Belangrijkste punten
- Ongeautoriseerde wijzigingen van admin-rollen in Microsoft 365 behoren tot de vroegste signalen van een inbreuk of een insiderdreiging.
- De Unified Audit Log in Microsoft Purview moet expliciet zijn ingeschakeld voordat een van de monitoringmethoden uit deze gids werkt.
- PowerShell met Search-UnifiedAuditLog is een lichte manier om recente rolwijzigingen op te vragen in kleine klantomgevingen; de Microsoft Graph API verdient de voorkeur voor enterprise-omgevingen en MSP’s die meerdere tenants op schaal beheren.
- Registersleutels die het tijdstip van elke geslaagde auditrun opslaan, zorgen voor een blijvende verificatiemethode.
- Serviceaccounts die legitiem rolwijzigingen doorvoeren, krijgt u beter een tag en sluit u uit van de alertfilters in plaats van ze volledig buiten de monitoring te houden.
- Just-In-Time-toegang via Microsoft Entra Privileged Identity Management (PIM) is op de lange termijn de meest effectieve strategie tegen privilege creep.
Het monitoren van wijzigingen in admin-rollen in Microsoft 365 is essentieel voor elke organisatie en zeker voor MSP’s. Het helpt ongeautoriseerde rolwijzigingen te voorkomen, die gelden als vroege signalen van een inbreuk of een insiderdreiging.
Als een beheerder per ongeluk de rechten van een gebruiker verhoogt zonder de juiste goedkeuring, stelt hij de organisatie ongemerkt bloot aan kwaadaardige activiteiten. Erger nog: deze onverwachte rolescalaties kunnen leiden tot schendingen van compliance-standaarden zoals NIST, CIS en ISO 27001.
Handmatig rolwijzigingen bijhouden in meerdere tenants is echter omslachtig en tijdrovend. Alleen met geautomatiseerde notificaties houdt u rolwijzigingen in meerdere omgevingen effectief bij.
In deze gids laten we zien hoe u notificaties voor rolwijzigingen in Microsoft 365 automatiseert met verschillende ingebouwde Windows-tools. Lees verder voor de beste praktijken voor het monitoren van rolwijzigingen.
Wilt u dit onderwerp liever visueel uitgelegd? Bekijk dan Microsoft 365-notificaties voor rolwijzigingen automatiseren voor beter adminoverzicht.
Zo stelt u geautomatiseerde notificaties voor rolwijzigingen in Microsoft 365 in
Controleer eerst of aan de volgende voorwaarden is voldaan:
Vereisten:
- Microsoft 365-tenant met global admin-rechten of rechten voor privileged role management
- Microsoft Graph PowerShell SDK geïnstalleerd
- Unified Audit Log ingeschakeld via Microsoft Purview
- Auditrechten voor Exchange Online om auditgebeurtenissen te kunnen lezen
- Toegang tot het register en RMM-tools, zoals NinjaOne, voor bevestigingstags (optioneel)
- Power Automate voor low-code aflevering (optioneel)
Methode 1: auditlogging inschakelen en verifiëren
Use case: zorgt dat centrale auditlogging actief is in alle Microsoft 365-services.
- Controleer of de Unified Audit Log is ingeschakeld
Connect-ExchangeOnline
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
- Controleer de status
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
Deze functionaliteit moet actief zijn om rolwijzigingsgebeurtenissen uit Microsoft 365 te verzamelen.
Methode 2: rolwijzigingen opvragen met PowerShell
Use case: snel controleren op recente rolwijzigingen in de Microsoft 365-omgeving van een tenant. Deze methode is het meest geschikt voor IT-beheerders met een klein klantenbestand.
- Vraag de auditlogs op voor rolwijzigingen
Connect-ExchangeOnline
$startDate = (Get-Date).AddDays(-1)
$endDate = Get-Date
$results = Search-UnifiedAuditLog `
-StartDate $startDate `
-EndDate $endDate `
-RecordType AzureActiveDirectory `
-Operations "Add member to role." `
-ResultSize 1000
$results | Select-Object CreationDate, UserIds, Operations, AuditData
- Filter de output
$results | Select-Object CreationDate, UserIds, Operations, AuditData
Plan dit in via Taakplanner of uw RMM-platform om notificaties te versturen zodra een rolwijziging wordt gedetecteerd.
Methode 3: roltoewijzingen monitoren met de Microsoft Graph API
Use case: snel controleren op recente rolwijzigingen in de Microsoft 365-omgeving van een tenant. Deze methode is het meest geschikt voor IT-beheerders met een klein klantenbestand.
- Authenticeer met Microsoft Graph
Connect-MgGraph -Scopes "RoleManagement.Read.Directory",
"AuditLog.Read.All"
- Vraag de roltoewijzingen op
Get-MgRoleManagementDirectoryRoleAssignment
- Vergelijk met de vorige status die is opgeslagen in een lokaal bestand of in het register om nieuwe toewijzingen te detecteren
# Export current state
$assignments = Get-MgRoleManagementDirectoryRoleAssignment | Select Id, PrincipalId, RoleDefinitionId
$assignments | Export-Csv "C:\Logs\CurrentRoles.csv" -NoTypeInformation
Automatiseer de vergelijking tussen beide statussen en verstuur notificaties zodra u wijzigingen detecteert.
Methode 4: de laatste auditcontrole bijhouden met registersleutels
Use case: de laatste geslaagde auditscan bijhouden om te controleren of uw geplande scripts draaien.
- Om het tijdstip van de laatste geslaagde scan op te slaan
New-Item -Path "HKLM:\SOFTWARE\Org\RoleChangeAudit" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\RoleChangeAudit" `
-Name "LastAuditRun" -Value (Get-Date).ToString("u")
- Om te verifiëren
reg query HKLM\SOFTWARE\Org\RoleChangeAudit
Tip: gebruik de registersleutels om de meest recente auditrun bij te houden en stel uw RMM-tool zo in dat deze notificaties stuurt wanneer het laatste tijdstip niet recent is bijgewerkt. Zo controleert u of uw scripts goed draaien.
Methode 5: lokale rolverhoging op apparaten beperken met Group Policy
Use case: rolbeperkingen afdwingen via Group Policy en ongeautoriseerde wijzigingen in lokale admingroepen op hybride of co-managed apparaten voorkomen.
GPO-pad
Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Groepen met beperkte toegang
Leg vast wie wel en niet in lokale admingroepen thuishoort. Zo voorkomt u proactief dat lokale gebruikers ongeautoriseerde groepswijzigingen doorvoeren.
Waar u op moet letten
Houd rekening met deze valkuilen wanneer u onze gids volgt:
| Risico’s | Mogelijke gevolgen | Oplossing |
| Ontbrekende auditlogs | Rolwijzigingen blijven onopgemerkt; er is geen audittrail voor configuraties. | Gebruik PowerShell om te verifiëren of auditlogging volledig is ingeschakeld en of de ingestie actief is. |
| Fouten in de Graph API | De monitoring kan mislukken en rolwijzigingen blijven onopgemerkt. | Voer gpupdate /force uit voordat u gpresult /h start. Neem de GPO-statusoutput op in de escalatienotities voor validatie door Tier 2. |
| Fout-positieven | Alertmoeheid doordat geautoriseerde rolwijzigingen worden gemarkeerd. | Verfijn de queryfilters; sluit bekende serviceaccounts en bevoorradingsprocessen uit van de resultaten. |
| Mislukte scripts | Gemiste detecties. | Log naar een bestand en voeg foutafhandeling toe met Try/Catch. |
| Verkeerd geconfigureerde notificaties | Kritieke wijzigingen kunnen worden gemist. | Gebruik een Power Automate-flow met een auditlogconnector voor realtime notificaties. |
Quick-start guide
NinjaOne helpt u bij het automatiseren van Microsoft 365-notificaties voor rolwijzigingen ten behoeve van adminoverzicht, al fungeert het vooral als centraal dashboard en automatiseringsplatform dat via API’s of scripts integreert met Microsoft 365.
Hoe NinjaOne helpt:
1. Automatiseringsbeleid
- Stel automatiseringsbeleid op dat acties activeert (zoals notificaties) wanneer er specifieke gebeurtenissen plaatsvinden in Microsoft 365.
- Gebruik de PowerShell-integratie van NinjaOne om eigen scripts uit te voeren die wijzigingen in admin-rollen monitoren.
2. Microsoft 365-integratie
- NinjaOne maakt rechtstreeks verbinding met Microsoft 365-tenants, zodat u admin-rollen kunt monitoren en notificaties ontvangt via e-mail of in het NinjaOne-dashboard.
3. Eigen scripts
- Schrijf binnen NinjaOne scripts met de Microsoft Graph API of PowerShell die rolwijzigingen opvragen en beheerders daarover informeren.
Beste praktijken voor het monitoren van rolwijzigingen in Microsoft 365
Dit zijn enkele beste praktijken om rolwijzigingen in Microsoft 365 bij te houden:
Serviceaccounts uitsluiten of apart taggen
IT-beheerders gebruiken serviceaccounts meestal voor automatisering of integratie, wat betekent dat die accounts legitiem rolwijzigingen kunnen doorvoeren. Sluit uw alerteringssysteem deze accounts niet uit van de zoekopdrachten, dan staan er al snel honderden fout-positieven in uw logs.
Maak daarom een lijst van alle vertrouwde serviceaccounts en sluit ze uit van de notificaties. U kunt hun activiteiten ook een specifieke tag geven, zodat u hun handelingen blijft volgen zonder vals alarm te veroorzaken.
Vervaltermijnen voor rollen instellen
Niet elke rol is bedoeld als permanent. Sommige bedrijven geven gebruikers tijdelijk verhoogde toegang voor een specifiek project en vergeten die daarna volledig.
Bouw logica in die rollen na een bepaalde periode automatisch laat vervallen of verwijdert. Zo voorkomt u dat verouderde roltoewijzingen verborgen beveiligingsrisico’s worden.
Gebruik Just-In-Time (JIT)-toegang waar mogelijk
Gebruik Privileged Access Management (PAM)-tools zoals Microsoft Entra PIM om JIT-toegang af te dwingen waar dat kan. Met deze functie kunnen gebruikers verhoogde rechten aanvragen wanneer dat nodig is, waarna die rechten na gebruik automatisch worden ingetrokken.
Monitoring van rolwijzigingen standaardiseren in alle tenants
Beheert u meerdere Microsoft 365-omgevingen, gebruik dan in alle tenants dezelfde monitoringscripts of -flows voor consistentie.
Mis nooit meer een kritieke notificatie over een rolwijziging met hulp van NinjaOne
NinjaOne helpt u rolwijzigingen in Microsoft 365 bij al uw klanten bij te houden door:
- PowerShell-auditscripts in te plannen en uit te voeren in alle tenants
- Registersleutels met tijdstempel op te slaan die bevestigen of de rolaudits werken
- Notificaties te activeren zodra rolwijzigingen worden gedetecteerd of auditintervallen worden gemist
- Rapporten te genereren over huidige en eerdere roltoewijzingen bij alle klanten
- Risicovolle endpoints met roltoewijzings- of rechtenschendingen te markeren
Met NinjaOne herkent u potentiële beveiligingsrisico’s voordat ze escaleren.
Blokkeer ongeautoriseerde toegang door notificaties voor rolwijzigingen in Microsoft 365 te automatiseren
Administratieve rollen behoren tot de gevoeligste resources van een bedrijf. Kwaadwillenden kunnen die rechten eenvoudig misbruiken om gevoelige informatie te stelen of, erger nog, om onopgemerkt beveiligingsinbreuken uit te voeren.
Met die risico’s in het achterhoofd is het monitoren van rolwijzigingen in Microsoft 365 een must voor elke MSP.
Met een notificatiesysteem houdt u elke rolescalatie in alle tenantomgevingen bij, beoordeelt u die en controleert u ze achteraf.
Gerelateerde onderwerpen:
