Fire indstillinger i postsystemet giver ofte fund: regler, der sender post automatisk ud af huset, brede rettigheder til andres postkasser, en slap SMTP-opsætning og postkasseaudit, der ikke logger det, I tror. Alle fire kan læses med en læserolle og holdes op mod CISA’s baseline for Exchange Online.
Postkassen er der, hvor tilbud, fakturaer og fortrolige samtaler ligger. En regel, der kopierer post til en ekstern adresse, kan køre i månedsvis, før nogen ser den. Derfor er postsystemet et af de første steder, en gennemgang af lejeren kigger.
Målestokken
CISA’s SCuBA-baseline for Exchange Online i ScubaGear version 2.0.0 er den læste målestok her. Føderale civile myndigheder i USA er bundet af den. Alle andre får den som information. Bruger I den, er det et valg, rapporten skal nævne.
De punkter, der vedrører denne artikel, er:
- MS.EXO.1.1v2 · Automatisk videresendelse til eksterne domæner er slået fra
- MS.EXO.5.1v1 · SMTP AUTH er slået fra
- MS.EXO.6.1v1 og 6.2v1 · Kontaktmapper og kalenderdetaljer deles ikke med alle domæner
- MS.EXO.7.1v1 · Brugerne advares, når en mail kommer udefra
- MS.EXO.13.1v1 · Postkasseaudit er slået til
Baselinen har også punkter om SPF, DKIM og DMARC. De hører til domænerne og er gennemgået i SPF, DKIM og DMARC.
Videresendelse ud af huset
Kontrolpunktet er todelt. Først indstillingen på lejerniveau: må brugerne overhovedet sende automatisk videre til eksterne domæner? Dernæst de regler, der allerede findes i postkasserne. En lejer kan have slået automatisk videresendelse fra i dag og stadig have ældre regler og videresendelser sat direkte på postkassen af en administrator.
Beviset er et udtræk af indstillingen og en liste over postkasser med videresendelse eller indbakkeregler, der peger uden for jeres egne domæner. Udtrækket laves typisk med platformens PowerShell-modul. Det er praksis; baselinen siger, hvad resultatet skal være, ikke hvordan listen trækkes. Hver ekstern modtager på listen skal have en forklaring eller fjernes.
Rettigheder til andres postkasser
Fuld adgang og ret til at sende som en anden er nyttige for sekretærer, fælles postkasser og vikarer. De bliver også stående, når behovet er væk. Baselinen har ingen politik om postkasserettigheder, så her er gennemgangen bygget på almindelig praksis.
En gennemgang trækker alle tildelinger af fuld adgang, send som og send på vegne af og ser efter tre ting. Tildelinger til personer, der er fratrådt eller har skiftet funktion. Tildelinger til hele grupper, hvor kun én person har brug for adgangen. Og personlige postkasser, som andre har fuld adgang til uden en skriftlig begrundelse. Resultatet sendes til ejerne af postkasserne, som bekræfter eller beder om at få adgangen fjernet.
SMTP AUTH og systemer, der sender
SMTP AUTH bruges af printere, scannere og fagsystemer, der sender post gennem lejeren. Baselinen siger, at det er slået fra. Ifølge Microsofts tidsplan bliver Basic-godkendelse til SMTP AUTH slået fra som standardvalg for eksisterende lejere, når december 2026 slutter. Administratorer vil kunne slå det til igen. Pr. november 2026 er intet ændret. Opgørelsen af, hvilke enheder der sender, står i systemer, der sender mail.
Postkasseaudit, der faktisk logger
Ifølge baselinen er postkasseaudit slået til som standard for alle organisationer med en standardpolitik, der logger visse handlinger fra administratorer, stedfortrædere og ejere. Kontrolpunktet er derfor sjældent at slå funktionen til. Det er at vise, at ingen har slået den fra for enkelte postkasser, og at politikken logger de handlinger, I vil kunne efterforske.
Postkasseaudit hænger sammen med den samlede auditlog. Ifølge CISA’s Security Suite-baseline skal den samlede auditlog være slået til, søgning i den skal være mulig i 3 måneder, og den skal kunne hentes ud i 12 måneder som minimum. SAMSIK peger i sin vejledning om logning på mindst 13 måneder, så længe anden lovgivning ikke kræver noget andet. Tallene kommer fra to forskellige afsendere og bør stå hver for sig i rapporten.
Advarsel og deling af kalender
Advarslen ved eksterne afsendere er en enkel indstilling, der kan tjekkes på få minutter. Den hjælper brugeren med at se, at en mail, der ligner direktørens, kommer udefra. Deling af kalenderdetaljer og kontaktmapper med alle domæner er mindre synlig. Den viser mødeemner og navne til hvem som helst, der spørger, og den bliver ofte slået til en gang for at løse et enkelt samarbejde.
Rækkefølgen i gennemgangen
En praktisk rækkefølge er at begynde med videresendelse, fordi et fund dér kan betyde, at post forlader huset i dag. Derefter rettigheder til andres postkasser og SMTP AUTH. Postkasseaudit og auditlog kommer sidst, fordi de handler om, hvad I kan se bagefter. Viser det første udtræk en ekstern videresendelse, som ingen kan forklare, er det ikke længere et konfigurationsfund. Så er det en sag for den, der håndterer sikkerhedshændelser, og gennemgangen sætter det punkt på pause.
Hvad det kræver, og hvad det koster at lade være
Det kræver en læserolle til Exchange Online, en person, der kan køre de indbyggede kommandoer, og en ejer for hver fælles postkasse, der kan svare på, hvem der skal have adgang. Det meste kan driften trække selv på en dag.
Uden kontrollen kan post forlade virksomheden, uden at det er et valg, og brede postkasserettigheder kan give en kompromitteret konto adgang til mere end sin egen indbakke. Mangler auditloggen, er der intet at efterforske med bagefter.
Det skal I lade være med
- At nøjes med indstillingen på lejerniveau · gamle regler i postkasserne kan stadig sende videre.
- At slå SMTP AUTH til for hele lejeren for én scanners skyld · afgræns det til den postkasse, der har brug for det.
- At gå ud fra, at postkasseaudit logger alt · standardpolitikken logger udvalgte handlinger.
Det skal gennemgangen kunne vise
- ☐ Indstillingen for automatisk videresendelse til eksterne domæner.
- ☐ En liste over postkasser med videresendelse eller regler til eksterne adresser.
- ☐ Alle tildelinger af fuld adgang og send som, bekræftet af ejerne.
- ☐ Status for SMTP AUTH på lejer- og postkasseniveau.
- ☐ Postkasser, hvor postkasseaudit er slået fra, og indholdet af auditpolitikken.
- ☐ Opbevaringstiden for den samlede auditlog.
Kilder
- CISA, ScubaGear-baseline for Exchange Online (exo.md), v2.0.0, MS.EXO.1.1v2, 5.1v1, 6.1v1, 6.2v1, 7.1v1 og 13.1v1, læst 13. november 2026.
- CISA, ScubaGear Security Suite-baseline, v2.0.0, MS.SECURITYSUITE.5.1v1 og 5.2v1, læst 13. november 2026.
- Microsoft Exchange Team Blog, Updated Exchange Online SMTP AUTH Basic Authentication Deprecation timeline, opdateret 29. januar 2026, læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over postkasser med videresendelse til eksterne adresser, og få en forklaring på hver linje.
Læs også: Delte konti og fælles login i driften · Ændringsloggen som bevis
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
