18 oktober 2024 09:33

Microsoft verliest plots weken aan beveiligingslogs van klanten

Beveiligingslogs spelen een kritieke rol in de beveiliging van onlinediensten, door IT-beheerders te informeren over ongewenste activiteiten. Een bug in de logsystemen van Microsoft zorgde er echter voor dat het de logs bijna één maand lang niet opsloeg.

Microsoft informeerde klanten begin oktober voor het eerst over het beveiligingsincident. Toen werd bekend dat een deel van de beveiligingslogs tussen 2 en 19 september niet beschikbaar was. Het ging dus niet om alle logs in die periode. Bovendien trof de bug ‘slechts’ een deel van de klanten die de logging hadden geactiveerd. Dat maakt de bug echter niet minder ernstig: de beveiligingslogs brengen klanten namelijk op de hoogte van verdacht verkeer, gedrag en aanmeldpogingen op een netwerk.

Het ontbreken van zulke logs kan ertoe leiden dat klanten simpelweg niet op de hoogte zijn van beveiligingsincidenten. Veel IT-beheerders vertrouwen op de logs om verdachte activiteiten te herkennen en op te lossen. Zo gebeurde dat onlangs bijvoorbeeld bij Fortinet, dat dankzij de logging van IT-systemen een hacker kon buitensluiten. Dit is slechts één van de vele voorbeelden.

Opgelost vanaf 3 oktober

Een vroege Post Incident Review (PIR) wees begin oktober uit dat het probleem voor sommige klanten nog tot 3 oktober aanhield. Meer specifiek betrof het gebruikers van de Microsoft Entra-logindiensten. Hoewel de logging voor Entra vanaf 19 september beschikbaar was via Azure Portal, Microsoft Entra Admin Portal en de Microsoft Graph-API’s, duurde het nog tot 3 oktober voordat de Entra-beveiligingslogs in Azure Monitor waren hersteld.

Naast Microsoft Entra werden ook Azure Logic Apps, Azure Healthcare-API’s, Microsoft Sentinel, Azure Monitor, Azure Trusted Signing, Azure Virtual Desktop en Power Platform getroffen door de bug. De softwaregigant benadrukt dat de lijst mogelijk onvolledig is en nog kan worden aangevuld in het definitieve incidentrapport.

Ongerelateerde bug

Microsoft verklaarde dat de bug ontstond na het oplossen van een andere, ongerelateerde bug. Het oplossen van dat probleem leidde ertoe dat de bug in het logcollectiesysteem opdook en het uploaden van logs verhinderde. Hoewel Microsoft geen logs had geregistreerd, werden de logs wel aangemaakt; het was echter niet mogelijk om ze op te slaan.

Dat de bug in eerste instantie niet werd gedetecteerd, kwam volgens Microsoft doordat het enkele dagen duurde voordat deze zich in de productiesoftware manifesteerde. Hierdoor werd de bug niet opgemerkt in de testfase. Ook was er een probleem met de monitoring van de eigen systemen, waardoor de bug pas na enkele dagen werd gesignaleerd. Microsoft zegt te werken aan oplossingen om dit in de toekomst sneller op te sporen.

Het is niet bekendgemaakt of het ontbreken van logging tot extra beveiligingsincidenten heeft geleid. BleepingComputer meldde dat minstens twee bedrijven geen meldingen hadden ontvangen door het ontbreken van de beveiligingslogs.