Mail er stadig det sted, hvor fakturaer, kontrakter, adgangskodenulstillinger og kundedialog samles. Derfor ser en test af Microsoft 365 typisk også på Exchange Online, også når opdraget primært handler om identitet eller deling. Fundene handler ikke nødvendigvis om selve tjenesten. De handler om tre ting, I selv styrer: om post kan sendes automatisk ud af huset, hvordan delte postkasser er sat op, og hvem der har adgang til andres post. Microsofts egen dokumentation om de tre områder er et godt grundlag for at forstå, hvad fundene betyder.
Automatisk videresendelse ud af huset
Microsoft beskriver to måder, post kan videresendes automatisk til eksterne modtagere. Brugere kan oprette regler i indbakken, der sender post videre. Administratorer kan sætte videresendelse op på selve postkassen. Microsoft skriver selv, at videresendelse kan være nyttig, men også er en sikkerhedsrisiko, fordi oplysninger kan forlade virksomheden, og at regler i indbakken kan være oprettet bevidst eller som følge af en kompromitteret konto.
Om videresendelse ud af huset er tilladt, styres af en indstilling i politikken for udgående spam. Standardværdien hedder automatisk, og Microsoft oplyser, at dens virkning kan variere mellem organisationer. Microsoft anbefaler derfor at vælge eksplicit, om videresendelse skal være slået til eller fra, i stedet for at lade standardværdien bestemme.
Typiske fund på området er:
- Uklar indstilling · organisationen står på standardværdien, og ingen ved, om videresendelse faktisk er tilladt.
- Eksisterende regler til private adresser · medarbejdere, der sender deres arbejdspost videre til en privat mailkonto.
- Videresendelse sat op af administratorer · postkasser, der blev viderestillet ved en fratrædelse og aldrig blev ryddet.
Et fund om eksisterende videresendelse bør altid undersøges, også selvom det ser uskyldigt ud. Det kan være en praktisk løsning, en medarbejder har lavet. Det kan også være et spor efter en kompromitteret konto.
Delte postkasser
Delte postkasser bruges til info-adresser, support og bogholderi. Microsoft beskriver, at hver delt postkasse har en tilknyttet brugerkonto med en adgangskode, som systemet har lavet, og som ikke skal kendes eller bruges. Microsofts anbefaling er klar: login direkte på kontoen bag en delt postkasse skal være blokeret, og det skal forblive blokeret.
Fund om delte postkasser kan handle om:
- Login er ikke blokeret · kontoen bag postkassen kan logge ind, måske fordi den engang var en almindelig medarbejders postkasse og blev omdannet.
- Kendt adgangskode · nogen har sat en adgangskode, så postkassen kunne bruges fra en telefon eller en printer.
- Bred adgang · mange medarbejdere har fuld adgang, også dem, der ikke længere arbejder med området.
- Uden for reglerne for login · kontoen er ikke omfattet af tofaktor, fordi den ikke er en person.
En delt postkasse med åbent login og en kendt adgangskode er i praksis en konto uden ejer. Den slags konti er værdifulde for en angriber, fordi ingen opdager, hvis de bruges. → Tofaktor med huller
Adgang til andres post
Exchange Online har tre rettigheder, der giver adgang på tværs af postkasser: fuld adgang, send som og send på vegne af. De bruges til sekretærer, assistenter og vikarer, og de bliver ikke altid fjernet igen.
Testen ser på, hvem der har rettighederne, og om de stadig giver mening. Fund kan være medarbejdere med fuld adgang til ledelsens postkasser, konti fra tidligere driftsleverandører eller programmer, der har fået adgang til alle postkasser. Det sidste hænger sammen med apps, der har fået tilladelse til at læse post. → Appregistreringer og samtykke
Rettighederne er ikke forkerte i sig selv. Spørgsmålet er, om der er en ejer, der jævnligt bekræfter, at de skal blive.
Kan I se, hvad der skete?
Microsoft oplyser, at revisionslogning af postkasser er slået til som standard i alle organisationer og dækker blandt andet almindelige og delte postkasser. Loggen registrerer handlinger fra ejeren, fra personer med delegeret adgang og fra administratorer, herunder når regler i indbakken bliver oprettet eller ændret.
Det giver IT-afdelingen mulighed for at sammenholde testerens aktivitet med jeres egne spor. Kunne I se, at en regel blev oprettet? Hvem fik besked? Hvor længe gemmes oplysningerne? → Logning i Microsoft 365, Azure og AWS
Bliv ikke overrasket, hvis svaret er, at sporene fandtes, men at ingen så på dem. Det er et almindeligt resultat og et nyttigt et.
Rækkefølgen efter testen
Fund i Exchange Online kan være hurtige at rette teknisk, men de rører ved folks daglige arbejde. En fornuftig rækkefølge er:
- Undersøg det mistænkelige · videresendelser og regler, ingen kan forklare, behandles som en mulig hændelse, før noget slettes.
- Bloker login på delte postkasser · det påvirker ikke de medarbejdere, der bruger postkassen gennem deres egen konto.
- Vælg indstillingen for videresendelse · efter en kort runde, hvor I finder de aftaler, der skal undtages.
- Gennemgå rettigheder til andres post · sammen med lederne for de afdelinger, der bruger dem.
Læg punkterne i opgavesystemet med en ejer hver. Rettigheder til postkasser er et godt emne for en fast, tilbagevendende gennemgang med navngivne ejere. → Oprydning efter testen
Det, testen skal have med
- En almindelig medarbejderkonto med postkasse · så testeren kan se, hvad en bruger kan stille ind.
- Liste over delte postkasser · med formål og ejer, hvis I har den.
- Kendte videresendelser · aftaler, hvor post bevidst sendes til en ekstern modtager.
- Overblik over lokale servere · hvis I stadig har en lokal Exchange-server i et hybridmiljø. → Lokal Exchange-server
Det skal I lade være med
- At slå videresendelse fra uden at se, hvem der bruger den. Vigtige aftaler kan stoppe uden varsel.
- At lade en delt postkasse have åbent login, fordi det er praktisk. Det er en konto uden ejer og uden tofaktor.
- At fjerne fuld adgang uden at spørge den, der bruger den. Sekretariatet kan stå uden adgang til en kalender.
- At afvise en mistænkelig regel som en fejl. Undersøg den, før den slettes.
- At glemme konti fra tidligere leverandører. De kan have bred adgang til postkasser.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke indstillinger og rettigheder der fandtes i Exchange Online på testtidspunktet, og hvad testkontiene kunne gøre med dem. Den kan pege på regler og videresendelser, der ser mistænkelige ud, men den kan ikke afgøre, om en bestemt konto har været misbrugt tidligere. Det kræver en undersøgelse af logs. Testen siger heller ikke noget om modtagernes postsystemer.
Tjekliste til Exchange Online
- ☐ Er videresendelse ud af huset valgt eksplicit til eller fra?
- ☐ Er eksisterende videresendelser gennemgået?
- ☐ Er login blokeret på alle delte postkasser?
- ☐ Har hver delt postkasse en ejer?
- ☐ Er fuld adgang og send som gennemgået?
- ☐ Ved I, hvor længe revisionsloggen gemmes?
Kilder
- Microsoft Learn: Control external email forwarding: to former for automatisk videresendelse, risikoen ved videresendelse, standardværdien og anbefalingen om at vælge eksplicit.
- Microsoft Learn: About shared mailboxes: delt postkasse har en tilknyttet konto med systemlavet adgangskode, login skal blokeres og forblive blokeret.
- Microsoft Learn: Manage mailbox auditing: revisionslogning af postkasser er slået til som standard, dækker delte postkasser og registrerer blandt andet ændringer af regler i indbakken.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Ekstern deling i SharePoint, OneDrive og Teams · SPF, DKIM og DMARC i rapporten
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
