Credential theft in Microsoft 365-omgevingen detecteren en aanpakken

Steeds meer organisaties en bedrijven vertrouwen op cloudplatforms om productief te werken. Cloudgebruik is inmiddels wijdverbreid en daarmee neemt ook het aantal cyberaanvallers toe dat deze platforms op de korrel neemt. Zij doen dat via credential theft. Een gebruikersaccount in Microsoft 365 dat door credential theft gecompromitteerd raakt, kan leiden tot ongeautoriseerde mailboxtoegang, het wegsluizen van gevoelige SharePoint- en OneDrive-gegevens, business email compromise (BEC) en zelfs tot privilege escalation binnen de organisatie.

Gelukkig biedt Microsoft 365 verschillende ingebouwde tools waarmee managed service providers (MSP’s) of systeembeheerders credential theft kunnen bestrijden. Die tools – aanmeldingslogboeken, audittrails en Conditional Access-beleid – helpen om tekenen van compromittering te herkennen en in real time op dreigingen te reageren. In deze gids nemen we u mee langs de strategieën om credential theft in Microsoft 365-omgevingen te detecteren en erop te reageren.

Wilt u meer details over dit onderwerp? Bekijk onze video “Credential theft in Microsoft 365-omgevingen detecteren en aanpakken”.

Taak	Doel
Stap 1: schakel audit logging en aanmeldingsnotificaties in	Zorgt ervoor dat kritieke gebruikers- en beheeractiviteit wordt vastgelegd en notificaties kan genereren
Stap 2: spoor verdachte activiteit op in de aanmeldingslogboeken	Identificeert mogelijk gecompromitteerde accounts op basis van riskante aanmeldpatronen
Stap 3: onderzoek verdachte mailboxactiviteit	Brengt accountmisbruik in kaart, zoals doorstuurregels of ongebruikelijke toegang
Stap 4: isoleer en reset getroffen accounts	Beperkt de inbreuk door sessies in te trekken en referenties te resetten
Stap 5: scherp uw access policies aan	Voorkomt toekomstige credential theft met strengere toegangscontroles
Stap 6: bewaak herhaling en automatiseer de respons	Detecteert terugkerende dreigingen en automatiseert herstel via tools en scripts

Vereisten voor de aanpak van credential theft in Microsoft 365-omgevingen

Controleer voordat u met de aanpak van credential theft aan de slag gaat of uw omgeving aan de volgende voorwaarden voldoet:

• Microsoft 365-tenant met Azure AD Premium P1 of hoger
• Microsoft Defender for Cloud Apps of Microsoft Entra ID Protection (aanbevolen)
• Audit logging en Unified Audit Log (UAL) ingeschakeld
• Beheerdersaccount met de rol Globale beheerder of Beveiligingsbeheerder
• PowerShell-toegang met de modules Microsoft Graph of Exchange Online
• (Optioneel) SIEM-integratie voor centraal beheer van notificaties

Stap 1: schakel audit logging en aanmeldingsnotificaties in

📌 Use case:

Deze stap zorgt ervoor dat de activiteitenlogboeken van kritieke gebruikers en beheerders worden vastgelegd en notificaties kunnen genereren.

Audit logging inschakelen:

1. Ga naar het Microsoft 365 Compliancecentrum.
2. Ga naar Audit > Audit Search.
3. Is audit logging nog niet ingeschakeld, klik dan op Gebruikers- en beheerdersactiviteit opnemen.

Azure AD-aanmeldingslogboeken controleren

1. Ga naar Azure AD > Bewaking > Aanmeldingen.
2. Gebruik filters om het volgende te herkennen:
   • Riskante aanmeldingen
   • Onbekende locaties
   • Gebruik van verouderde authenticatie

Met deze filters komen gebeurtenissen boven water zoals aanmeldingen vanaf ongebruikelijke IP-adressen of applicaties die verouderde protocollen gebruiken.

Stap 2: spoor verdachte activiteit op in de aanmeldingslogboeken

📌 Use case:

In deze stap analyseert u de aanmeldingslogboeken om afwijkende handelingen te herkennen die op credential theft kunnen wijzen.

Let op de volgende alarmsignalen:

• Impossible travel: een goed voorbeeld is aanmeldactiviteit vanuit New York en Singapore binnen een paar minuten.
• Meerdere mislukte aanmeldpogingen: dit lijkt misschien een onschuldig geval van een vergeten wachtwoord, maar het kan ook duiden op een brute-force-aanval.
• Gebruik van verouderde protocollen: oudere protocollen zoals IMAP of POP ondersteunen geen moderne authenticatie of MFA en vormen daarom een veelgebruikte toegangspoort voor aanvallers.
• Aanmeldingen via de browser: aanmeldingen vanaf verdachte IP-adressen kunnen wijzen op een ongeautoriseerde poging met gestolen referenties.

Gebruik PowerShell om de aanmeldingslogboeken op te vragen en te onderzoeken. Voer de volgende commando’s uit:

• Voor Microsoft Graph:

Connect-MgGraph -Scopes "AuditLog.Read.All"
Get-MgAuditLogSignIn -Top 50 | Where-Object
{$_.RiskLevelAggregated -ne "none"}

• Voor de AzureAD-module:

Connect-AzureAD
Get-AzureADAuditSignInLogs | Where-Object
{$_.Status.ErrorCode -ne 0}

Met deze query’s kunt u fijnmaziger filteren en scripts uitvoeren over meerdere tenants, wat handig is voor MSP’s.

Stap 3: onderzoek verdachte mailboxactiviteit

📌 Use case:

Deze stap gebruikt u om accountmisbruik te traceren, zoals doorstuurregels of ongebruikelijke toegang. Threat actors maken vaak doorstuurregels aan om ongemerkt gegevens weg te sluizen.

1. Open PowerShell als beheerder. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en kies Als administrator uitvoeren.
2. Voer het volgende commando uit:

• • Audittrails doorzoeken met PowerShell:

Connect-ExchangeOnline
Search-MailboxAuditLog -Mailboxes [email protected] -
ShowDetails -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date)

• • Controleren op kwaadaardige inboxregels:

Get-InboxRule -Mailbox [email protected] | Where-Object
{$_.RedirectTo -ne $null -or $_.ForwardTo -ne $null}

Stap 4: isoleer en reset getroffen accounts

📌 Use case:

Deze stap pakt bevestigde credential theft met spoed aan door sessies in te trekken en referenties te resetten.

1. Open PowerShell als beheerder. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en kies Als administrator uitvoeren.
2. Voer de volgende commando’s uit:

• • Sessies intrekken:

Revoke-AzureADUserAllRefreshToken -ObjectId <UserObjectId>

• • Een wachtwoordreset afdwingen:

Set-AzureADUserPassword -ObjectId <UserObjectId> –
Password "NewTempPassword123!"
-ForceChangePasswordNextLogin $true

• • Aanmelden tijdelijk blokkeren:

Set-MsolUser -UserPrincipalName
[email protected] -BlockCredential $true

Stap 5: scherp uw access policies aan

📌 Use case:

Zet deze stap om herhaling van de aanval te voorkomen door de toegangscontroles aan te scherpen met middelen zoals Group Policy Objects (GPO’s), Azure Conditional Access en registerwijzigingen.

Aanbevelingen voor GPO’s:

• Handhaaf een sterk wachtwoordbeleid via:
  Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Wachtwoordbeleid
• Schakel ondersteuning in voor smartcards of multifactorauthenticatie (MFA).
• Handhaaf wachtwoordgeschiedenis en zorg dat het wachtwoord voldoet aan de complexiteitsvereisten.

Conditional Access-beleid in Azure AD:

• Vereis MFA voor alle gebruikers.
• Blokkeer verouderde authenticatie.
• Handhaaf toegangsbeperkingen op basis van locatie.

Stap 6: bewaak herhaling en automatiseer de respons

📌 Use case:

Dit is een extra stap om herhaling van credential theft te voorkomen door notificaties en automatisering in te stellen met middelen zoals Group Policy Objects (GPO’s), Azure Conditional Access en registerwijzigingen.

Te gebruiken tools:

• Notificaties van Microsoft Defender for Identity of Cloud App Security
• Schakel notificaties voor e-maildoorsturen in het Exchange-beheercentrum in.

Gebeurtenissen bewaken met PowerShell:

1. Open PowerShell als beheerder. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en kies Als administrator uitvoeren.
2. Voer het volgende commando uit:

Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4625 -or $_.Id -eq 4624}

Met dit commando detecteert u mislukte en geslaagde aanmeldingen op lokale machines of servers.

Integratie met SIEM of RMM:

Beheert u meerdere tenants, overweeg dan een integratie met een SIEM-tool of het gebruik van een RMM-platform zoals NinjaOne om detectie en notificaties te stroomlijnen.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Oplossingen
MFA wordt omzeild	Gebruikers kunnen zich zonder MFA aanmelden, waardoor accounts kwetsbaar blijven voor credential theft.	Controleer of verouderde authenticatie nog is ingeschakeld en blokkeer die via Conditional Access-beleid.
Herhaalde credential theft	Wijst erop dat gecompromitteerde wachtwoorden opnieuw worden gebruikt, waardoor meerdere accounts risico lopen.	Handhaaf een strenger wachtwoordbeleid en schakel self-service password reset (SSPR) in om herstel en hygiëne te verbeteren.
Gebruikers buitengesloten	Gebruikers kunnen ten onrechte worden geblokkeerd, wat verstoring en mogelijke beveiligingsgaten veroorzaakt.	Controleer de configuratie van het Conditional Access-beleid en zorg dat er break-glass-accounts zijn gedefinieerd voor noodgevallen.
Audittrails tonen geen activiteit	Zonder zicht op gebruikersacties verloopt het onderzoek naar en de respons op incidenten moeizaam.	Schakel de Unified Audit Log en mailboxauditing zo nodig handmatig in via het Compliancecentrum en PowerShell.

Aanvullende overwegingen bij de respons op credential theft

Om het risico op credential theft verder te beperken en het herstel te versnellen, kunt u het volgende inzetten:

• Self-service password reset (SSPR): als gebruikers hun wachtwoord zonder tussenkomst van een beheerder kunnen resetten, verloopt de respons op credential theft sneller, nog voordat de IT-beheerders zijn ingeschakeld.
• Just-in-time (JIT): tijdelijke toegang verlenen voor accounts met hoge rechten verkleint het aanvalsoppervlak.
• Privileged Access Workstations (PAW’s): met PAW’s beperkt u beheertaken tot gehardende, geïsoleerde apparaten en verkleint u de blootstelling aan credential theft en malware.
• Regelmatige audit van mailboxtoegang: een consequente audit van mailboxtoegang, zeker bij gedeelde mailboxen, beperkt credential theft en zorgt ervoor dat alleen bevoegde personen bij de e-mail van de organisatie kunnen.

NinjaOne-diensten voor de respons op credential theft

NinjaOne en de bijbehorende tools helpen om credential theft proactiever te detecteren en aan te pakken.

NinjaOne-dienst	Wat het is	Wat het betekent voor detectie en respons bij credential theft
Monitoring van endpointlogboeken	Bewaakt Windows-gebeurtenislogboeken zoals gebeurtenis-ID 4624 (geslaagde aanmelding) en 4625 (mislukte aanmelding)	Detecteert brute-force-aanvallen en verdachte aanmeldactiviteit op beheerde apparaten vrijwel in real time
PowerShell-automatisering	Voert aangepaste PowerShell-scripts uit om Azure AD-aanmeldingen op te vragen, sessies in te trekken of accounts te markeren	Maakt snel onderzoek mogelijk en automatiseert maatregelen zoals het intrekken van tokens of het afdwingen van wachtwoordresets
Notificaties bij risicovolle aanmeldingen	Stuurt notificaties bij aanmeldingen vanaf verdachte IP-adressen, ongebruikelijke locaties of riskant gebruikersgedrag	Waarschuwt IT-teams over mogelijk misbruik van referenties, zodat de dreiging sneller wordt ingedamd
Endpointisolatie	Markeert of plaatst getroffen apparaten in quarantaine om netwerktoegang te beperken tijdens een incident met credential theft	Helpt de dreiging in te dammen door het gecompromitteerde endpoint af te snijden van andere systemen
Workflows voor herstel van referenties	Automatiseert taken zoals het afdwingen van wachtwoordresets, het blokkeren van accounts of het verwijderen van inboxregels	Stroomlijnt de incidentrespons door sneller te kunnen handelen en de verblijftijd van de aanvaller te beperken

Credential theft met urgentie aanpakken

Credential theft kan een organisatie flink ontwrichten als er geen effectieve strategie tegenover staat. Met de stappen hierboven detecteert u dit urgente probleem en reageert u erop via uiteenlopende methoden, zoals het controleren van aanmeldingslogboeken, het onderzoeken van mailbox- en auditactiviteit, het intrekken van toegang en het aanscherpen van controles met Conditional Access en beleidshandhaving.

U kunt credential theft ook aanpakken door de ingebouwde verdediging van Microsoft 365 te combineren met geautomatiseerde oplossingen zoals NinjaOne. Dat optimaliseert het werk van MSP’s en systeembeheerders, niet alleen in de respons maar ook in het detecteren van credential theft voordat die schade aanricht.

Gerelateerde onderwerpen:

• Wat is credential management? Definitie & beste praktijken
• Google Workspace versus Microsoft 365: welke is het beste voor bedrijven?
• Zo controleert u of Credential Guard is in- of uitgeschakeld in Windows
• Cyberaanvalsketens doorbreken met 5 tools
• 10 beste oplossingen voor bescherming tegen malware