Belangrijkste punten
- Password spraying is te herkennen aan herhaalde mislukte aanmeldingen bij veel accounts, vaak via verouderde protocollen zoals IMAP en SMTP.
- Sentinel/KQL-query’s op SigninLogs sporen spraypatronen op door mislukte pogingen van gebruikers en IP-adressen te correleren.
- De unified audit log van Purview is een lichter alternatief dat u via PowerShell kunt doorzoeken.
- Vergrendelingsbeleid via GPO en het uitschakelen van legacy authenticatie verharden de OS-laag tegen spraypogingen.
In deze gids leest u hoe u password spray-aanvallen in Microsoft 365 detecteert en blokkeert. We behandelen strategieën om logboeken te controleren op signalen van een aanval, waaronder het gebruik van Microsoft Sentinel en de KQL-taal, unified audit logs, PowerShell om het gebruik van legacy authenticatie op te sporen en het doorzoeken van logboeken met commando’s die u via de opdrachtprompt of met tools voor security-automatisering kunt uitvoeren.
Hoe detecteert u een password spray-aanval?
Password spray-aanvallen zijn brute force-aanvallen waarbij hackers proberen toegang te krijgen tot meerdere accounts met veelgebruikte of gelekte wachtwoorden. Moderne authenticatiemethoden (zoals MFA) helpen dit te blokkeren, maar aanvallers misbruiken vaak verouderde authenticatiemethoden (zoals eenvoudige e-mail- en gebruikersnaamreferenties die worden gebruikt om e-mail op te halen via POP3) of inlogportalen om die beveiliging te omzeilen in omgevingen die nog niet volledig zijn overgestapt op veiligere authenticatie.
U kunt deze password spray-aanvallen detecteren door logboeken te controleren op herhaalde mislukte aanmeldpogingen en verdachte activiteit op endpoints met legacy authenticatie. Automatisering is cruciaal bij het opsporen en beperken van password spray-aanvallen, want ongeautoriseerde toegang moet onmiddellijk worden geblokkeerd en de referenties van de getroffen gebruikers moeten worden vernieuwd.
De belangrijkste doelen bij het automatisch beschermen van Microsoft 365 tegen password spray-aanvallen zijn:
- Patronen van mislukte aanmeldingen bij meerdere accounts detecteren
- Aanmeldpogingen vanaf ongebruikelijke IP-adressen of locaties correleren
- Legacy authenticatie blokkeren
- Vergrendelingen of notificaties automatisch laten activeren bij detectie
- Systemen verharden met aanpassingen in beleid, scripts en het register
Voordat u password spraying geautomatiseerd kunt voorkomen, heeft u nodig:
- Een Microsoft 365-tenant met auditing ingeschakeld
- Azure Sentinel of Microsoft 365 Defender Plan 2 (voor advanced hunting)
- De unified audit log ingeschakeld in Microsoft Purview
- Beheerderstoegang voor Microsoft Graph, PowerShell en GPO-configuratie
U kunt endpointbeveiliging en automatisering versterken door uw Microsoft 365-omgeving te integreren met monitoring en beheer op afstand (RMM). Zo monitort en waarschuwt u centraal en automatiseert u herstelacties in uw hele infrastructuur.
Password spray-patronen opsporen met Microsoft Sentinel en KQL
Met Kusto Query Language (KQL) kunt u Microsoft Sentinel bevragen om gedrag te detecteren dat wijst op password spray-aanvallen. Hieronder ziet u een voorbeeld van een KQL-query die zoekt naar meerdere mislukte aanmeldingen met hetzelfde wachtwoord:
SigninLogs
| where ResultType == 50053
| summarize Attempts=count() by UserPrincipalName, IPAddress
| where Attempts > 5
KQL-voorbeeld 2 – mislukte aanmeldingen vanaf hetzelfde IP-adres bij meerdere gebruikers monitoren:
SigninLogs
| where ResultType == 50053 or ResultType == 50126
| summarize CountByIP = count(), AccountsTargeted = dcount(UserPrincipalName) by IPAddress
| where AccountsTargeted > 10 and CountByIP > 30
KQL-voorbeeld 3 – bekende veilige locaties uitfilteren:| where Location != "YourSafeLocation"
Met deze query stelt u Sentinel Analytics-regels in die notificaties versturen zodra drempelwaarden worden overschreden.
Lichtgewicht detectie met de unified audit logs van Microsoft 365 in Purview
Schakel de unified audit log in in Microsoft Purview met het volgende commando in Exchange Online PowerShell:
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
Vervolgens zoekt u naar mislukte aanmeldpogingen met dit commando:
Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-1) -EndDate (Get-Date) -Operations UserLoggedIn |Where-Object { $_.AuditData.ResultStatus -eq "Failed" }
Met analysetools correleert u die vermeldingen vervolgens met IP-adressen en frequentie om aanvalspogingen af te leiden en die bronnen te blokkeren. U kunt de gegevens uit de audit log hiervoor exporteren naar .csv-formaat:
Export-Csv -Path "C:\Logs\M365_LoginFailures.csv" -NoTypeInformation
Gebruik van legacy authenticatie opsporen met PowerShell (gangbaar bij password spray-pogingen)
Password spray-aanvallen richten zich vaak op verouderde protocollen zoals POP, IMAP en SMTP. Deze protocollen zijn in Microsoft 365 afgeschaft, maar sommige organisaties hebben ze nog ingeschakeld of beheren gekoppelde infrastructuur die werkt met verouderde en onveilige authenticatietechnologie. U detecteert verouderde e-mailauthenticatie door het volgende commando uit te voeren in Exchange Online PowerShell:
Get-SignInLogs | Where-Object { $_.ClientAppUsed -in @("IMAP", "POP", "SMTP", "MAPI", "Exchange ActiveSync") } |
Select-Object UserPrincipalName, ClientAppUsed, IPAddress
Deze methoden schakelt u vervolgens als volgt uit voor een specifieke gebruiker:
Set-CASMailbox [email protected] -ImapEnabled $false -PopEnabled $false -MAPIEnabled $false -SmtpClientAuthenticationDisabled $true
Verouderde protocollen blokkeren en vergrendeling afdwingen met GPO
Naast bescherming tegen password spraying in Microsoft 365 kunt u endpoints beschermen tegen herhaalde aanmeldpogingen met Groepsbeleid in een Windows-domeinomgeving. Zo gebruikt u Groepsbeleid om handhaving op OS-niveau te ondersteunen in hybride omgevingen:
- Open het portaal voor groepsbeleidsbeheer
- Ga naar Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Accountvergrendelingsbeleid
- Stel de Drempel voor accountvergrendeling in op 5 ongeldige pogingen
- Stel de Duur van accountvergrendeling in op 15 minuten
Met wevtutil doorzoekt u de beveiligingslogboeken op mislukte aanmeldpogingen, eventueel geautomatiseerd via scriptuitrol of RMM-oplossingen:
wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:20 /f:text
U kunt ook moderne authenticatie afdwingen en basisauthenticatie als terugvaloptie uitschakelen in Outlook via Groepsbeleid, door de registerwaarde "AlwaysUseMSOAuthForAutoDiscover"=dword:00000001 uit te rollen naar de registersleutel op HKEY_CURRENT_USER\Software\Microsoft\Exchange.
Problemen oplossen en extra tips en tools voor detectie
Om er zeker van te zijn dat uw maatregelen tegen password spraying in Microsoft 365 effectief werken, controleert u het volgende:
- De ingestie van de unified audit log is ingeschakeld.
- Vertrouwde IP-adressen of regio’s staan op een whitelist in de Sentinel-query’s om fout-positieven te beperken, terwijl aanmeldingen uit verre landen waar u nooit een aanmeldpoging verwacht volledig worden geblokkeerd.
- Conditional access blokkeert legacy authenticatie en apps in plaats van dat u erop vertrouwt dat gebruikers zelf overstappen.
- De tijdsvensters van KQL-query’s worden verruimd en drempelvariabelen aangepast om verdacht gedrag op te vangen.
- Gebruikersaccounts worden automatisch geblokkeerd bij een hoog aanmeldrisico.
U voorkomt geslaagde password spray-aanvallen door MFA in uw hele IT-infrastructuur voor alle gebruikers in te voeren. Audit daarnaast regelmatig de toegang van derden, zodat ongebruikte serviceaccounts kunnen worden verwijderd of hun rechten kunnen worden herzien. Train eindgebruikers ook regelmatig in beste praktijken voor cybersecurity en gegevensverwerking (zoals het herkennen van verdachte aanmeldverzoeken en phishingpogingen), zodat uw organisatie beschermd en compliant blijft.
Zo verkleint NinjaOne RMM uw blootstelling aan password spraying en andere aanvallen
Password spraying richt zich op zwakke aanmeldroutes. Daarom helpt Monitoring en beheer op afstand (RMM) van NinjaOne technici om endpointrisico’s te verkleinen: door verouderde software te verwijderen, veilige configuraties af te dwingen, gedefinieerde deviceomstandigheden te monitoren en goedgekeurde herstelacties te automatiseren.
Met NinjaOne RMM rollen technici scripts uit die verouderde software verwijderen die mogelijk met achterhaalde authenticatiemethoden probeert in te loggen op Microsoft 365. Teams kunnen via beleidsregels ook veilige standaardconfiguraties afdwingen op alle beheerde devices en scripts uitvoeren om problemen op grote schaal te verhelpen.
NinjaOne RMM waarschuwt technici wanneer beheerde devices aan ingestelde voorwaarden voldoen, zodat zij endpointproblemen sneller herkennen en oplossen. Het werkt bovendien samen met identiteits- en beveiligingstools om het beveiligingsbeleid van beheerde Windows-, macOS- en Linux-endpoints als geheel te versterken.
Quick-start guide
Detectie van password spray-aanvallen in Microsoft 365
NinjaOne heeft geen ingebouwde tool om password spray-aanvallen te detecteren, maar er zijn verschillende strategieën die u kunt toepassen:
1. Monitoring met Microsoft Sentinel
– Gebruik Microsoft Sentinel om aanmeldlogboeken te monitoren
– Let op:
– Meerdere mislukte aanmeldpogingen bij verschillende accounts
– Aanmeldingen vanaf ongebruikelijke IP-adressen of geografische locaties
– Verdachte authenticatiepatronen
2. Analyse van audit logs
– Bekijk de aanmeldlogboeken van Azure AD
– Controleer op:
– Een groot aantal mislukte aanmeldpogingen
– Pogingen vanaf anonieme of verdachte IP-adressen
– Aanmeldpogingen bij meerdere gebruikersaccounts binnen korte tijd
3. Aanvullende aanbevolen beschermingsmaatregelen
– Schakel Multi-Factor Authentication (MFA) in
– Voer conditional access policies in
– Gebruik Azure AD Password Protection
– Stel drempelwaarden in voor aanmeldpogingen
4. Aanvullende scripts van NinjaOne
– NinjaOne heeft een script met de naam “Check for Brute Force login attempts” dat kan helpen bij het herkennen van verdachte aanmeldpatronen
Aanbeveling: NinjaOne lost dit niet rechtstreeks op, maar wij raden aan om Microsoft Sentinel of geavanceerde monitoring van Azure AD te combineren met een gelaagde beveiligingsaanpak.
