• Type: CUSTOMER
• Severity:  WARNING
• Bescherming tegen: MISCONFIGURATION
• FIX Beschikbaar: JA

Deze Customer Check controleert of gebruikers een beveiligingsprobleem in Teams kunnen melden. Wanneer deze functie is ingeschakeld, kunnen eindgebruikers verdachte berichten, bestanden of links rechtstreeks vanuit Teams rapporteren aan Microsoft en aan beveiligingsbeheerders binnen de organisatie.

Waarom deze check?

Gebruikers zijn vaak de eerste die verdachte activiteiten in Teams opmerken, zoals phishing berichten, malware bijlagen of ongebruikelijke verzoeken van collega's. Door gebruikers een eenvoudige manier te geven om deze beveiligingsproblemen te melden, creëert u een menselijke defensielinie die complementair is aan geautomatiseerde beveiligingsmaatregelen.

De "Report a Security Concern" functie voegt een meldknop toe aan Teams berichten. Wanneer een gebruiker hierop klikt, wordt de melding naar Microsoft gestuurd voor analyse en kan deze ook naar uw beveiligingsteam worden doorgestuurd. Dit helpt bij het snel identificeren van phishing campagnes, gecompromitteerde accounts of nieuwe aanvalstechnieken die nog niet door geautomatiseerde filters worden herkend.

Zonder deze functie zijn gebruikers afhankelijk van e-mail of andere kanalen om beveiligingsproblemen te melden, wat drempelverhogend werkt en tot vertraging leidt. Dit betekent dat potentiële aanvallen langer onopgemerkt blijven en zich kunnen verspreiden binnen de organisatie. Het is daarom belangrijk dat deze meldmogelijkheid direct beschikbaar is binnen Teams.

Welke mogelijke uitkomsten heeft de check?

Deze check heeft twee mogelijke uitkomsten. In Attic komt dit als volgt tot uiting:

• Okay: Gebruikers kunnen een beveiligingsprobleem in Teams melden (AllowSecurityEndUserReporting is ingeschakeld)
• Warning: Gebruikers kunnen GEEN beveiligingsprobleem in Teams melden, actie van de klant is vereist

Hoe moet dit worden opgevolgd?

Indien de output Warning is, adviseren wij om de beveiligingsmeldfunctie voor Teams in te schakelen. Dit stelt gebruikers in staat om verdachte berichten en bestanden te rapporteren aan uw beveiligingsteam.

Voor deze check is een Fix beschikbaar, deze zullen wij via Attic aanbieden. De fix schakelt de AllowSecurityEndUserReporting in voor Teams.

Handmatige Instructie

Voer deze stappen uit om de instelling handmatig aan te passen:

1. Open PowerShell en maak verbinding met Teams via de Teams PowerShell module met het commando: Connect-MicrosoftTeams
2. Controleer de huidige instelling met het commando: Get-CsTeamsMessagingPolicy -Identity Global | Select-Object AllowSecurityEndUserReporting
3. Schakel de beveiligingsmeldfunctie in met het commando: Set-CsTeamsMessagingPolicy -Identity Global -AllowSecurityEndUserReporting $true
4. Verifieer de wijziging door stap 2 opnieuw uit te voeren. De waarde van AllowSecurityEndUserReporting moet nu "True" zijn

Integratie met Microsoft Defender Portal

Belangrijk: Deze check controleert alleen de Teams configuratie. Om de gemelde berichten daadwerkelijk te ontvangen in het Microsoft Defender portal, moet u ook de volgende extra configuratie uitvoeren:

1. Ga naar het Microsoft Defender portal (https://security.microsoft.com)
2. Navigeer naar Settings > Email & collaboration > User reported settings
3. Schakel Microsoft Teams in onder de sectie "Monitor reported messages in Microsoft Teams"
4. Configureer waar de meldingen naartoe moeten worden gestuurd (Microsoft, custom mailbox, of beide)

Zonder deze Defender portal configuratie is de Teams meldknop wel zichtbaar voor gebruikers, maar worden de meldingen niet verwerkt door uw beveiligingsteam.

Meer informatie

1. User reported message settings in Teams
2. Set-CsTeamsMessagingPolicy PowerShell documentation
3. Configure user reported settings