Zo bouwt u een workflow voor incident triage over meerdere Microsoft 365-tenants

Een uitgebreide en goed gedefinieerde workflow voor incident triage is essentieel voor IT-beheerders, zeker wanneer zij een groot aantal devices beheren. IT-medewerkers kunnen incidenten zoals beveiligingsinbreuken daardoor veel sneller en efficiënter opsporen en indammen en ze voorkomen dat personeel last krijgt van alertmoeheid.

Een workflow voor incident triage ondersteunt ook uw incident-SLA’s en zorgt ervoor dat uw organisatie aan de regelgeving voldoet. Daarnaast maakt het uw rapportage consistenter voor kwartaalevaluaties en juridische compliance.

Een visuele uitleg van dit onderwerp vindt u hier: Zo bouwt u een workflow voor incident triage over meerdere Microsoft 365-tenants.

Stapsgewijze handleiding voor het opzetten van een kader voor incident triage

Controleer voordat u met dit proces begint of u aan de volgende voorwaarden voldoet:

• Een systeem met Microsoft 365-tenants met Microsoft Defender for Office 365 en/of Microsoft 365 Defender
• Windows PowerShell 7 of hoger
• Een tenantspecifieke registratie van een accounttoepassing of een centraal serviceaccount
• Een RMM-platform om uw devices te beheren

Aanvullende en/of optionele vereisten:

• Logic Apps of een SIEM is handig om de escalatie van incidenten met een hoge ernst te automatiseren.
• U kunt ook Microsoft 365 Lighthouse gebruiken voor een gratis, verenigd overzicht van beveiligingsnotificaties in alle gedelegeerde tenants of Microsoft Sentinel voor geavanceerde SOAR (Security Orchestration, Automation, and Response) over tenants heen. Microsoft Sentinel verhuist naar de Microsoft Defender-portal en wordt na 31 maart 2027 niet meer ondersteund in de Azure-portal, dus houd er rekening mee dat u het daar beheert.

Stap 1: definieer een kader voor triage over tenants heen

Als eerste standaardiseert u de belangrijkste triagefasen voor al uw tenants wanneer zich een incident voordoet. Hier volgt een voorbeeld van een triageleidraad:

Triagefase	Actie
Ophalen	Haal de incidentrapporten op met Microsoft Graph, de Defender API of uw RMM-tool.
Classificeren	Wijs een ernst toe (laag, gemiddeld, hoog), afhankelijk van de oorzaak van de notificatie en de gevolgen ervan.
Correleren	Zoek de betrokken gebruikers, devices of accounts op en koppel het incident daaraan.
Taggen	Markeer het met de aanbevolen actie, zoals escalatie, oplossing of onderdrukking.
Reageren	Rol de oplossing of herstelactie uit met Microsoft Graph, Windows PowerShell of uw RMM-tool.
Rapporteren	Leg de details van het incident en de metadata van elke betrokken tenant vast.

Maak een JSON-template of CSV-schema om deze incidenten te loggen. De exacte inhoud van de template hangt af van het beleid en de verwachtingen binnen uw organisatie.

Stap 2: gebruik de Microsoft Graph API om notificaties uit elke tenant op te halen

Voorwaarde: Microsoft Graph moet al geïnstalleerd en geconfigureerd zijn voor uw Microsoft 365-accounts, met gedelegeerde API-machtigingen of machtigingen op app-niveau.

1. Open het Startmenu en zoek naar PowerShell 7.
2. Klik met de rechtermuisknop op PowerShell 7 > Als administrator uitvoeren.
3. Typ dit script en druk op Enter:

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

$alerts = Get-MgSecurityAlertV2 -All | Where-Object { $_.Status -ne “resolved” }

Filteren op ernst en product:

$highAADAlerts = $alerts | Where-Object {

$_.Severity -eq "high" -and $_.ProductName -eq "Azure Active Directory Identity Protection"

$highAADAlerts | Select-Object Id, Severity, Status, ProductName, Title, CreatedDateTime}

Hiermee haalt u alle relevante notificaties uit Defender voor uw tenants op, als die er zijn.

4. Voer deze query’s volgens een vast schema uit voor al uw tenants en exporteer de resultaten naar een .CSV- of .JSON-bestand, zodat u de gegevens eenvoudig kunt volgen. U kunt deze taken uitvoeren met uw favoriete tool voor endpoint management.

Stap 3: tag devices of gebruikers via het register of PowerShell voor lokale triage

Wanneer zich een incident voordoet op een specifieke endpoint, kunnen beheerders registersleutels en -waarden aanmaken om incidentgegevens voor dat device of gebruikersprofiel vast te leggen. Deze informatie wordt lokaal opgeslagen. Volg daarvoor deze stappen:

1. Open het Startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Rol een script uit dat de benodigde registerwaarden aanmaakt om incidentgegevens op een device bij te houden.

Hier volgt een voorbeeld van een PowerShell-script dat u kunt gebruiken:

New-Item -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "LastAlert" -Value "PhishingAttempt"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "Tag" -Value "UnderInvestigation"

De naam en waarde van de registersleutels (“LastAlert”, “PhishingAttempt”, “Tag” en “UnderInvestigation”) hangen af van het incident dat u wilt vastleggen. Pas ze aan uw eigen situatie aan.

4. Om deze registersleutels en -waarden te controleren, opent u de opdrachtprompt als administrator.
5. Typ deze opdracht en druk op Enter:

reg query HKLM\SOFTWARE\Org\IncidentTriage

Vervang het pad door het pad van de waarde die u wilt controleren.

Let op: u kunt een RMM-tool gebruiken om uw beheerde devices te scannen, een rapportage over tagwaarden te genereren en de status van elke endpoint te volgen.

Registersleutels zijn handig voor lokale tracking via RMM, maar pas daarnaast ook tags van Defender for Endpoint toe via de API. Zo is de status “Under Investigation” zichtbaar voor iedereen die het Microsoft Defender Security Center bekijkt.

# Voorbeeld: een device taggen in Defender for Endpoint via de API

$DeviceID = "your-device-id"

$Tag = "UnderInvestigation"

Invoke-RestMethod -Uri "https://api.security.microsoft.com/api/machines/$DeviceID/tags" -Method Post -Body @{Value=$Tag;Action="Add"}

Stap 4: automatiseer de respons met PowerShell en Defender for Endpoint

Bij een incident met een gecompromitteerd gebruikersaccount kunt u dat account uitschakelen en alle sessies van de gebruiker ongeldig maken. Met Windows PowerShell rolt u specifieke reacties voor dat incident uit. Hier volgen een paar voorbeelden van acties die zij bij een incident kunnen ondernemen:

Voorwaarde: Microsoft Graph moet al geïnstalleerd en geconfigureerd zijn voor uw Microsoft 365-accounts, met gedelegeerde API-machtigingen of machtigingen op app-niveau.

1. Open het Startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. De gecompromitteerde accounts uitschakelen:

Update-MgUser -UserId $user.Id -AccountEnabled $false

De sessies van het gecompromitteerde account ongeldig maken:

Revoke-MgUserSignInSession -UserId $user.Id

Een gebruiker verplichten het wachtwoord te wijzigen:

$PasswordProfile = @{

ForceChangePasswordNextSignIn = $true

}

Update-MgUser -UserId $user.Id -PasswordProfile$PasswordProfile

Een device als in quarantaine markeren met een registertag:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "IsolationState" -Value "Quarantined"

Let op: dit moet handmatig op de gecompromitteerde endpoint gebeuren. Op afstand kan het niet, omdat de computer losgekoppeld moet zijn van het netwerk van uw organisatie.

Let op: beheerders kunnen een tool voor endpoint management gebruiken om firewallregels toe te passen of netwerkinterfaces uit te schakelen.

In plaats van naar een computer toe te lopen om de stekker eruit te trekken, isoleert u het device met de Defender API. Daarmee worden alle netwerkverbindingen verbroken, behalve de verbinding met Microsoft 365, zodat laterale verplaatsing wordt voorkomen.

# Een device op afstand isoleren

Invoke-MgIsolateSecurityMachine -MachineId $MachineId -Comment "Isolating due to high-severity alert."

Problemen oplossen en aandachtspunten

Risico’s	Mogelijke gevolgen	Oplossingen
Er ontbreken notificaties.	U mist notificaties over beveiligingsinbreuken.	Controleer of de drempelwaarden van het notificatiebeleid in Microsoft Defender goed zijn ingeschakeld en afgesteld.
U krijgt te maken met throttling bij de Microsoft Graph API.	De Microsoft Graph API beperkt uw aanvragen, waardoor het langer duurt om alle noodzakelijke taken tijdens de triage uit te voeren.	Pas uw workflow aan op de limieten voor het aantal aanroepen per tenant. U kunt ook retry-logica inbouwen zodat alle noodzakelijke acties alsnog worden uitgevoerd.
De registersleutel wordt niet bijgewerkt.	De informatie over de incidenten wordt mogelijk niet vastgelegd.	Controleer of u over alle benodigde machtigingen beschikt. Valideer daarnaast de uitvoeringscontext.
Het device reageert niet op isolatie.	Het probleem wordt niet opgelost en kan tot meer incidenten leiden.	Controleer op conflicterende groepsbeleidsregels of op blokkering door een antivirusscript.
Session hijacking	Het uitschakelen van het account weerhoudt een aanvaller er niet van een gestolen token te gebruiken.	Gebruik de opdracht Invoke-MgInvalidateUserRefreshToken en controleer of “Continuous Access Evaluation” (CAE) actief is.

Extra aandachtspunten bij het opzetten van een kader voor incident response over meerdere Microsoft 365-tenants

• Gebruik certificaatgebaseerde app-registraties met korte vervaldatums om beveiligingsinbreuken te voorkomen.
• Bewaar incident- en triagelogs op basis van tenant-ID’s of weergavenamen voor historische audits.
• Overweeg Logic Apps of Power Automate te integreren om incidenten met een hoge ernst te escaleren.
• Overweeg waar mogelijk beveiligingstools van derden via een API te koppelen om extra beschermingslagen toe te voegen en beveiligingsinbreuken te voorkomen.

Zo ondersteunt NinjaOne uw workflow voor de triage van cyberincidenten

NinjaOne ondersteunt incident triage over tenants heen door:

• PowerShell-scripts uit te voeren op specifieke device-tags of klantomgevingen om incidenten aan te pakken
• Te loggen en rapportages te maken op basis van incidentmetadata
• Gebruiksvriendelijke dashboards en auditlogs van scripts over alle tenants te bieden, zodat u eenvoudiger zakelijke samenvattingen en evaluaties opstelt

Versterk uw beveiliging met een volwaardig proces voor incident triage

Met een geautomatiseerde en consistente triageworkflow dammen IT-beheerders incidenten sneller in. De workflow standaardiseert ook de documentatie van incidenten, wat audits en wettelijke rapportage ondersteunt.

Gerelateerde onderwerpen:

• Wat is incident response?
• Wat is cloud incident response?
• Efficiënter werken met automatisering van IT-workflows
• Een checklist voor incident response opstellen voor MSP-technici
• MSP’s: 6 sleutels om een ransomware-uitbraak bij uw klanten te overleven