Der Waldmeister

Einblicke in (Security)-Themen ausm tiefen Wald

Exchange Online: Quarantäne leeren von geblockten Absendern

Von

Am 2. Februar 2026

In Exchange Online, Powershell

Im Rahmen der Nutzung von Exchange Online wird man irgendwann feststellen, dass E-Mails, deren Absender bereits in der Tenant-Blockliste gesperrt sind, nicht gelöscht werden, sondern weiterhin angenommen werden. Diese landen in der E-Mail-Quarantäne von Exchange Online, allerdings ist der Filter so gesetzt, dass man diese nicht sieht. Das hat für die Übersicht einen großen Vorteil, allerdings wird die gesamte Quarantäne-Ansicht sehr ausgebremst, weil sich der komplette Spam dort noch befindet.

Um hier Abhilfe zu schaffen, lohnt es sich daher die Quarantäne komplett zu leeren von allen bereits geblockten Mails. Dies geschieht wie folgt:

# 1. Verbindung zu Exchange Online herstellen (falls noch nicht geschehen)
# Connect-ExchangeOnline

Write-Host "Lade blockierte Absender aus der Tenant Block List..." -ForegroundColor Cyan

# 2. Blockierte Absender (E-Mails und Domains) abrufen
$blockedEntries = Get-TenantAllowBlockListItems -ListType Sender | Where-Object { $_.Action -eq "Block" }

if ($null -eq $blockedEntries) {
    Write-Host "Keine blockierten Absender in der Liste gefunden." -ForegroundColor Yellow
    return
}

Write-Host "Gefundene Block-Einträge: $($blockedEntries.Count)" -ForegroundColor Gray

# 3. Durch die blockierten Einträge iterieren und zugehörige Quarantäne-Mails löschen
foreach ($entry in $blockedEntries) {
    $senderValue = $entry.Value
    
    # Suche nach Mails in der Quarantäne von diesem Absender
    $quarantineMsgs = Get-QuarantineMessage -SenderAddress $senderValue -ErrorAction SilentlyContinue

    if ($quarantineMsgs) {
        Write-Host "Lösche $($quarantineMsgs.Count) Nachricht(en) von: $senderValue" -ForegroundColor Orange
        
        # 4. Nachrichten endgültig löschen
        $quarantineMsgs | ForEach-Object {
            Delete-QuarantineMessage -Identity $_.Identity -Confirm:$false
        }
    }
}

Write-Host "Vorgang abgeschlossen." -ForegroundColor Green

Entfernen aller AD-Gruppenzugehörigkeiten bis auf „Domain Users“

Von

Am 6. Januar 2026

In Powershell

Oftmals werden bei Offboarding-Prozessen die Nutzer lediglich deaktiviert (vorübergehend), bevor sie endgültig gelöscht werden. Aus Sicherheitsgründen bietet es sich daher an, alle AD-Gruppenzugehörigkeiten in einem Rutsch zu entfernen. Dazu kann folgendes Script dienen:

# Name des betroffenen Benutzers
$sAMAccountName = "user-xyz"

# Importiere das AD-Modul (falls nicht bereits geladen)
Import-Module ActiveDirectory

try {
    # Hole den Benutzer und seine Gruppen (DistinguishedNames)
    $user = Get-ADUser -Identity $sAMAccountName -Properties MemberOf
    
    # Filtere die Gruppen: Wir ignorieren die "Domain Users" Gruppe automatisch,
    # da diese als 'PrimaryGroup' im AD anders gehandhabt wird und nicht im Attribut 'MemberOf' steht.
    $groups = $user.MemberOf

    if ($groups) {
        #Write-Host "Entferne $($groups.Count) Gruppen von Benutzer $sAMAccountName..." -ForegroundColor Cyan
        
        # Entferne den Benutzer aus allen gefundenen Gruppen
        # -Confirm:$false unterdrückt die Bestätigungsaufforderung für jede einzelne Gruppe
        Remove-ADPrincipalGroupMembership -Identity $sAMAccountName -MemberOf $groups -Confirm:$false
        
        #Write-Host "Erfolgreich: Alle Gruppen außer 'Domänen-Benutzer' wurden entfernt." -ForegroundColor Green
    } else {
        #Write-Host "Der Benutzer ist bereits in keiner weiteren Gruppe außer 'Domänen-Benutzer'." -ForegroundColor Yellow
    }
} catch {
    #Write-Error "Fehler beim Bearbeiten des Benutzers $sAMAccountName: $($_.Exception.Message)"
}

CPU Auslastung prüfen und alarmieren

Von

Am 15. April 2025

In Powershell

Mittels PowerShell kann man automatisiert die CPU überwachen und sich dazu alarmieren lassen, wie folgt:


# Überwachen der CPU-Auslastung und Benachrichtigung senden
$cpuThreshold = 80
while ($true) {
    $cpuLoad = Get-WmiObject win32_processor | Measure-Object -property LoadPercentage -Average | Select -ExpandProperty Average
    if ($cpuLoad -gt $cpuThreshold) {
        [System.Windows.Forms.MessageBox]::Show("CPU-Auslastung ist über $cpuThreshold%: $cpuLoad%")
    }
    Start-Sleep -Seconds 60
}

Der Parameter „cpuThreshold“ gibt das Limit für die CPU an, ab der alarmiert werden soll.

Der Parameter „Start-Sleep“ ermöglicht die Festlegung des Prüfintervalls (60 Sekunden „schlafenlegen“ hier).

Die Alarmierung erfolgt mittels Popup auf dem jeweiligen System.

Automatisch Screenshots machen (alle 60 Sekunden)

Von

Am 15. April 2025

In Powershell, Tipps

Wenn man einen Screenshot machen will von seinem Bildschirm, so ist das mittels PowerShell komfortabel möglich, wie folgt:


Add-Type -AssemblyName System.Drawing

function Take-Screenshot {
    $screenWidth = [System.Windows.Forms.SystemInformation]::PrimaryMonitorSize.Width
    $screenHeight = [System.Windows.Forms.SystemInformation]::PrimaryMonitorSize.Height
    $bitmap = New-Object System.Drawing.Bitmap $screenWidth, $screenHeight
    $graphics = [System.Drawing.Graphics]::FromImage($bitmap)
    $graphics.CopyFromScreen(0, 0, 0, 0, $bitmap.Size)
    $timestamp = Get-Date -Format "yyyyMMdd_HHmmss"
    $filePath = "C:\Screenshots\Screenshot_$timestamp.png"
    $bitmap.Save($filePath, [System.Drawing.Imaging.ImageFormat]::Png)
    $graphics.Dispose()
    $bitmap.Dispose()
    return $filePath
}

# Erstellen des Screenshots-Ordners, falls nicht vorhanden
if (-not (Test-Path "C:\Screenshots")) {
    New-Item -ItemType Directory -Path "C:\Screenshots"
}

# Screenshots in regelmäßigen Abständen machen
while ($true) {
    Take-Screenshot
    Start-Sleep -Seconds 60
}

Wenn man einen festen Ordner eintragen will, so kann man sich die Funktion zur Prüfung auf den Ordner sparen.

Mittels „Start-Sleep“ und dem Parameter „Seconds“ lässt sich das Intervall festlegen. Wenn es nur einmalig passieren soll, so würde folgender Code reichen:

Add-Type -AssemblyName System.Drawing

$screenWidth = [System.Windows.Forms.SystemInformation]::PrimaryMonitorSize.Width
    $screenHeight = [System.Windows.Forms.SystemInformation]::PrimaryMonitorSize.Height
    $bitmap = New-Object System.Drawing.Bitmap $screenWidth, $screenHeight
    $graphics = [System.Drawing.Graphics]::FromImage($bitmap)
    $graphics.CopyFromScreen(0, 0, 0, 0, $bitmap.Size)
    $timestamp = Get-Date -Format "yyyyMMdd_HHmmss"
    $filePath = "C:\Screenshots\Screenshot_$timestamp.png"
    $bitmap.Save($filePath, [System.Drawing.Imaging.ImageFormat]::Png)
    $graphics.Dispose()
    $bitmap.Dispose()
    return $filePath

Sicherer Austausch von Passwörtern

Von

Am 2. Februar 2025

In Sonstiges, Tipps

Wie tauscht man auf sicherem Wege die Passwörter aus? Das Thema ist vermutlich älter als die Geschichte und Bau der Pyramiden. Aber ehrlicherweise muss man zugeben, dass es oft nur sehr komplexe Lösungen gibt, um das sicher gewährleisten zu können. Vor allem wenn es um komplexe Passwörter geht.

Wir nähern uns mal vorsichtig dem Thema.

Man verschlüsselt Informationen und nutzt dazu symmetrische Verfahren, so dass die Verschlüsselung und Entschlüsselung mit dem gleichen Passwort erfolgt.

Sicherlich kann man auch Verfahren wie RSA (asymmetrisch) nutzen, aber Tante Berta von nebenan wird damit nicht usability-technisch abgeholt werden.

Somit braucht man dann „nur“ noch den Austausch des geheimen Schlüssels vorzunehmen, auch neudeutsch Passwort genannt. Hier gibt es dann die typischen Verfahren wie „erste Mail das verschlüsselte Element, zweite Mail den Schlüssel“. Natürlich ist das maximal unsicher, da die gleichen Kanäle verwendet werden. Also macht man eine Teilung. Ein Kanal (Mail) das verschlüsselte Element, und auf dem zweiten Kanal dann den Schlüssel.

Und da wären wir auch schon. Nutzt man jetzt hier einen Messenger wie WhatsApp, Teams, SMS, etc., so ist es zwar ein zweiter Kanal, aber „wer schreibt, der bleibt“. Will heißen: bei einer Kompromittierung wäre auch der Messenger betroffen. Also wirkliche Sicherheit ist es somit nicht.

Nun könnte man ja Tools nehmen wie „Password Pusher“ (Link). Per „one link one click“ erhält man dann das Passwort nach dem Motto „burn after reading“. Ist zwar sicher, aber irgendwo nicht soo komfortabel. Denn man muss ja wiederum ein System vorhalten und das Passwort reinkopieren, Link erzeugen und dann wieder per Mail verschicken. Kostet Zeit und ist nicht fehlerfrei. Zudem weiss man ja nicht, ob die hinterlegten Geheimnisse nicht doch persistent in den jeweiligen Systemen vorgehalten werden (ob nun Bug oder Absicht). Vertrauen spielt hier also eine entscheidende Rolle. Sei es hinsichtlich einem korrekten Quelltext (Hallo „XYZ-Lücke“) oder einem Missetäter, der Systeme manipuliert hat.

Bleibt also nur das persönliche Gespräch per Telefon (von mir aus auch Teams oder WhatsApp). Um jetzt aber hier nicht das Passwort buchstabieren zu müssen (Krise!), vor allem bei langen und komplexen Passwörtern, wäre es doch eine tolle Idee eine gemeinsame Plattform für so etwas zu haben. Sprich: beide Besucher sehen die gleiche Seite und wählen gemeinsam per Telefon das gleiche Passwort aus.

Und sowas gibt es hier: www.aegpe.de oder hier: www.agreeonpassword.com

Jede Stunde aktualisiert sich die Seite automatisch und man kann gemeinsam per Telefongespräch auf die Seite gehen und vereinbaren welches der 24 dort angezeigten Passwörter man verwendet.

Zusätzlich kann man auch einen sicheren Kanal mit Zutritts-Passwort vereinbaren, hinter dem sich dann Passwörter verbergen, die nur für 15 Minuten vorgehalten werden.

Da es keinerlei Registrierung bedarf, ist man anonym und kann so komfortabel sichere Passwörtern austauschen.

Benachrichtigung über neue Version von Google Chrome Enterprise

Von

Am 19. September 2024

In Sonstiges, Tipps

Auch wenn das Thema off-topic hier erscheint. Es gibt noch zahlreiche Nutzer, die bewusst die automatische Aktualisierung von Google Chrome (Enterprise) bewusst deaktiviert haben. Um beispielsweise mittels Test-Pilot-Gruppen die vorhandenen Applikationen, die den Chrome nutzen, auf mögliche Probleme zu testen.

Natürlich gibt es mittlerweile auch Google Chrome GPO Templates, um hier das Patchmanagement anzugehen. Um hier aber einfach nur herauszufinden, ob es eine neue Version gibt, um den Pilotgruppen eine neue Version zur Verfügung zu stellen, steht man dann recht schnell vor einem Problem.

Denn es gibt keinen RSS-Feed oder sonstige APIs, um ein Update mitzubekommen. Sicherlich findet man einen Feed wie diesen hier (Link). Aber im Fließtext automatisiert nach neuen Versionen zu scannen, macht keinen Spass.

Auch alle Fragen bei stackoverflow und Co. geben einem keinen Hinweis auf eine Möglichkeit (Beispiel , Beispiel)

Wer länger gräbt, kommt dann zu einer Seite, die genau diese Problem angeht und löst. Die jeweils aktuelle Version ist als Text-String abrufbar (wget, curl, etc.) in Verbindung mit einem kleinen Script könnte es also problemlos ermittelt werden, ob es eine neue Version gibt.

Schaut daher einfach selbst einmal rein unter: Google Chrome Enterprise New Version Notification

Folgende Optionen werden angeboten:

  • Aktuelle/Neueste Version als String: Latest
  • Letzte Version davor als String: Last
  • Alle Versionen als Historie abgebildet in Form eines JSON-Objektes: JSON

Windows – Suche in Dateien mit Ausgabe aller Treffer (mittels PowerShell)

Von

Am 28. August 2024

In Powershell, Tipps

Oft steht man vor dem Problem, dass man einen großen Logfile hat und nach einem Stichwort in der Datei suchen will. Bedient man sich des Windows Explorers und sucht mittels der Suchmaske, so ist die Ausgabe der Treffer nicht wirklich hilfreich. Hier hilft PowerShell ungemein. Man sucht in einer Datei nach einem Stichwort und erhält alle Treffer mit Zeilenangaben etc.

Und das geht wie folgt:

Select-String -Path .\datei.log -Pattern 'Stichwort' > Ausgabe.txt

Anstelle einer Datei kann man natürlich auch mit Wildcards arbeiten. Mit dem „>“ Zeichen wird die Ausgabe der Suche direkt in eine andere Datei „ge-pipt“.

Absender in Exchange Shared Mailbox blockieren mittels PowerShell

Von

Am 26. August 2024

In Exchange Online, Powershell

Wer regelmäßig mit dem Outlook Client arbeitet und eine Exchange Mailbox dabei eingebunden hat, wird irgendwann auch mal mit einer Besonderheit konfrontiert werden.

Denn wenn man eine weitere Mailbox einbindet (beispielsweise für einen Vorgesetzten, also die Berechtigung „send on behalf“, „Senden im Namen von“) erhält, so wird man sich wundern, dass man keine Junk-Mail Konfigurationen für diese Mailbox vornehmen kann/darf.

Will man also beispielsweise Absender blockieren, so kann man dies zwar im Outlook Client mittels GUI vornehmen, dies gilt jedoch immer nur für die eigene Mailbox. Eine Pflege von gesperrten Absendern für eine „verwaltete“ Mailbox geht nicht mehr über die GUI, sondern nur über zwei Wege: OWA (Outlook Web Exchange) oder PowerShell. Ich bevorzuge PowerShell. Und das geht dann recht komfortabel mit folgendem Befehl:

Connect-ExchangeOnline

Set-MailboxJunkEmailConfiguration "a.paradise@excample.com" -BlockedSendersAndDomains @{Add="spammer@bigpain.com"}

Natürlich kann man auch vertrauenswürdige Absender hinterlegen. Dazu tauscht man nur den Parameter aus, wie folgt:

Set-MailboxJunkEmailConfiguration "a.paradise@excample.com" -TrustedSendersAndDomains @{Add=“nopain.com“,“nice@nopain.com“}

Suche und Vergleich von AD-Gruppenzugehörigkeiten und Nicht-Zugehörigkeiten

Von

Am 25. Juli 2024

In Active Directory, Exchange Online, Powershell

Oftmals hangelt man sich durch AD-Gruppen, um herauszufinden ob Einträge dort enthalten sind. Dabei kommt man immer wieder an seine Grenzen, wenn es darum geht, die Zugehörigkeiten zu einer Active Directory Gruppe ausschließen. Also zu prüfen, ob jemand in einer Gruppe explizit nicht enthalten ist.

Hierzu kann man sich mittels Powershell auch Listen bedienen, die in Programmiersprachen dann als Arrays verfügbar sind. Hier ist das Stichwort „hashmap“.

Als erste Maßnahme sollte man sich mit dem jeweiligen AD verbinden, wenn es AzureAD, bzw. jetzt EntraID, heißt:

Connect-AzureAD

Dann sucht man sich die AD-Gruppen IDs raus, die man prüfen will, bzw. definiert sie:

$groupids = @("Gruppen ID 1", "Gruppen ID 2") 

Nun definiert man seine Hash Map:

$userht = @{}

Und ruft dann alle Benutzer ab und pipet das Ergebnis dann an eine foreach-Schleife, die alle IDs der Benutzer in die Hash Map kippt:

Get-AzureADUser -all $true | foreach-object {$userht.Add($_.ObjectId,$_)}

Mit dem Zwischenschritt eines Counts sieht man die gesamte Anzahl wie folgt:

$userht.count

Nun geht man die Gruppen IDs einzeln durch und holt sich alle Benutzer, die in diesen Gruppen enthalten sind, und löscht einzeln mittels foreach die Benutzer aus der Hash Map raus.

ForEach($id in  $groupids){ 

Get-AzureADGroupMember -all $true -ObjectId $id | foreach-object { $userht.Remove($_.ObjectId) }

}

$userht.count

$userht.values > C:\temp\export.csv

Ergebnis sind dann alle Benutzer aus der ursprünglichen Abfrage minus der Mitglieder in den Vergleichsgruppen. Übrig sind also alle Einträge, die nicht in den Vergleichsgruppen enthalten sind.

Freischaltung von authentifiziertem SMTP in Microsoft Exchange für einzelne Mailboxen

Von

Am 12. Juli 2024

In Exchange Online, Powershell

Wer auf Microsoft Exchange setzt, der nutzt in der Regel die Clients wie Outlook, um ein- und ausgehende Mails zu verarbeiten. Es gibt aber auch durchaus Dienste oder Anwendungen, die gerne Mails verschicken würden, aber nur die offenen Protokolle wie SMTP (Auth) sprechen. Dann steht man vor dem Dilemma, dass man das Protokoll freischalten will/muss, aber dies nicht für die gesamte Domäne/Tenant machen möchte.

Hier hilft die Möglichkeit das Protokoll auf Mailbox-Ebene zu setzen, denn das ist möglich. Aber: wer jetzt glaubt mit logischem Denken ins Exchange Admin Center Portal zu navigieren und dort die Option zu finden, der wird erstaunt sein, denn dort gibt es diese Option nicht:

Hier muss man in das Admin Center von Microsoft 365 direkt gehen (Bereich Active Users), dort findet sich die gleiche Möglichkeit zur Einstellung, allerdings diesmal mit der zusätzlichen Option „Authenticated SMTP“:

Seite 1 von 6

Nächster

Präsentiert von WordPress & Theme erstellt von Anders Norén