L1 BIO 16.01 ISO A.5.24 CIS 2.1.23

Microsoft Defender For Cloud: Aanvullende E-mailadressen Configureren Voor Beveiligingswaarschuwingen

📅 2025-10-29
•
⏱️ 10 minuten lezen
•
🔴 Must-Have

💼 Management Samenvatting

Het Configureerren van aanvullende e-mailadressen in Microsoft Defender voor Cloud zorgt ervoor dat kritieke security alerts en aanbevelingen naar meerdere recipients worden verzonden. Dit voorkomt dat belangrijke beveiligingsmeldingen onopgemerkt blijven wanneer de primaire contactpersoon niet beschikbaar is en garandeert adequate incidentrespons en escalatie.

Aanbeveling
IMPLEMENTEER VERPLICHT
Risico zonder
Medium
Risk Score
6/10
Implementatie
2u (tech: 0.5u)
Van toepassing op:
✓ Azure
✓ Microsoft Defender voor Cloud

Security alerts die slechts naar één persoon worden gestuurd, vormen een ernstig risico in de incidentrespons keten. Tijdens vakantie, ziekte, personeelswisselingen of bij werkoverlast kunnen kritieke beveiligingsmeldingen ongelezen blijven, wat kan leiden tot vertraagde detectie van beveiligingsincidenten en grotere schade. Door meerdere e-mailadressen te Configureerren, ontstaat redundantie in het notificatieproces en kunnen verschillende stakeholders (beveiligingsteam, SOC, incidentrespons team, management) gelijktijdig worden geïnformeerd. Dit verkort de responstijd aanzienlijk en voldoet aan naleving vereisten voor incident melding zoals gesteld in NIS2, BIO en ISO 27001.

PowerShell Modules Vereist
Primary API: Azure API
Connection: Connect-AzAccount
Required Modules: Az.Accounts, Az.Security

Implementatie

Deze beveiligingsmaatregel Configureerert aanvullende e-mailadressen voor Microsoft Defender voor Cloud security notificaties op subscription niveau. De configuratie omvat het instellen van minimaal 2-3 e-mailadressen voor verschillende rollen: security team members, SOC operators, incidentrespons team leden en optioneel management. Alle geConfigureererde adressen ontvangen automatisch waarschuwingen met hoge ernst, security recommendations, compliance status updates en kwetsbaarheidsbeoordelings. Best practice is het gebruik van zowel distribution lists of shared mailboxes (voor teamcontinuïteit) als individuele accounts (voor directe verantwoordelijkheid). De notificaties kunnen worden geConfigureererd voor verschillende ernstniveaus en kunnen filtering bevatten op basis van resourcetype, subscription of waarschuwingstype.

Vereisten

Voor het Configureerren van aanvullende e-mailadressen in Microsoft Defender voor Cloud zijn de volgende voorwaarden vereist:

  1. Azure subscription met Owner, Contributor of Security Admin rechten
  2. PowerShell 5.1 of hoger voor automatische configuratie
  3. Az PowerShell modules: Az.Accounts (minimaal versie 2.0), Az.Security (minimaal versie 1.0)
  4. Toegang tot Azure Portal voor handmatige configuratie en validatie
  5. Gevalideerde en actieve e-mailadressen voor security notificaties (minimaal 2-3 adressen)
  6. Mailbox capaciteit en routing geConfigureererd voor het ontvangen van Azure alerts
  7. Optioneel: Distribution lists of shared mailboxes voor team notificaties
  8. Microsoft Defender voor Cloud Schakel ind op de subscription (gratis of betaalde tier)

monitoring

Gebruik PowerShell-script aanvullend-email-adressen-configured.ps1 (functie Invoke-Monitoring) – PowerShell script voor compliance checking van de aanvullend email adressen configuratie. Het script controleert alle Azure subscriptions binnen de tenant en rapporteert per subscription het aantal geConfigureererde email contacten, de status van alert notificaties en of admins worden genotificeerd..

Het monitoring script maakt gebruik van Get-AzSecurityContact om de huidige configuratie op te halen en te valideren. Het script controleert of er e-mailadressen zijn geConfigureererd, of AlertNotifications is ingeschakeld (On) en of AlertsToAdmins is geactiveerd. De output toont per subscription het aantal geConfigureererde contacten en een compliance status (compliant/non-compliant). Het script kan worden geïntegreerd in geautomatiseerde compliance dashboards en rapportage workflows. Voor continue monitoring kan het script worden ingepland via Azure Automation runbooks of als scheduled task.

Remediatie

Gebruik PowerShell-script additional-email-addresses-configured.ps1 (functie Invoke-Remediation) – Herstellen.

Het remediation script gebruikt Set-AzSecurityContact om e-mailadressen te Configureerren met AlertNotifications op 'On' en AlertsToAdmins op 'On'. Gebruik de parameter -Emails gevolgd door een comma-separated list van e-mailadressen. Voorbeeld: ./aanvullend-email-adressen-configured.ps1 -Remediation -Emails 'security@organisatie.nl','soc@organisatie.nl','incidents@organisatie.nl'. Het script valideert eerst of de mailbox adressen een correct formaat hebben voordat deze worden geConfigureererd. Na configuratie wordt automatisch een test notification verzonden om de werking te verifiëren. Voor meerdere subscriptions kan het script worden uitgevoerd in een loop of via Azure Policy remediation tasks.

Handmatige configuratie kan via Azure Portal: Ga naar Microsoft Defender voor Cloud → Environment Settings → klik op de subscription → Email notificaties → vul onder 'aanvullend email adressen' de gewenste adressen in (gescheiden door semicolons) → zet 'alle gebruikers met De volgende roles' op Owner, Contributor en Security Admin → klik Save. Test de configuratie door via 'Send test email' een testmail te versturen naar alle geConfigureererde adressen.

Implementeeratie Stappenplan

Volg deze stappen voor een succesvolle Implementeeratie van aanvullende e-mailadressen:

  1. STAP 1: Bepaal welke rollen en personen security alerts moeten ontvangen (Security Team, SOC, incidentrespons, Management)
  2. STAP 2: Creëer indien nodig shared mailboxes of distribution lists voor team notificaties (bijv. security-alerts@organisatie.nl)
  3. STAP 3: Valideer dat alle e-mailadressen actief zijn en correct worden gerouteerd
  4. STAP 4: Test de mailbox capaciteit en filter settings om te voorkomen dat alerts in spam terechtkomen
  5. STAP 5: Voer het remediation script uit met de -WhatIf parameter om te zien wat er zou worden geConfigureererd
  6. STAP 6: Voer het remediation script uit zonder -WhatIf om de configuratie toe te passen
  7. STAP 7: Verstuur een test notification via Azure Portal of het script om de configuratie te verifiëren
  8. STAP 8: Controleer dat alle geConfigureererde adressen de test notification hebben ontvangen
  9. STAP 9: Documenteer de geConfigureererde e-mailadressen en bijbehorende verantwoordelijkheden
  10. STAP 10: Plan periodieke reviews (minimaal jaarlijks) om de geldigheid van e-mailadressen te controleren

Compliance en Framework Mapping

Deze beveiligingsmaatregel helpt bij het voldoen aan de volgende compliance frameworks en security standards:

  1. CIS Azure Foundations Benchmark v3.0.0 - regelen 2.1.23: Zorg ervoor dat 'aanvullend email adressen' is Configureerd met een security contact email (Level 1)
  2. BIO (Baseline Informatiebeveiliging Overheid) - Thema 16.01: Verantwoordelijkheden en procedures voor informatiebeveiligingsincidentenbeheer, waaronder contactprocedures en escalatiepaden
  3. ISO 27001:2022 - A.5.24: Information beveiligingsincidentbeheer planning en preparation - Inclusief contact informatie voor incidentrespons
  4. ISO 27001:2022 - A.5.25: beoordeling en decision op information security events - Procedures voor evaluatie en escalatie
  5. ISO 27001:2022 - A.5.26: Response to information beveiligingsincidenten - Effectieve response door adequate notificatie
  6. NIS2 Directive - Artikel 23: Reporting obligations - Vereisten voor incident notification contacts en escalatieprocedures binnen gestelde termijnen
  7. AVG/GDPR - Artikel 33: Notification of een persoonsgegevenslek to de supervisory authority - Contact procedures voor datalekken
  8. NIST Cybersecurity Framework - DE.AE (detectie Processes): Anomalieën en events worden gedetecteerd en impact wordt begrepen

Compliance & Frameworks

Risico zonder implementatie

Risico zonder implementatie
Medium: Zonder meerdere email-adressen geconfigureerd voor Microsoft Defender for Cloud security alerts ontstaat single point of failure in security notification-processen wat kritieke incident response delays veroorzaakt. Security alerts blijven onopgemerkt bij afwezigheid van de primaire contactpersoon door vakantie, ziekte, verloop of tijdzone-verschillen, wat betekent dat critical security incidents zoals ransomware attacks, SQL injection, brute force successes, of data exfiltration attempts uren of dagen ongedetecteerd blijven terwijl aanvallers vrijelijk opereren - elke uur vertraging in incident detection verhoogt gemiddelde breach costs met €15.000 volgens IBM. Email delivery failures naar single recipient door mailbox quota, spam filters, of email server issues resulteren in complete alert loss zonder backup notification channels - Microsoft Defender kan NIET garanderen 100 procent email delivery reliability. Team continuity ontbreekt waarbij security knowledge concentrated is bij één persoon en diens afwezigheid complete security blindness creëert - vacation periods zijn high-risk windows voor attackers. Escalation delays ontstaan omdat alleen één persoon alerts ontvangt en deze moet doorsturen naar appropriate responders in plaats van parallel notification van entire security team. NIS2 compliance-violations zijn onvermijdelijk: Artikel 23 vereist incident notification binnen 24 uur (early warning) en 72 uur (formal notification) - single contact point creëert onacceptable risk voor missed deadlines wat leidt tot regulatory fines tot €10 miljoen of 2 procent annual turnover. ISO 27001 A.5.24-26 incident management controls vereisen adequate contact procedures met redundancy - single email is insufficient. BIO 16.01 incident management voor overheidsorganisaties mandateert multiple contact points voor 24/7 security coverage. Business continuity planning faalt omdat security notification niet resilient is tegen individual unavailability. Het risico is hoog voor alle Azure-omgevingen met productie-workloads, kritiek voor 24/7 services die immediate incident response vereisen, en compliance-mandatory voor NIS2-scope organisaties en overheidsinstanties onder BIO.

Management Samenvatting

Additional Email Addresses configuratie voor Microsoft Defender for Cloud implementeert redundante security notification channels door minimaal 2-3 email-adressen te configureren die ALLE Defender security alerts ontvangen, wat single point of failure elimineert en team-based incident response enabled. Best practices: Minimaal 3 email recipients: Security team lead (primary), Security team member 2 (backup), Security team member 3 (tertiary backup tijdens vacations). Gebruik shared mailboxes/distribution lists voor team coverage: security-alerts@company.com (distribution list naar hele security team voor parallel awareness), soc-team@company.com (SOC team indien dedicated security operations center), it-management@company.com (IT leadership voor high-severity alerts). Include verschillende tijdzones indien global operations voor 24/7 coverage. Email types die worden verstuurd: High-severity security alerts (ransomware, SQL injection, brute force successes) - immediate action required, Medium-severity alerts (suspicious activities, policy violations) - investigate within 24 uur, Security recommendations (misconfigurations, compliance gaps) - remediate within SLA, Weekly/monthly summary reports (security posture trends). Configuratie: Azure Portal → Microsoft Defender for Cloud → Environment settings → Email notifications → Additional email addresses (comma-separated), Configure severity thresholds (High alleen vs All severities - aanbevolen All voor comprehensive awareness). Test notification delivery: Trigger test alert en verify alle configured emails ontvangen notification binnen 5 minuten. Deze maatregel is verplicht voor ALLE Azure productie-subscriptions, mandatory voor NIS2 Artikel 23 compliance (incident notification deadlines), vereist voor ISO 27001 A.5.24-26 en BIO 16.01, en essential voor business continuity van security operations. Implementatie-effort: 30 minuten technical (email configuration, testing), 1-2 uur organizational (identificeren appropriate contacts, verkrijgen email addresses, documenteren escalation procedures). Geen Azure-kosten - pure configuration. Return on investment komt van: prevented incident response delays (gemiddeld €15K/uur cost reduction), compliance met NIS2 notification deadlines (avoid €10M fines), team-based security awareness in plaats van individual dependency, en business continuity voor security operations tijdens personnel changes/absences.