Lekt het wachtwoord van een gebruiker uit, of ziet Microsoft een aanmelding die niet klopt? Dan wil je niet wachten tot de helpdesk het merkt. Met Microsoft Entra ID Protection laat je de gebruiker bij een verhoogd risico meteen een nieuw wachtwoord kiezen. Zo dicht je het lek zonder dat IT moet tussenkomen.
Hoe werkt het?
Microsoft analyseert elke aanmelding en vergelijkt die met signalen uit zijn eigen beveiligingsdiensten. Komt een wachtwoord voor in een gelekte lijst, of gedraagt een account zich verdacht, dan krijgt de gebruiker een gebruikersrisico (laag, gemiddeld of hoog).
Met een beleid voor voorwaardelijke toegang bepaal je wat er dan gebeurt. De beste aanpak: de gebruiker meldt zich aan met MFA en moet daarna een veilige wachtwoordwijziging doen. Het risico verdwijnt dan automatisch.
Wat heb je nodig?
- Licentie: risicogebaseerde voorwaardelijke toegang vraagt Microsoft Entra ID P2. Die zit onder meer in Microsoft 365 E5. Met Microsoft 365 Business Premium of E3 heb je P1; daar is een P2-add-on voor nodig.
- MFA en SSPR: gebruikers moeten geregistreerd zijn voor MFA en selfservice-wachtwoordherstel. Zonder registratie kan de gebruiker zijn wachtwoord niet zelf wijzigen en blijft hij geblokkeerd.
- Hybride accounts: synchroniseer je vanuit Active Directory, zet dan password writeback aan, zodat het nieuwe wachtwoord ook on-premises geldt.
Het beleid instellen
- Ga naar het Microsoft Entra-beheercentrum (entra.microsoft.com).
- Kies Entra ID > Voorwaardelijke toegang > Beleid > Nieuw beleid. Je kan ook vertrekken van de sjabloon voor gebruikersrisico.
- Bij Gebruikers: kies Alle gebruikers en sluit je noodaccounts (break-glass) uit.
- Bij Doelresources: kies Alle resources.
- Bij Voorwaarden > Gebruikersrisico: zet het op Hoog. Wil je strenger zijn, voeg dan ook Gemiddeld toe.
- Bij Verlenen: kies Toegang verlenen, vink Verificatiesterkte vereisen (MFA) en Wachtwoordwijziging vereisen aan en kies Alle geselecteerde besturingselementen vereisen.
- Bij Sessie: zet de aanmeldingsfrequentie op Elke keer.
- Start met Alleen rapporteren. Kijk een week mee wie geraakt wordt en zet het beleid daarna Aan.
Ook aanmeldrisico afdekken
Naast gebruikersrisico bestaat er aanmeldrisico: één verdachte aanmelding, bijvoorbeeld vanaf een onbekend IP-adres. Maak daar een tweede beleid voor dat bij gemiddeld of hoog risico MFA vraagt. Samen vangen beide beleidsregels het meeste misbruik op.
Opvolgen
Bekijk de rapporten Riskante gebruikers en Riskante aanmeldingen onder ID Protection. Daar zie je wie een wachtwoord moest wijzigen en of een risico nog openstaat. Je kan een gebruiker er ook manueel als veilig of gecompromitteerd markeren.