![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2012\/07\/Office1.jpg\")
[English]Interessante Erkenntnis f\u00fcr Administratoren. In Microsoft Office 365 gibt es eine undokumentierte API, \u00fcber die Administratoren die Aktivit\u00e4ten von Outlook E-Mail-Konten auslesen k\u00f6nnen. <\/p>\n[English]Interessante Erkenntnis f\u00fcr Administratoren. In Microsoft Office 365 gibt es eine undokumentierte API, \u00fcber die Administratoren die Aktivit\u00e4ten von Outlook E-Mail-Konten auslesen k\u00f6nnen. <\/p>\n
<\/p>\n
Solche Daten sind wichtig, wenn ein Einbruch in E-Mail-Konten erfolgt ist oder wenn es zu weiteren Ungereimtheiten gekommen ist. Eigentlich bieten (On Premise) E-Mail-Server solche Funktionen von Hause aus. Wird der Mail-Dienst Outlook in Microsoft Office 365 genutzt, liegt der Mail-Server aber bei Microsoft. Der Zugriff auf die Aktivit\u00e4ten eines E-Mail-Kontos steht f\u00fcr Administratoren offiziell nicht zur Verf\u00fcgung. <\/p>\n
Bei stackoverflow.com ist bereits 2015 die Frage aufgekommen<\/a>, ob es nicht eine API gebe, \u00fcber welche man Aktivit\u00e4ten eines Outlook-Postfachs abfragen k\u00f6nne. Viele Hinweise gab es nicht. Aber es gibt eine REST-API f\u00fcr den Zugriff auf Outlook.com<\/a>. <\/p>\n Intern muss Microsoft allerdings weitergehende M\u00f6glichkeiten haben, wie zumindest der Blog-Beitrag Transform your organization with Microsoft Workplace Analytics<\/a> des Office 365-Teams von July 2017 zeigt. <\/p>\n Die Sicherheitsfirma CrowdStrike ist nun im Zuge von Ermittlungen eines Services-Teams zu BEC-F\u00e4llen (Business Email Compromise) auf eine interessante Funktion in Office 365 gesto\u00dfen. Offenbar gibt es innerhalb der REST-API ein undokumentiertes Subset Activties<\/em>, \u00fcber das man wesentlich feiner als \u00fcber den Office 365 Unified Audit Log<\/a> herausfinden kann, was mit einem Postfach getan wurde. <\/p>\n Bei Microsoft Office 365 scheint diese Funktion aber niemals offen gelegt worden zu sein. CrowdStrike hat die Details im Blog-Beitrag Hiding in Plain Sight: Using the Office 365 Activities API to Investigate Business Email Compromises<\/a> ver\u00f6ffentlicht. Dort schreibt man, dass es auch einige Nachteile der API gibt. Aufgef\u00fchrt wird die offensichtliche Unf\u00e4higkeit, Aktivit\u00e4ten direkt mit Client-Sitzungen zu verkn\u00fcpfen. Trotzdem bietet die API immer noch gen\u00fcgend Details, um unter den meisten Umst\u00e4nden eine schnelle Identifizierung von Angreiferaktivit\u00e4ten zu erm\u00f6glichen. <\/p>\nUndokumentiertes REST API Subset<\/h2>\n
\n