Belangrijkste punten
- Automatiseer de audit van Entra ID-aanmeldingen: bouw een multi-tenant Entra ID-aanmeldingsaudit-pipeline met Microsoft Graph PowerShell om het verzamelen van logboeken te automatiseren, filters te standaardiseren en herhaalbaar bewijs te leveren voor compliance- en beveiligingsaudits.
- Beveilig de app-registratie en de machtigingen: gebruik toepassingsmachtigingen (geen gedelegeerde) voor onbeheerde, multi-tenant verzameling, bescherm referenties en zorg per tenant voor beheerderstoestemming voor veilige, schaalbare gegevenstoegang.
- Bepaal een consistent schema en verrijk de aanmeldingslogboeken: definieer een genormaliseerd schema voor aanmeldingslogboeken en verrijk velden (geo, ASN) om de detectienauwkeurigheid te verhogen en het filteren tijdens onderzoek beter af te stemmen.
- Zet auditgegevens om in beveiligingssignalen: vorm auditgegevens om tot beveiligingssignalen door filters met een hoog signaal toe te passen (legacy-authenticatie, MFA-fouten, risicovolle sessies) en genereer automatische rapporten en maandelijkse compliance-overzichten.
- Plan, bewaar en behoud Entra ID-exports: zet geplande exports op met bewaarbeleid en zorg zo voor duurzaam bewijs met versiebeheer.
Microsoft Entra-auditlogboeken zijn de snelste manier om pogingen tot accountovername, risicovolle sessies en policy drift te bevestigen. Dit schaalt echter niet goed in multi-tenant omgevingen. U hebt een PowerShell-pipeline op basis van Graph nodig voor herhaalbare, geplande verzameling, consistente filters en duurzaam bewijsmateriaal.
Wilt u zich er verder in verdiepen? Bekijk dan onze video: Zo bouwt u met PowerShell een multi-tenant pipeline voor sign-in-audits in Entra ID.
Een gids om het maximale uit uw Microsoft Entra ID-logboeken te halen
📌 Vereisten:
- Microsoft Graph PowerShell moet al geïnstalleerd en bijgewerkt zijn.
- U moet een app-registratie kunnen uitvoeren in Microsoft Entra met rechten volgens het least-privilege-principe voor sign-in-rapportage (applicatierechten aanbevolen).
- Toestemming moet per tenant worden vastgelegd en u hebt een veilige strategie voor secrets of managed identities nodig.
- U hebt een centrale opslagplek nodig voor exports.
- U hebt een rapportageomgeving nodig voor maandelijkse samenvattingen en QBR-bewijs.
Stap 1: kies de bronnen en definieer het schema
Sign-in-logboeken bevatten belangrijke informatie. U moet precies weten welke gegevens u verzamelt en hoe u ze gaat gebruiken wanneer u een multi-tenant pipeline voor Entra sign-in-audits bouwt. Doe daarvoor het volgende:
- Geef prioriteit aan sign-in-logboeken (gebruikers en service principals) en bepaal of u ook Directory Audit nodig hebt om goed te begrijpen wat er gebeurt.
- Definieer een minimale, consistente set kolommen. Denk hierbij aan: tijdstempel, UPN/objectId van de gebruiker, displayName/appId van de app, clientAppUsed (modern versus legacy), IP-adres/locatie, MFA-resultaat, status (foutcodes) en correlationId. U kunt gegevens toevoegen of weglaten, afhankelijk van uw specifieke situatie.
Aan het eind hiervan hebt u een duidelijk plan voor de gegevens die u tijdens de audit gaat verzamelen. Dat maakt detectie eenvoudiger en helpt bij het genereren van betrouwbare rapporten.
Stap 2: beveilig de app-registratie en de rechten
Om uw Entra sign-in-gegevens volledig te benutten, moet u onbeheerde, multi-tenant verzameling veilig mogelijk maken door de app-registratie en de geactiveerde rechten te beveiligen.
Registreer daarvoor eerst een app in Entra voor rapportage aan de hand van deze stappen:
- Ga naar het Microsoft Entra-beheercentrum en meld u aan.
- Ga naar Entra ID > App-registraties > Nieuwe registratie.
- Geef uw rapportage-app een naam.
- Onder Ondersteunde accounttypen geeft u aan wie de app mag gebruiken. Dit zijn de beschikbare opties:
- Alleen accounts in deze organisatiemap
- Accounts in een organisatiemap
- Accounts in een organisatiemap en persoonlijke Microsoft-accounts
- Persoonlijke Microsoft-accounts
- Selecteer Registreren.
💡Opmerking: wijs alleen de rechten toe die nodig zijn voor sign-in-rapportage en audit (applicatierechten).
Zodra u de rapportage-app hebt ingesteld, slaat u de referenties op in een beveiligde kluis en roteert u de logtoegang. Leg de consent-status per tenant vast met de rapportage-app en houd de gegevens klaar voor de volgende beoordelingsmomenten.
Aan het eind hiervan hebt u een gehard, controleerbaar fundament voor geautomatiseerde verzameling.
Stap 3: maak verbinding met Graph PowerShell en stel basisquery’s op
Download eerst de Microsoft Graph PowerShell-module. Volg daarna deze stappen om Windows PowerShell te verbinden met uw Microsoft Entra ID-tenant:
- Stel het PowerShell-uitvoeringsbeleid in op remote signed met deze opdracht:
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser - Voer deze opdracht uit om de Microsoft Graph PowerShell-module te installeren:
Install-Module -Name Microsoft.Entra -Repository PSGallery -Scope CurrentUser -Force -AllowClobber - Voer
Connect-Entra -Scopes 'User.Read.All'uit en meld u desgevraagd aan met een beheerdersaccount voor uw tenant.
Daarna kunt u:
- Niet-interactief authenticeren tegen elke tenant via de app-registratie.
- Basisquery’s uitvoeren voor een venster van 24–72 uur en exporteren naar CSV/JSON.
- Belangrijke velden valideren (client-app, MFA-resultaat, foutcodes) en de verwerking van tijdzones controleren.
Na de verbinding met Microsoft Graph kunt u nuttigere query’s maken en de gegevens exporteren die u voor uw audit nodig hebt.
Stap 4: bouw filters en detecties met een hoog signaalgehalte
Nu u uw ruwe logboeken hebt, is het tijd voor de volgende stap. U moet al die gegevens omzetten in bruikbare beveiligingssignalen. Dat doet u zo:
- Maak opgeslagen filters in Microsoft Entra voor legacy-authenticatie, herhaalde MFA-fouten, onbekende locaties/ASN’s, risicovolle aanmeldingen en ongebruikelijke client-apps.
- Voeg verrijking toe (geo, ASN, afdeling van de gebruiker) en allowlists per tenant om ruis te verminderen.
- Stel drempelwaarden en urgentieniveaus in die aansluiten op playbooks (onderzoeken, CSM informeren, incident aanmaken).
Zodra u dat hebt gedaan, spoort u problemen eenvoudiger op. Dat verkort de tijd die u nodig hebt voor triage en stelt uw medewerkers in staat consistenter te handelen.
Stap 5: plan, bewaar en behoud bewijsmateriaal
Houd uw gegevens en de resultaten van uw interne audits bij. Zo worden ze duurzamer en beter voorbereid op externe audits.
Doe daarvoor het volgende:
- Plan elk uur of elke dag een ophaalactie met back-fill-logica om gaten te voorkomen.
- Schrijf exports per tenant weg naar gestructureerde mappen; pas versiebeheer en bewaartermijnen toe.
- Genereer dagelijkse en maandelijkse samenvattingen met detectieaantallen en trendverschillen.
Al uw gegevens bijhouden geeft u een betrouwbaardere historie voor onderzoeken, compliance en de verhaallijn van uw QBR.
Stap 6: notificaties en rapportage op multi-tenant schaal
Nu uw gegevens en rapporten klaarstaan, kunt u risico’s sneller zichtbaar maken en voortgang aantonen. Deel de gegevens met alle betrokken stakeholders en verwerk ze in QBR-klare rapporten.
Zo integreert u detecties goed in uw reguliere workflows:
- Maak notificatieroutes voor kritieke detecties (bijvoorbeeld pieken in legacy-authenticatie of aanhoudende MFA-fouten).
- Publiceer maandelijkse scorekaarten voor sign-in-beveiliging per tenant: percentage legacy-authenticatie, percentage MFA-fouten, risicovolle aanmeldingen, geo-afwijkingen en MTTR.
- Volg hersteltaken op (legacy-protocollen uitschakelen, CA aanscherpen, gebruikers begeleiden) en bevestig de verbetering in de samenvatting van de volgende maand.
Zo ontstaat een gesloten operationele cyclus die risico’s verkleint en waarde aantoont. Daarmee integreert de audit-pipeline soepel in uw bedrijfsvoering.
Ideeën voor NinjaOne-integratie bij het verwerken van Microsoft Entra sign-in-logboeken en andere gegevens
- Automatisering: voer geplande PowerShell-scripts uit en label tenants op consent-status en de gezondheid van de verzameling.
- Monitoring: stel een notificatie in voor mislukte taken, lege exports of ongebruikelijke pieken in detecties.
Quick-start guide
Om zo’n pipeline te bouwen, hebt u doorgaans het volgende nodig:
1. Entra ID instellen: zorg dat u meerdere tenants hebt geconfigureerd in Entra ID.
2. Microsoft Graph API gebruiken: benut de Microsoft Graph API om sign-in-logboeken van alle tenants te benaderen.
3. PowerShell-modules: gebruik modules zoals Microsoft.Graph voor PowerShell om met Entra ID te communiceren.
4. Scripting: schrijf PowerShell-scripts om sign-in-logboeken op te vragen, auditgegevens te filteren en rapporten te exporteren.
Benut Microsoft Entra-auditlogboeken om uw bedrijfsvoering te verbeteren
Een pipeline op basis van Microsoft Graph en PowerShell maakt van Entra sign-in-logboeken een krachtige operationele asset. Het levert u herhaalbare verzameling, betrouwbare detecties en auditklaar bewijsmateriaal op.
Gerelateerde onderwerpen:
