitsmaßnahmen zu umgehen. Phishing-Kampagnen sind beispielsweise weit verbreitet. Angreifer verleiten Benutzer dazu, Gerätecodes auf echten Microsoft-Verifizierungsseiten einzugeben. So erhalten sie Zugriffstoken, die mit den Konten der Opfer verknüpft sind. Solche Angriffe können herkömmliche Sicherheitskontrollen umgehen, auch die Multi-Faktor-Authentifizierung.

Außerdem verbinden sich viele Anwendungen von Drittanbietern über OAuth-Token mit SaaS-Plattformen. Diese Token können den Zugriff unbegrenzt aufrechterhalten, sofern sie nicht aktiv verwaltet werden. Das stellt ein erhebliches Risiko dar, denn Organisationen gewähren unter Umständen unbemerkt Zugriff auf sensible Daten über Anwendungen, die gar nicht mehr genutzt werden. Sicherheitsforscher haben darauf hingewiesen, dass OAuth-Angriffe besonders schwer zu erkennen sind. Sie hinterlassen nur minimale forensische Spuren und können selbst nach einem Zurücksetzen des Passworts fortbestehen.

Langfristige Zugriffsrisiken

Die langfristigen Risiken, die mit dauerhaftem OAuth-App-Zugriff verbunden sind, sind alarmierend. In Cloud-first-Umgebungen ist die Identität zum neuen Perimeter geworden. Angreifer können dauerhaften Zugriff auf Unternehmenssysteme erlangen, ohne Server oder Passwörter zu kompromittieren. Sie nutzen dabei die Vertrauensbeziehungen aus, die in modernen Identitätssystemen angelegt sind.

Die Folgen eines Missbrauchs von OAuth-Apps können gravierend sein. Hier sind einige dokumentierte Risiken:

• Interne Phishing-Angriffe: E-Mails von vertrauenswürdigen Konten verleiten mehr Opfer zum Klicken.

• Diebstahl sensibler Daten: Vertrauliche Dateien, Verträge und geistiges Eigentum können abfließen.

• Dauerhafter Zugriff: Selbst wenn Anmeldedaten zurückgesetzt werden, können Token weiterhin aktiv bleiben.

• Reputationsschaden: Kunden und Partner verlieren das Vertrauen, sobald eine Sicherheitsverletzung öffentlich wird.

Organisationen müssen wachsam bleiben. Sie sollten die Zustimmungen zu OAuth-Apps regelmäßig überprüfen und auf verdächtige Aktivitäten achten. So können Sie die Risiken, die mit dem Missbrauch von OAuth-Apps verbunden sind, minimieren und Ihre sensiblen Daten schützen.

Microsoft Graph Activity Logs für die Sicherheit

Der Zugriff auf Microsoft Graph Activity Logs ist entscheidend, um das Verhalten von OAuth-Apps zu überwachen. Mit diesen Schritten rufen Sie die Protokolle effektiv ab:

1. Protokolle über eine Diagnoseeinstellung streamen, und zwar im Azure-Portal oder über die Azure Resource Manager APIs.

2. Integrieren Sie die Activity Logs in Azure Monitor Logs.

3. Konfigurieren Sie die Diagnoseeinstellungen über die Azure Resource Manager API.

4. Richten Sie Speicherziele ein, etwa einen Azure Log Analytics Workspace, Azure Storage oder Azure Event Hubs.

5. Wenn die Protokolle an einen Log Analytics Workspace gesendet werden, fragen Sie sie mit der Kusto Query Language (KQL) ab.

Sobald Sie auf die Protokolle zugreifen, konzentrieren Sie sich auf die relevanten Einträge, die auf verdächtiges OAuth-App-Verhalten hindeuten können. Diese Protokolleinträge sollten Sie überwachen:

Echtzeitwarnungen spielen eine zentrale Rolle bei der Erkennung von und Reaktion auf Missbrauchsvorfälle mit OAuth-Apps. Sie schaffen Transparenz über verdächtiges Verhalten und ermöglichen automatisierte Reaktionen, um Risiken zu minimieren. So hatten beispielsweise die OAuth-Tokens von Drift eine verlängerte Lebensdauer, wodurch Salesforce-Kunden keine Übersicht über App-Verbindungen hatten. Kompromittierte Tokens können MFA und SSO umgehen. Das zeigt, wie wichtig Echtzeitwarnungen sind, um Auffälligkeiten wie massenhafte API-Abfragen zu erkennen.

Für wirksame Echtzeitwarnungen empfehlen sich folgende Vorgehensweisen:

• Richten Sie Warnungen für verdächtige Aktivitäten in den Microsoft Graph Activity Logs ein, etwa für die Zuweisung hochprivilegierter Berechtigungen und ungewöhnliche Anmeldungen.

• Nutzen Sie Microsoft Defender for Cloud Apps (MCAS), um Sitzungssteuerungen zu überwachen und durchzusetzen, und lassen Sie Warnungen für riskante OAuth-App-Anmeldungen erzeugen.

• Durchsuchen Sie das Unified Audit Log von Microsoft 365 nach zentralen Ereignissen wie 'Add application' oder 'Consent to application', um mögliche Missbrauchsfälle mit OAuth-Apps zu erkennen.

• Korrelieren Sie Warnungen zu ungewöhnlichen Anmeldungen mit Audit-Protokollen, um bösartige OAuth-App-Aktivitäten aufzudecken.

Mit diesen Strategien stärken Sie die Sicherheitslage Ihrer Organisation und schützen sich besser vor OAuth-App-Missbrauch.

Erkennungsmethoden für OAuth-App-Missbrauch

KQL-Abfragen

Kusto Query Language (KQL) ist ein leistungsstarkes Werkzeug zur Analyse der Microsoft Graph Activity Logs. Mit KQL lassen sich Muster und Anomalien identifizieren, die auf Missbrauch von OAuth-Apps hindeuten. Hier sind einige wirksame Strategien für den Einsatz von KQL:

• Prüfen Sie Entra-Anwendungen regelmäßig auf übermäßige Berechtigungen. So erkennen Sie Anwendungen, die ein Risiko darstellen können.

• Überwachen Sie unerwartete Zugriffe auf die Microsoft Graph API. Solche Zugriffe können auf eine Kompromittierung hindeuten, sodass Sie schnell handeln können.

• Erstellen Sie eine Liste genehmigter Anwendungen. Diese Liste ermöglicht eine kontinuierliche Überwachung und hilft Ihnen, neue Anwendungen mit hohen Berechtigungen zu erkennen.

Für den Einstieg in KQL bietet sich die folgende Beispielabfrage an, die auf ungewöhnliche Anmeldeaktivitäten prüft:

AuditLogs
| where ActivityType == "SignIn"
| where Result == "Failure"
| summarize Count = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| order by Count desc

Diese Abfrage identifiziert Benutzer mit fehlgeschlagenen Anmeldeversuchen, sodass Sie mögliche unautorisierte Zugriffe untersuchen können.

PowerShell-Automatisierung

Die PowerShell-Automatisierung kann die Erkennung von OAuth-App-Missbrauch erheblich vereinfachen. Mit PowerShell-Skripten lassen sich OAuth-Anwendungen und deren Aktivitäten automatisiert überwachen. Hier sind einige Tools und ihre Funktionen:

Mit PowerShell können Sie außerdem Skripte erstellen, die regelmäßig auf übermäßige Berechtigungen prüfen und Entra-Anwendungen dabei im Blick behalten. Dieser proaktive Ansatz hilft Ihnen, eine sichere Umgebung aufrechtzuerhalten.

Sie können beispielsweise ein Skript ausführen, das alle Anwendungen mit hohen Berechtigungen auflistet:

Get-AzureADServicePrincipal | Where-Object { $_.AppRoles -ne $null -and $_.AppRoles.Count -gt 5 }

Dieser Befehl ruft Dienstprinzipale mit mehr als fünf App-Rollen ab, sodass Sie potenzielle Risiken bewerten können.

Durch die Kombination von KQL-Abfragen und PowerShell-Automatisierung verbessern Sie Ihre Erkennungsfähigkeiten. Diese Methoden stellen Ihnen die nötigen Werkzeuge bereit, um Missbrauch von OAuth-Apps zu erkennen und wirksam darauf zu reagieren.

Gegenmaßnahmen gegen identitätsbasierte Bedrohungen

Analyse des Benutzerverhaltens

Um die Risiken im Zusammenhang mit OAuth-Anwendungen wirksam zu mindern, sollten Sie das Benutzerverhalten auf Auffälligkeiten analysieren. Werkzeuge für User Behavior Analytics (UBA) helfen Ihnen, ungewöhnliche Muster zu erkennen, die auf Missbrauch von OAuth-Apps hindeuten können. Folgende Methoden sollten Sie in Betracht ziehen:

Mit diesen Strategien können Sie potenzielle Bedrohungen frühzeitig erkennen. Regelmäßige Überprüfungen von OAuth-Anwendungen spielen ebenfalls eine entscheidende Rolle. Überprüfen Sie regelmäßig die Berechtigungen, um sicherzustellen, dass sie zu den Benutzerrollen passen. Untersuchen Sie verdächtige Anwendungen, die möglicherweise übermäßige Zugriffsrechte besitzen.

Korrelation von Ereignissen

Die Korrelation von Ereignissen ist eine weitere wirksame Strategie, um identitätsbasierte Bedrohungen zu erkennen. Dieser Ansatz ermöglicht es Ihnen, Informationen aus verschiedenen Quellen zusammenzuführen, um bösartige App-Registrierungen oder die Umgehung von Sicherheitskontrollen zu erkennen. Hier einige Erkenntnisse zur Bedeutung der Ereigniskorrelation:

Durch die Korrelation von Ereignissen können Sie eine umfassende Risikobewertung erstellen. Dieser Prozess hilft Ihnen, die Zusammenhänge zwischen verschiedenen Aktivitäten zu verstehen, und ermöglicht es Ihnen, Muster zu erkennen, die auf Techniken zum Missbrauch von OAuth hindeuten.

Die Umsetzung dieser Gegenmaßnahmen erfordert Engagement. Sie könnten auf Herausforderungen stoßen, etwa die Schwierigkeit, Angriffe zu erkennen, die legitime OAuth-Abläufe ausnutzen. Herkömmliche Sicherheitskontrollen greifen nach erteilter Zustimmung oft zu kurz. Mit einem proaktiven Ansatz können Sie das Risiko von Missbrauch durch OAuth-Apps jedoch deutlich senken.

Um Ihre Sicherheitslage weiter zu stärken, sollten Sie diese wirksamen Gegenmaßnahmen in Betracht ziehen:

1. Überwachung: Überprüfen Sie OAuth-Anwendungen regelmäßig, um sicherzustellen, dass die Berechtigungen angemessen sind, und untersuchen Sie verdächtige Anwendungen.

2. Benutzerzustimmung einschränken: Deaktivieren Sie die Benutzerzustimmung für Drittanbieter-Apps, damit für alle Autorisierungsanfragen eine administrative Genehmigung erforderlich ist.

3. Rollenbasierte Zugriffssteuerung (RBAC): Implementieren Sie RBAC, um die Benutzerrechte auf das notwendige Minimum zu beschränken.

4. Schulung der Benutzer: Führen Sie regelmäßige Schulungen durch, um Mitarbeitende über Sicherheitsbedrohungen und Phishing-Methoden aufzuklären.

Wenn Sie sich auf die Analyse des Benutzerverhaltens und die Korrelation von Ereignissen konzentrieren, stärken Sie Ihre Abwehr gegen identitätsbasierte Bedrohungen im Zusammenhang mit dem Missbrauch von OAuth-Apps.

Zusammenfassend lässt sich sagen: Die Analyse von OAuth-App-Missbrauch deckt bei vielen Anwendungen kritische Schwachstellen auf. Aktuelle Studien zeigen, dass etwa 8 % der getesteten Anwendungen für OAuth-Missbrauch anfällig sind. Das unterstreicht die Notwendigkeit einer laufenden Überwachung, um Ihre Sicherheitslage zu verbessern.

Sie sollten sich auf Folgendes konzentrieren:

• Regelmäßige Überprüfung der Identitäten von Benutzern und Dienstprinzipalen.

• Mit Einwilligungsrichtlinien implementieren, um unautorisierten Zugriff zu blockieren.

• Riskante Anwendungen proaktiv aufspüren.

Mit diesen proaktiven Abwehrstrategien reduzieren Sie die Risiken durch den Missbrauch von OAuth-Apps deutlich und schützen Ihr Unternehmen vor potenziellen Bedrohungen.

Häufige Fragen

Was ist OAuth-App-Missbrauch?

OAuth-App-Missbrauch liegt vor, wenn Angreifer OAuth-Anwendungen ausnutzen, um sich unautorisierten Zugriff auf sensible Daten zu verschaffen. Dabei setzen sie häufig Methoden wie Phishing und Einwilligungs-Phishing ein, um Benutzer dazu zu bringen, Berechtigungen zu erteilen.

Wie erkenne ich OAuth-App-Missbrauch?

Sie erkennen OAuth-App-Missbrauch, indem Sie die Microsoft Graph Activity Logs auf verdächtige Aktivitäten überwachen. Achten Sie auf ungewöhnliche Anmeldungen, Downloads mit hohem Volumen und unerwartete Änderungen von Berechtigungen.

Welche Risiken birgt Einwilligungs-Phishing?

Einwilligungs-Phishing ermöglicht Angreifern, Benutzer dazu zu bringen, Zugriff auf ihre Konten zu gewähren. Die Folgen können Datendiebstahl, unautorisierter Zugriff und ein potenzieller Schaden für den Ruf Ihres Unternehmens sein.

Wie oft sollte ich OAuth-Anwendungen überprüfen?

Sie sollten OAuth-Anwendungen regelmäßig überprüfen, idealerweise alle paar Monate. So stellen Sie sicher, dass die Berechtigungen weiterhin angemessen sind, und können verdächtige Anwendungen schnell erkennen.

Welche Maßnahmen helfen, OAuth-App-Missbrauch zu verhindern?

Um OAuth-App-Missbrauch zu verhindern, setzen Sie auf strikte Zugriffskontrollen, deaktivieren die Einwilligung durch Benutzer für Drittanbieter-Apps und schulen Ihre Mitarbeitenden regelmäßig im Erkennen von Phishing.

Microsoft Graph untersuchen: Log Analytics Workspace und Bedrohungserkennung

Was bedeutet die Analyse von OAuth-App-Missbrauch mit Microsoft Graph Activity Logs?

Die Analyse von OAuth-App-Missbrauch mit Microsoft Graph Activity Logs bedeutet, Graph-API-Aktivitäten und Graph-API-Protokolle zu nutzen, um schädliche Aktivitäten von Anwendungen oder Bedrohungsakteuren zu identifizieren, die die OAuth-2.0-Autorisierung in Ihrer Microsoft 365-Umgebung missbrauchen. Sie prüfen Graph-API-Aufrufe, Muster von API-Anfragen sowie Entra-ID-Anmeldeprotokolle zusammen mit einer Reihe von Graph Activity Logs in einem Log Analytics Workspace, um verdächtiges OAuth-Verhalten und riskante OAuth-Apps aufzuspüren.

Wie aktiviere ich Microsoft Graph Activity Logs, und wohin werden sie gesendet?

Um Microsoft Graph Activity Logs zu aktivieren, müssen Sie die Microsoft-365-Dienste und den Microsoft-Graph-Dienst so konfigurieren, dass Graph-API-Aktivitäten und API-Aktivitäten an einen Log Analytics Workspace (oder ein externes SIEM) gesendet werden. Verwenden Sie die Diagnoseeinstellungen von Microsoft Entra ID, um Graph-API-Anfragen, Entra-ID-Protokolle und Anmeldeereignisse an eine Log Analytics Workspace-ID weiterzuleiten. Dort können Sie Graph-API-Protokolle abfragen und Bedrohungserkennungsabfragen mit Kusto ausführen (Aktivitätsprotokoll und Kusto-Abfrage).

Welche Indikatoren in Graph-API-Aufrufen weisen auf verdächtige OAuth-Aktivitäten hin?

Achten Sie auf ungewöhnliche Graph-API-Anfragen, etwa Aufrufe mit hohem Volumen von einer einzelnen Anwendungs-ID, wiederholte Einwilligungen, die Wiederverwendung von Token über Mandanten hinweg oder Graph-API-Aktivitäten von unbekannten IP-Adressen. Korrelieren Sie diese Befunde mit den Anmeldeprotokollen von Entra ID, Ereignissen des Microsoft Authentication Brokers und Auffälligkeiten beim Timing der API-Aufrufe, um Bedrohungen anhand der Microsoft-Graph-Aktivitäten und eines möglichen Missbrauchs von OAuth-Anwendungen zu erkennen.

Wie untersuche ich riskante OAuth-Apps mit Log Analytics und Kusto-Abfragen?

Nutzen Sie den Log Analytics Workspace, um Graph-API-Protokolle zentral zu sammeln, und führen Sie Kusto-Abfragen über die Reihe der Graph Activity Logs aus. Typische Schritte: Microsoft-Graph-API-Anfragen und Entra-ID-Protokolle aufnehmen, KQL schreiben, um ungewöhnliche Graph-API-Aktivitäten sichtbar zu machen, nach Anwendungs-ID und Benutzer auswerten und mit Ereignissen aus Microsoft-365-Diensten korrelieren. Ein Playbook für die Nutzung der Graph API enthält KQL-Beispiele, um verdächtige OAuth-Token und API-Aktivitäten zu erkennen.

Welche Rolle spielt Entra ID bei der Erkennung von OAuth-Missbrauch?

Microsoft Entra ID (früher Azure AD) liefert die Identitäts- und Zugriffssignale, also Entra-ID-Protokolle und Entra-ID-Anmeldeprotokolle, die zeigen, welche App Zugriff angefordert hat und welcher Benutzer zugestimmt hat. Wenn Sie diese Protokolle zusammen mit der Microsoft Graph API und den Graph-API-Aktivitätsprotokollen auswerten, können Sie OAuth-2.0-Autorisierungsereignisse mit API-Anfragen verknüpfen, kompromittierte Anmeldedaten oder schädliche Anwendungen erkennen und bedingten Zugriff durchsetzen oder Berechtigungen von Anwendungen widerrufen.

Kann ich die Erkennung von Bedrohungen und die Reaktion auf OAuth-App-Missbrauch automatisieren?

Ja. Kombinieren Sie Graph-API-Aktivitätsprotokolle in einem Log-Analytics-Arbeitsbereich mit automatisierten Warnungen und Playbooks, um Bedrohungen mithilfe von Microsoft Graph zu erkennen. Verwenden Sie KQL, um Warnungen bei Anomalien auszulösen, und führen Sie anschließend automatisierte Gegenmaßnahmen aus (Tokens widerrufen, Anwendungs-ID blockieren, Zustimmung deaktivieren). Nutzen Sie dafür Aufrufe der Microsoft Graph API und den Microsoft Graph-Dienst, um schädliche Aktivitäten einzudämmen und den Zugriff auf Microsoft 365-Ressourcen zu reduzieren.

Welche bewährten Methoden gibt es, um das Risiko verdächtiger OAuth-Apps und riskanter OAuth-Apps zu verringern?

Zu den bewährten Methoden gehören: das Prinzip der minimalen Berechtigungen für Anwendungen durchsetzen, Graph-API-Anfragen und die Anmeldeprotokolle von Entra ID überwachen, Administratorzustimmung nur dort verlangen, wo sie notwendig ist, Bedingter Zugriff und MFA einsetzen, Graph-API-Protokolle zentral in einem Log-Analytics-Arbeitsbereich mit einer Arbeitsbereichs-ID sammeln sowie regelmäßig Untersuchungen mit dem Graph-Aktivitätsprotokoll und Kusto-Abfragen durchführen, um Bedrohungen mithilfe der Microsoft Graph-Aktivität frühzeitig zu erkennen.

Wie binde ich Microsoft Teams oder andere Microsoft 365-Dienste in Untersuchungen ein?

Beziehen Sie die Telemetriedaten von Microsoft Teams und anderen Microsoft 365-Diensten in Ihre Graph-API-Aktivitätsprotokolle ein und korrelieren Sie diese mit Graph-API-Anfragen. Viele OAuth-Missbrauchsszenarien betreffen den Zugriff auf E-Mails, Dateien oder Teams-Nachrichten. Indem Sie über die Microsoft Graph API dienstspezifische Aktivitäten abrufen und diese mit Entra ID-Protokollen in Log Analytics kombinieren, erkennen Sie die gesamte Kette von der API-Anfrage bis zum Ressourcenzugriff und können schädliche Aktivitäten im gesamten Microsoft-Ökosystem aufspüren.