Delen via

Wat zijn risicodetecties?

Microsoft Entra ID Protection kan een breed scala aan risicodetecties bieden die kunnen worden gebruikt om verdachte activiteiten in uw organisatie te identificeren. De tabellen in dit artikel bevatten een overzicht van de lijst met aanmeldings- en gebruikersrisicodetecties, inclusief de licentievereisten of als de detectie in realtime of offline plaatsvindt. Meer informatie over elke risicodetectie vindt u in de tabellen.

  • Voor volledige informatie over de meeste risicodetecties is Microsoft Entra ID P2 vereist.
    • Klanten zonder Microsoft Entra ID P2-licenties ontvangen detecties met de titel Extra risico gedetecteerd zonder details van de risicodetectie.
    • Zie de licentievereisten voor meer informatie.
  • Zie Workloadidentiteitsrisicodetecties beveiligen voor informatie over de detectie van workloadrisico's.

Note

Zie Risicodetectietypen en -niveaus voor meer informatie over realtime- versus offlinedetectieniveaus.

Aanmeldingsrisicodetecties die zijn toegewezen aan riskEventType

Selecteer een risicodetectie in de lijst om de beschrijving van de risicodetectie, hoe deze werkt en de licentievereisten weer te geven. In de tabel geeft Premium aan dat voor de detectie ten minste een Microsoft Entra ID P2-licentie is vereist. Nonpremium geeft aan dat de detectie beschikbaar is met Microsoft Entra ID Free. De riskEventType kolom geeft de waarde aan die wordt weergegeven in Microsoft Graph API-query's.

Detectie van aanmeldingsrisico's Detectietype Type riskEventType
Activiteit van anoniem IP-adres Offline Premium riskyIPAddress
Extra risico gedetecteerd (aanmelding) Realtime of offline Nonpremium generiek^
Beheerder heeft bevestigd dat de gebruiker is gecompromitteerd Offline Nonpremium adminConfirmedUserCompromised
Afwijkende token (aanmelding) Realtime of offline Premium anomalousToken
Anoniem IP-adres Real-time Nonpremium anonymizedIPAddress
Atypisch reizen Offline Premium unlikelyTravel
Onmogelijke reis Offline Premium mcasImpossibleTravel
Schadelijk IP-adres Offline Premium maliciousIPAddress
Massatoegang tot gevoelige bestanden Offline Premium mcasFinSuspiciousFileAccess
Bedreigingsinformatie van Microsoft Entra (aanmelden) Realtime of offline Nonpremium investigationsThreatIntelligence
Nieuw land Offline Premium newCountry
Wachtwoordspray Realtime of offline Premium passwordSpray
Verdachte browser Offline Premium suspiciousBrowser
Suspicious inbox forwarding ( Offline Premium suspiciousInboxForwarding
Verdachte manipulatieregels voor de inbox Offline Premium mcasSuspiciousInboxManipulationRules
Tokenuitgeverafwijking Offline Premium tokenIssuerAnomaly
Onbekende aanmeldingseigenschappen Real-time Premium unfamiliarFeatures
Ip-adres van geverifieerde bedreigingsacteur Real-time Premium nationStateIP

^ Het riskEventType voor detectie van extra risico's is algemeen voor tenants met Microsoft Entra ID Free of Microsoft Entra ID P1. Er is iets riskant gedetecteerd, maar de details zijn niet beschikbaar zonder een Microsoft Entra ID P2-licentie.

Detecties van gebruikersrisico's die zijn toegewezen aan riskEventType

Selecteer een risicodetectie in de lijst om de beschrijving van de risicodetectie, hoe deze werkt en de licentievereisten weer te geven.

Detectie van gebruikersrisico's Detectietype Type riskEventType
Extra risico gedetecteerd (gebruiker) Realtime of offline Nonpremium generiek^
Afwijkend Token (gebruiker) Realtime of offline Premium anomalousToken
Afwijkende gebruikersactiviteit Offline Premium anomalousUserActivity
Aanvaller in het midden Offline Premium attackerinTheMiddle
Gelekte inloggegevens Offline Nonpremium leakedCredentials
Bedreigingsinformatie van Microsoft Entra (gebruiker) Realtime of offline Nonpremium investigationsThreatIntelligence
Mogelijke poging om toegang te krijgen tot het primaire verversingstoken (PRT) Offline Premium attemptedPrtAccess
Verdachte API-verkeer Offline Premium suspiciousAPITraffic
Verdachte verzendpatronen Offline Premium suspiciousSendingPatterns
Gebruiker heeft verdachte activiteiten gerapporteerd Offline Premium userReportedSuspiciousActivity

^ Het riskEventType voor detectie van extra risico's is algemeen voor tenants met Microsoft Entra ID Free of Microsoft Entra ID P1. Er is iets riskant gedetecteerd, maar de details zijn niet beschikbaar zonder een Microsoft Entra ID P2-licentie.

Detectie van aanmeldingsrisico's

Activiteit vanaf anoniem IP-adres

Deze detectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Cloud Apps. Deze detectie identificeert dat gebruikers actief waren vanaf een IP-adres dat is geïdentificeerd als een anoniem proxy-IP-adres.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Extra risico gedetecteerd (aanmelding)

Deze detectie geeft aan dat een van de Premium-detecties is geactiveerd. Omdat Premium-detecties alleen zichtbaar zijn voor Microsoft Entra ID P2-klanten, worden ze gelabeld als Extra risico gedetecteerd voor gebruikers zonder Microsoft Entra ID P2-licenties.

  • Berekend in realtime of offline
  • Licentievereiste: Microsoft Entra ID Free of Microsoft Entra ID P1

Door beheerder bevestigd misbruik van gebruiker

Deze detectie geeft aan dat een beheerder gecompromitteerde gebruiker bevestigen heeft geselecteerd in de gebruikersinterface van riskante gebruikers of via de riskante gebruikers-API. Als u wilt zien welke beheerder deze gebruiker heeft bevestigd dat deze gebruiker is gecompromitteerd, controleert u de risicogeschiedenis van de gebruiker (via de gebruikersinterface of API).

  • Offline berekend
  • Licentievereiste: Microsoft Entra ID Free of Microsoft Entra ID P1

Afwijkend token (aanmelding)

Deze detectie geeft abnormale kenmerken in het token aan, zoals een ongebruikelijke levensduur of een token dat wordt afgespeeld vanaf een onbekende locatie. Deze detectie omvat sessietokens en vernieuwingstokens. Als de locatie, toepassing, IP-adres, gebruikersagent of andere kenmerken onverwacht zijn voor de gebruiker, moet de beheerder dit risico beschouwen als een indicator van mogelijke tokenherplay.

Afwijkend token werd historisch afgestemd op meer ruis dan andere detecties. Recente verbeteringen in de detectie hebben de ruis verminderd; Er is echter nog steeds een hogere dan normale kans dat sommige sessies die door deze detectie worden gemarkeerd, fout-positieven zijn op lage en gemiddelde risiconiveaus.

Anoniem IP-adres

Dit type risicodetectie wijst op aanmeldingen vanaf een anoniem IP-adres (bijvoorbeeld Tor-browser of anonieme VPN). Deze IP-adressen worden doorgaans gebruikt door actoren die hun aanmeldingsgegevens (IP-adres, locatie, apparaat, enzovoort) willen verbergen voor mogelijk schadelijke bedoelingen.

  • In realtime berekend
  • Licentievereiste: Microsoft Entra ID Free of Microsoft Entra ID P1

Atypical travel

Dit type risicodetectie identificeert twee aanmeldingen die afkomstig zijn van geografisch verre locaties, waarbij ten minste één van de locaties ook atypisch kan zijn voor de gebruiker, gezien het eerdere gedrag. Het algoritme houdt rekening met meerdere factoren, waaronder de tijd tussen de twee aanmeldingen en de tijd die de gebruiker nodig heeft om van de eerste locatie naar de tweede te reizen. Dit risico kan erop wijzen dat een andere gebruiker dezelfde referenties gebruikt.

Het algoritme negeert overduidelijke "fout-positieven" die bijdragen aan onmogelijke reisvoorwaarden, zoals VPN's en locaties die regelmatig door andere gebruikers in de organisatie worden gebruikt. Het systeem heeft een aanvankelijke leerperiode van de eerste 14 dagen of 10 aanmeldingen, waarbij dat systeem aanmeldingsgedrag van een nieuwe gebruiker leert.

Impossible travel

Deze detectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Cloud Apps. Deze detectie identificeert gebruikersactiviteiten (in één of meerdere sessies) die afkomstig zijn van geografisch verre locaties binnen een periode die korter is dan de tijd die nodig is om van de eerste locatie naar de tweede te reizen. Dit risico kan erop wijzen dat een andere gebruiker dezelfde referenties gebruikt.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Schadelijk IP-adres

Deze detectie geeft de indicatie dat u zich aanmeldt vanaf een schadelijk IP-adres. Een IP-adres wordt als schadelijk beschouwd op basis van hoge foutpercentages vanwege ongeldige aanmeldingsgegevens die zijn ontvangen van het IP-adres of andere IP-reputatiebronnen. In sommige gevallen wordt deze detectie als reactie op eerdere schadelijke activiteiten geactiveerd.

Massatoegang tot gevoelige bestanden

Deze detectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Cloud Apps. Deze detectie kijkt naar uw omgeving en activeert waarschuwingen wanneer gebruikers toegang hebben tot meerdere bestanden vanuit Microsoft Office SharePoint Online of Microsoft OneDrive. Een waarschuwing wordt alleen geactiveerd als het aantal geopende bestanden ongebruikelijk is voor de gebruiker en de bestanden mogelijk gevoelige informatie bevatten.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Bedreigingsinformatie van Microsoft Entra (aanmelden)

Bedreigingsinformatie van Microsoft Entra geeft aan dat gebruikersactiviteit ongebruikelijk is voor de gebruiker of consistent is met bekende aanvalspatronen. Deze detectie is gebaseerd op de interne en externe bedreigingsinformatiebronnen van Microsoft. Deze detecties worden weergegeven als 'Bedreigingsinformatie van Microsoft Entra' in logboeken en id-beveiligingsrapporten.

New country

Deze detectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Cloud Apps. Deze detectie bekijkt eerdere activiteitlocaties om nieuwe en niet-frequente locaties vast te stellen. De engine voor de detectie van afwijkingen slaat informatie op over eerdere locaties die worden gebruikt door gebruikers in de organisatie.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Password spray

Een wachtwoordspray-aanval is waarbij meerdere identiteiten worden aangevallen met behulp van algemene wachtwoorden op een uniforme brute force-manier. De risicodetectie wordt geactiveerd wanneer het wachtwoord van een account geldig is en zich heeft geprobeerd aan te melden. Deze detectie geeft aan dat het wachtwoord van de gebruiker correct is geïdentificeerd via een wachtwoordspray-aanval, niet dat de aanvaller toegang heeft tot alle resources.

Verdachte browser

Verdachte browserdetectie geeft afwijkend gedrag aan op basis van verdachte aanmeldingsactiviteit voor meerdere tenants uit verschillende landen/regio's in dezelfde browser.

Verdachte doorstuuractiviteit voor Postvak IN

Deze detectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Cloud Apps. Met die detectie wordt gezocht naar regels voor het doorsturen van verdachte e-mail, bijvoorbeeld wanneer een gebruiker een regel voor het postvak IN heeft gemaakt die een kopie van alle e-mails doorstuurt naar een extern adres.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Verdachte bewerkingsregels voor het Postvak IN

Deze detectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Cloud Apps. Deze detectie kijkt naar uw omgeving en activeert waarschuwingen wanneer verdachte regels voor het verwijderen of verplaatsen van berichten of mappen zijn ingesteld op het Postvak IN van een gebruiker. Deze detectie kan erop wijzen: het account van een gebruiker is aangetast, berichten worden opzettelijk verborgen en het postvak wordt gebruikt om spam of malware in uw organisatie te distribueren.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Anomalie van tokenuitgever

Deze risicodetectie geeft aan dat de verlener van het SAML-token voor het bijbehorende SAML-token mogelijk is gecompromitteerd. De claims die in het token zijn opgenomen, zijn ongebruikelijk of ze komen overeen met bekende aanvallerpatronen.

Onbekende inloggegevens

Dit type risicodetectie beschouwt de geschiedenis van eerdere aanmeldingen om te zoeken naar afwijkende aanmeldingen. Het systeem slaat informatie op over eerdere aanmeldingen en activeert een risicodetectie wanneer er een aanmelding plaatsvindt met eigenschappen die onbekend zijn voor de gebruiker. Deze eigenschappen kunnen IP-, ASN-, locatie-, apparaat-, browser- en tenant-IP-subnet omvatten. Nieuw gemaakte gebruikers bevinden zich in een 'leermodus'-periode waarbij de risicodetectie van onbekende aanmeldingseigenschappen is uitgeschakeld terwijl onze algoritmen het gedrag van de gebruiker leren kennen. De duur van de leermodus is dynamisch en hangt af de tijd die het algoritme nodig heeft om voldoende informatie te verzamelen over de aanmeldingspatronen van de gebruiker. De minimale duur is vijf dagen. Een gebruiker kan teruggaan naar de leermodus na een lange periode van inactiviteit.

Deze detectie wordt ook uitgevoerd voor basisverificatie (of verouderde protocollen). Omdat deze protocollen geen moderne eigenschappen hebben, zoals een client ID, zijn er maar beperkte gegevens beschikbaar om het aantal false positives te verminderen. Wij raden onze klanten aan om over te stappen op moderne verificatie.

Onbekende aanmeldingseigenschappen kunnen bij zowel interactieve als niet-interactieve aanmeldingen worden gedetecteerd. Als deze detectie wordt gedetecteerd bij niet-interactieve aanmeldingen, verdient deze meer controle vanwege het risico op aanvallen door opnieuw afspelen van tokens.

Als u onbekende aanmeldingseigenschappen selecteert, kunt u meer details zien die toelichten waarom dit risico is geactiveerd.

  • In realtime berekend
  • Licentievereiste: Microsoft Entra ID P2

Ip-adres van geverifieerde bedreigingsacteur

In realtime berekend. Dit type risicodetectie geeft aanmeldingsactiviteiten aan die consistent zijn met bekende IP-adressen die zijn gekoppeld aan nationale staatsactoren of cybercriminaliteitsgroepen, op basis van gegevens van het Microsoft Threat Intelligence Center (MSTIC).

  • In realtime berekend
  • Licentievereiste: Microsoft Entra ID P2

Detectie van gebruikersrisico's

Extra risico gedetecteerd (gebruiker)

Deze detectie wijst erop dat een van de Premium-detecties is gedetecteerd. Omdat de Premium-detecties alleen zichtbaar zijn voor Microsoft Entra ID P2-klanten, hebben ze de titel Extra risico gedetecteerd voor klanten zonder Microsoft Entra ID P2-licenties.

  • Berekend in realtime of offline
  • Licentievereiste: Microsoft Entra ID Free of Microsoft Entra ID P1

Afwijkend token (gebruiker)

Deze detectie geeft abnormale kenmerken in het token aan, zoals een ongebruikelijke levensduur of een token dat wordt afgespeeld vanaf een onbekende locatie. Deze detectie omvat sessietokens en vernieuwingstokens. Als de locatie, toepassing, IP-adres, gebruikersagent of andere kenmerken onverwacht zijn voor de gebruiker, moet de beheerder dit risico beschouwen als een indicator van mogelijke tokenherplay.

Afwijkend token werd historisch afgestemd op meer ruis dan andere detecties. Recente verbeteringen in de detectie hebben de ruis verminderd; Er is echter nog steeds een hogere dan normale kans dat sommige sessies die door deze detectie worden gemarkeerd, fout-positieven zijn op lage en gemiddelde risiconiveaus.

Afwijkende gebruikersactiviteit

Deze risicodetectiebaselines normaliseren het gedrag van gebruikers met beheerdersrechten in Microsoft Entra ID, en detecteren afwijkende gedragspatronen zoals verdachte wijzigingen in de directory. De detectie wordt geactiveerd voor de beheerder die de wijziging aanbrengt of het object dat is gewijzigd.

  • Offline berekend
  • Licentievereiste: Microsoft Entra ID P2

Aanvaller in het midden

Deze hoge precisiedetectie wordt ook wel adversary in het midden genoemd wanneer een verificatiesessie is gekoppeld aan een schadelijke omgekeerde proxy. In dit soort aanvallen kan de aanvaller de inloggegevens van de gebruiker onderscheppen, inclusief tokens die aan de gebruiker zijn uitgegeven. Het Microsoft Security Research-team maakt gebruik van Microsoft Defender voor Cloud Apps om het geïdentificeerde risico vast te leggen en de gebruiker te verhogen naar hoog risico. Wij raden beheerders aan de gebruiker handmatig na te gaan wanneer deze detectie wordt geactiveerd om het risico uit te sluiten. Het verminderen van dit risico kan vereisen dat wachtwoorden veilig worden opnieuw ingesteld of dat bestaande sessies worden ingetrokken.

  • Offline berekend
  • Licentievereiste:
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Leaked credentials

Dit type risicodetectie geeft aan dat de geldige referenties van de gebruiker zijn gelekt. Wanneer cybercriminelen inbreuk maken op geldige wachtwoorden van legitieme gebruikers, delen ze vaak deze verzamelde referenties. Dit delen wordt doorgaans gedaan door het openbaar plaatsen op het dark web, op plaksites, of door het ruilen en verkopen van de referenties op de zwarte markt. Wanneer de Microsoft-service voor gelekte referenties gebruikersreferenties verkrijgt van het dark web, plaksites of andere bronnen, worden ze gecontroleerd op de huidige geldige referenties van Microsoft Entra-gebruikers om geldige overeenkomsten te vinden. Zie veelgestelde vragen voor meer informatie over gelekte referenties.

Bedreigingsinformatie van Microsoft Entra (gebruiker)

Dit type risicodetectie geeft gebruikersactiviteit aan die ongebruikelijk is voor de gebruiker of consistent is met bekende aanvalspatronen. Deze detectie is gebaseerd op de interne en externe bedreigingsinformatiebronnen van Microsoft.

Mogelijke poging om toegang te krijgen tot de Primaire Vernieuwingstoken (PRT)

Dit type risicodetectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Eindpunt (MDE). Een primair vernieuwingstoken (PRT) is een belangrijk artefact van Microsoft Entra-verificatie op Windows 10-, Windows Server 2016- en latere versies, iOS- en Android-apparaten. Een PRT is een JSON Web Token (JWT) dat is uitgegeven aan Microsoft first party token brokers om eenmalige aanmelding (SSO) in te schakelen voor de toepassingen die op deze apparaten worden gebruikt. Aanvallers kunnen proberen om toegang te krijgen tot deze resource om zich lateraal naar een organisatie te verplaatsen of diefstal van referenties uit te voeren. Gebruikers worden met deze detectie verplaatst naar een hoog risico. Detecties worden alleen geactiveerd in organisaties die MDE implementeren. Deze detectie houdt een hoog risico in en we raden u aan om onmiddellijk maatregelen te nemen voor deze gebruikers. Het komt vanwege het lage volume zelden voor in de meeste organisaties.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Verdacht API-verkeer

Deze risicodetectie wordt gerapporteerd wanneer abnormaal GraphAPI-verkeer of directory-inventarisatie wordt waargenomen. Verdacht API-verkeer kan suggereren dat een gebruiker wordt aangetast en reconnaissance uitvoert in de omgeving.

  • Offline berekend
  • Licentievereiste: Microsoft Entra ID P2

Verdachte verzendpatronen

Dit type risicodetectie wordt gedetecteerd met behulp van informatie van Microsoft Defender voor Office 365 (MDO). Deze waarschuwing wordt gegenereerd wanneer iemand in uw organisatie verdachte e-mail heeft verzonden en het risico loopt om beperkt te worden in het verzenden van e-mail, of wanneer het verzenden van e-mail al beperkt is. Met deze detectie worden gebruikers naar een gemiddeld risico verplaatst en de detectie wordt alleen geactiveerd in organisaties die MDO implementeren. Deze detectie is laag in aantal en wordt in de meeste organisaties zelden gezien.

  • Offline berekend
  • Licentievereiste:
    • Microsoft Entra ID P2 en een zelfstandige licentie voor Microsoft Defender voor Cloud Apps
    • Microsoft 365 E5 met Enterprise Mobility + Security E5

Gebruiker heeft verdachte activiteiten gerapporteerd

Deze risicodetectie wordt gerapporteerd wanneer een gebruiker een meervoudige verificatieprompt (MFA) weigert en rapporteert als verdachte activiteit. Een MFA-prompt die niet door een gebruiker wordt geïnitieerd, kan betekenen dat hun referenties zijn aangetast. Deze detectie werkt alleen als de functie Verdachte activiteiten rapporteren is ingeschakeld. Zie Microsoft Entra MFA-instellingen configureren voor meer informatie.

  • Offline berekend
  • Licentievereiste: Microsoft Entra ID P2
  • Last updated on