Werden IP Adressen von OWA Anmeldungen dokumentiert ?

[Lukikum 8]

Hi zusammen,

 

ich versuche gerade herauszufinden, wo und ob man überprüfen kann, wer sich von welcher IP über OWA anmeldet. Grund dafür sind ein paar geklaute Mails und ich würde gerne herausfinden, ob die bei uns oder unseren Dienstpartnern geklaut wurden. Für weitere Vorschläge als Logs durchstöbern wäre ich sehr dankbar.

Vielen Dank und LG
Lukas

[chrismue 99]

Hi,

 

lokaler Exchange oder ExO ?

 

Gruß

chrismue

[Lukikum 8]

vor 27 Minuten schrieb chrismue:

Hi,

 

lokaler Exchange oder ExO ?

 

Gruß

chrismue

Hi Chrismue,

ist Exchange 2019 on prem.

LG
Lukas

[NorbertFe 2.066]

vor 44 Minuten schrieb Lukikum:

wer sich von welcher IP über OWA anmeldet. Grund dafür sind ein paar geklaute Mails und ich würde gerne herausfinden, ob die bei uns oder unseren Dienstpartnern geklaut wurden. Für weitere Vorschläge als Logs durchstöbern wäre ich sehr dankbar.

Ja, aber Logs durchstöbern wirst du halt müssen. Der Exchange loggt standardmässig in die iis logs, da solltest du also jede Menge finden. Ansonsten gibts natürlich noch die Exchange Logs für die jeweiligen Dienste, auch die wirst du ggf. durchflöhen müssen.

[Nobbyaushb 1.479]

Moin,

kommt ja auch drauf an, ob der Exchange überhaupt von extern erreichbar ist

Wenn wie bei uns ein Reverse-Proxy davor ist, siehst du nur die Adresse von diesem in den Logs

Aus diversen Gründen wurde bei meinem letzten AG OWA vollständig disabled, auch intern

 

Zu Fake-Mails die scheinbar auf einen vorhande Antworten gibt es hier diverse Threads

 

My 2 Cents

bearbeitet 15. Dezember 2022 von Nobbyaushb

[Lukikum 8]

vor 16 Stunden schrieb Nobbyaushb:

Moin,

kommt ja auch drauf an, ob der Exchange überhaupt von extern erreichbar ist

Wenn wie bei uns ein Reverse-Proxy davor ist, siehst du nur die Adresse von diesem in den Logs

Aus diversen Gründen wurde bei meinem letzten AG OWA vollständig disabled, auch intern

 

Zu Fake-Mails die scheinbar auf einen vorhande Antworten gibt es hier diverse Threads

 

My 2 Cents

Hallo Nobby,

bei uns ist auch ein Reverse-Proxy davor. Das einzig nützliche was ich mir dann wohl anschauen kann, ist die Urhzeit des Logins und der Client der benutzt wurde..

Danke für die Info, ich schau mal was ich hier im Forum noch dazu finde.

LG

[NorbertFe 2.066]

vor 16 Stunden schrieb Nobbyaushb:

Wenn wie bei uns ein Reverse-Proxy davor ist, siehst du nur die Adresse von diesem in den Logs

 

Nicht unbedingt, je nach Konfiguration kann man das ja wieder mit einfügen lassen als Forwarded.

[Nobbyaushb 1.479]

vor 8 Minuten schrieb NorbertFe:

Nicht unbedingt, je nach Konfiguration kann man das ja wieder mit einfügen lassen als Forwarded.

Stimmt, kommt auf die Konfig an - bei mir/uns eben nicht