Legacy authenticatie in Log Analytics

Oude aanmeldprotocollen zoals POP, IMAP of SMTP AUTH met een gewoon wachtwoord kennen geen MFA. Aanvallers proberen er daarom graag wachtwoorden op uit. Voor je legacy authenticatie blokkeert, wil je weten wie het nog gebruikt. Met de aanmeldlogboeken in Microsoft Entra ID en een Log Analytics-werkruimte krijg je dat helder in beeld.

Bijgewerkt op 20 oktober 2026. Azure AD heet nu Microsoft Entra ID en Microsoft heeft basisverificatie in Exchange Online grotendeels uitgeschakeld. Legacy aanmeldingen opsporen blijft nuttig, maar het doel is nu ze volledig te blokkeren met voorwaardelijke toegang.

Snel kijken zonder Log Analytics

Wil je alleen even kijken? Ga in het Microsoft Entra-beheercentrum naar Entra ID > Bewaking en status > Aanmeldingslogboeken. Voeg het filter Client-app toe en selecteer alle opties onder Verouderde verificatieclients. Je ziet dan de aanmeldingen van de laatste dagen. Voor een langere periode en grafieken heb je Log Analytics nodig.

1. Een Log Analytics-werkruimte maken

  1. Ga naar portal.azure.com en zoek Log Analytics-werkruimten.
  2. Klik op Maken.
  3. Kies je abonnement en een (nieuwe) resourcegroep.
  4. Geef de werkruimte een naam en kies een regio, bijvoorbeeld West Europe.
  5. Klik op Controleren en maken > Maken.

Log Analytics rekent af per hoeveelheid ingelezen data en bewaartermijn. Bekijk de actuele prijzen op de Azure-website en stel een bewaartermijn in die bij je noden past.

Een Log Analytics-werkruimte maken in Azure
Naam, abonnement en regio van de werkruimte kiezen

2. Aanmeldlogboeken doorsturen

  1. Ga in het Entra-beheercentrum naar Entra ID > Bewaking en status > Diagnostische instellingen.
  2. Klik op Diagnostische instelling toevoegen en geef ze een naam.
  3. Vink minstens AuditLogs, SignInLogs en NonInteractiveUserSignInLogs aan.
  4. Kies Verzenden naar Log Analytics-werkruimte en selecteer je werkruimte.
  5. Klik op Opslaan.

Je hebt hiervoor een Microsoft Entra ID P1- of P2-licentie nodig. Na een tijdje komen de eerste gegevens binnen.

Diagnostische instellingen voor aanmeldlogboeken

3. De werkmap voor legacy authenticatie openen

Ga naar Entra ID > Bewaking en status > Werkmappen en open Sign-ins using Legacy Authentication. Je ziet per protocol, gebruiker en app hoeveel legacy aanmeldingen er zijn.

Werkmap met aanmeldingen via legacy authenticatie

4. Zelf zoeken met KQL

Wil je het precies weten? Open je werkruimte, kies Logboeken en voer deze query uit:

SigninLogs
| where TimeGenerated > ago(30d)
| where ClientAppUsed !in ("Browser", "Mobile Apps and Desktop clients")
| summarize Aanmeldingen = count() by UserPrincipalName, ClientAppUsed, AppDisplayName
| order by Aanmeldingen desc
Resultaten van een query in Log Analytics

5. Legacy authenticatie blokkeren

deel op LinkedIn ☕ buy me a coffee

Meer over Azure Active Directory

▸Security defaults in Microsoft Entra ID: wat ze doen en hoe je ze inschakeltWat doen security defaults in Microsoft Entra ID (vroeger Azure AD)? MFA voor iedereen, verouderde… ▸Basisverificatie in Exchange Online is definitief uitgeschakeldBasisverificatie in Exchange Online werkt niet meer. Lees wat er stopte, hoe je oude aanmeldingen opspoort en… ▸Microsoft Entra ID P1 in Microsoft 365 Business Premium: wat krijg je?Wat Entra ID P1 in Business Premium oplevert: voorwaardelijke toegang, dynamische groepen, SSPR met… ▸Riskante aanmeldingen en gebruikers opsporen met Microsoft Entra ID ProtectionBekijk riskante aanmeldingen, riskante gebruikers en risicodetecties in Entra ID Protection, en reageer… ▸Doe je eigen Microsoft 365 security assessment in 5 stappenBreng je beveiligingsrisico's in kaart met Secure Score, Defender for Identity, Defender for Cloud Apps…