De Microsoft 365-tenants van uw klanten, bewaakt als een endpoint.
Een agent vertelt u wat er op een apparaat gebeurt. Over de tenant waarin uw klant daadwerkelijk werkt, kan hij niets zeggen. Secuno leest elke gekoppelde Microsoft 365- en Entra ID-tenant volgens schema, kijkt wie zich vanaf welke plek aanmeldt, en meldt wat er sinds de vorige scan is veranderd, niet alleen wat er vandaag mis is.
- Legacy auth geblokkeerd
- +12 pts
- Gastuitnodigingen versoepeld
- nieuw
- Nieuwe OAuth-toestemmingen
- 0
De endpoint-agent is blind voor de tenant. Daar leeft het account.
Voor diefstal van inloggegevens is geen malware op een laptop nodig. Er is één account met een zwakke tweede factor voor nodig, één machtiging die een jaar geleden is verleend en nooit is herzien, of één beheerder die stilletjes gestopt is met zijn authenticator. Niets daarvan is zichtbaar op het apparaat, en niets daarvan is zichtbaar in een maandelijkse export.
Agentloos, en standaard alleen-lezen
Secuno koppelt aan elke tenant met alleen-lezen Graph-rechten en installeert niets. Ingrijpen op een account is een aparte keuze per tenant, verderop beschreven. Zonder die keuze vertelt de console u wat er moet veranderen en kan hij het niet voor u veranderen.
Ingesteld per tenant, niet per platform
Elke klant geeft zijn eigen verwachtingen op, omdat die werkelijk verschillen. Een klant met een Nederlandse backoffice en een Indiaas ontwikkelteam is geen uitzondering waar omheen gewerkt moet worden.
Onbekend wordt nooit gemeld als geslaagd
Een controle waarvan Graph de gegevens weigerde, wordt vastgelegd als onbekend, met de reden erbij. Een rechtentekort dat eruitziet als een schone tenant is erger dan geen antwoord, want dat is het antwoord waarop u zou hebben gehandeld.
Detecties die Secuno zelf doet, zonder op Microsoft te wachten.
Het aanmeldrisico van Microsoft zelf vereist Entra ID P2, en dat heeft een Business Premium-tenant, de meest voorkomende in het mkb, niet. Drie van de vier detecties die Secuno zelf doet hebben geen P2 nodig, en ze draaien op het eigen schema van Secuno.
- Het endpoint spreekt de aanmelding tegen: de eigen laptop van de gebruiker was binnen vijftien minuten aantoonbaar in een ander land. Dat opent een zaak op HIGH met responsacties voor het apparaat en, als de tenant daarvoor koos, voor het account. Bevestigt de laptop de locatie, dan zakt onmogelijke reizen in ernst, nooit onder LOW.
- Een aangeleerde landenbaseline, per tenant en per persoon. Een land waar niemand in de tenant zich ooit vandaan aanmeldde is HIGH, een land dat nieuw is voor deze persoon is MEDIUM. Het leert veertien dagen voordat het alarm slaat, zonder landenlijst om in te vullen.
- Password spraying of gericht raden gevolgd door een geslaagde aanmelding, uitgewerkt als twee smalle regels, zodat een telefoon met het wachtwoord van vorige maand niet afgaat.
- Met P2 lost een detectie die in Entra is afgewezen hier haar bevinding op, en opent een account dat op bevestigd gecompromitteerd komt binnen één pollinterval een zaak.
- Onmogelijke reizen wordt afgezet tegen de snelst aannemelijke reis. Een opgegeven landenlijst en tijdgebonden vakantievensters blijven werken waar een tenant ze wil, en een vakantie zet onmogelijke reizen nooit uit.
Allowed sign-in countries
A successful sign-in from anywhere else raises a HIGH risk. Empty allows every country. Attempts already blocked by conditional access never appear here.
Sign-ins from the countries you name stop raising findings for the dates you choose, then the fence closes again on its own. Impossible travel keeps running throughout.
| User | Countries | Dates | Status |
|---|---|---|---|
| M. Alvarez[email protected] | SpainES | Sep 12 – Sep 20 | Active |
| S. Novak[email protected] | United StatesUS | Oct 02 – Oct 09 | Scheduled |
Een kaal percentage is geen gesprek met een klant.
Microsoft geeft u een getal. Op zichzelf weet niemand of 58% goed is, of wat er als eerste moet.
- Afgezet tegen het branchegemiddelde en tegen tenants van vergelijkbare grootte, zodat het getal een kader krijgt.
- Aanbevelingen gerangschikt op de punten die nog openstaan, oftewel op verhouding tussen inspanning en effect, en in de volgorde waarin de score werkelijk gaat bewegen.
- Niet gelabeld als herstelactie: Secuno heeft geen schrijfrechten op deze instellingen, en een knop die een oplossing belooft maar documentatie opent is een belofte die het product niet waarmaakt.
Negenendertig bevindingstypen, elk in staat om zelfstandig een risico te openen.
Secuno leest MFA-status per methode, geprivilegieerde rollen met vaste en PIM-in-aanmerking-komende toewijzingen apart, Conditional Access en Security Defaults, verouderde authenticatie, risicovolle gebruikers, SharePoint- en gastdeling, OAuth-applicaties met hun machtigingen, toestemmingstype en uitgeververificatie, app-geheimen en certificaten, en SPF, DKIM en DMARC voor de mail. Waar een combinatie op zichzelf gevaarlijk is, wordt het een risico met eigenaar en vervaldatum. Achttien postuurmetrieken worden per tenant bewaard met acht basissignalen daaronder, en negen drifttypen worden bij elke scan vergeleken.
De rijen over doorsturen, mailstroomregels, auditlogging en delegatie komen uit de Exchange Online-controles, die per tenant aan te zetten zijn en standaard uit staan. Elke bevinding is gekoppeld aan de tenant en het onderwerp waarop ze betrekking heeft, zodat een nieuwe scan haar ter plekke bijwerkt in plaats van een tweede exemplaar te openen. Bevindingen kunnen tijdgebonden worden uitgezonderd, waarbij zowel een einddatum als een reden verplicht is: een uitzondering zonder einddatum is een permanente demping, en een zonder reden is een half jaar later niet te beoordelen.
Zevenentwintig maatregelen, en voor elk een antwoord.
Bevindingen zeggen wat er mis is. Maatregelen zeggen ook wat er goed is. Elke volledige scan beoordeelt 27 maatregelen in acht onderdelen, van identiteit en geprivilegieerde toegang tot mail, delen, applicaties en hybride synchronisatie, als geslaagd, gefaald, onbekend of niet van toepassing. Elke maatregel verwijst naar CIS Microsoft 365 Foundations v4 en CISA SCuBA, zodat een klantgesprek of audit kan beginnen bij een benchmark in plaats van bij een lijst problemen.
Een schone tenant laat bewijs achter
Een goed ingerichte tenant liet vroeger geen spoor na, omdat alleen gebreken werden vastgelegd. Nu laat hij zien hoeveel van zijn 27 maatregelen slagen, toont de Tenant Baseline-weergave wat sinds wanneer faalt, en lezen compliance-frameworks dezelfde uitkomsten.
Onbekend telt nooit als geslaagd
Een maatregel waarvan de gegevens niet te lezen waren, is onbekend en noemt de gegevensset. Een uitgeschakelde controle is niet van toepassing. Gefaald gaat boven onbekend, en onbekend of niet van toepassing telt nooit als geslaagd.
Break-glass-accounts, netjes opgegeven
Noodtoegangsaccounts worden op object-id opgegeven en alleen vrijgesteld van de MFA-controles voor beheerders. Ze worden nog steeds geïnventariseerd en meegeteld, en een opgegeven account zonder geprivilegieerde rol levert een eigen bevinding op.
Is het account het incident, grijp dan in op het account.
Alleen-lezen is de standaard. Een tenant kan kiezen voor drie acties: alle aanmeldsessies van een gebruiker intrekken, het account uitschakelen, en het weer inschakelen. Staan ze aan, dan verschijnen ze in de gebruikerslijst en in elk onderzoek over dat account, en kunnen automatiseringsregels sessies intrekken of een account uitschakelen.
- Per tenant aan te zetten, en uit tot iemand het aanzet. De rechten worden uit het token zelf aangetoond voordat de schakelaar omgaat, aanzetten vraagt een uitdrukkelijke bevestiging en het kan op elk moment weer uit.
- Het uitschakelen van de laatste Global Administrator wordt geweigerd, en acties bereiken alleen gebruikers die in de laatste scan zijn gezien.
- Een zaak die alerts over meer dan één account bundelt, weigert identiteitsacties en zegt waarom, in plaats van te gokken wiens account op slot moet.
- Aan- en uitzetten, en elke uitgevoerde actie, komt in het auditlog. Een automatiseringsregel handelt op het onderwerp van de zaak zelf en kan nooit zijn eigen doelwit kiezen.
Wat het koppelen van een tenant inhoudt.
Wat is ITDR, en waarin verschilt het van wat mijn RMM al toont?
Identity Threat Detection and Response is het bewaken van de identiteitslaag zelf: wie zich kan aanmelden, vanwaar, met welke tweede factor, met welke rollen, en aan welke applicaties toestemming is gegeven. Een RMM beheert apparaten en een antivirus bewaakt processen. Geen van beide ziet dat een beheerder vorige week dinsdag gestopt is met zijn authenticator, of dat een OAuth-applicatie die twee jaar geleden brede toegang tot postvakken kreeg die nog steeds heeft.
Heeft Secuno schrijfrechten nodig op de tenant van mijn klant?
Niet voor de bewaking. Postuur, maatregelen en detectie op aanmeldingen gebruiken alleen-lezen Graph-rechten, en er wordt niets in de tenant geïnstalleerd. De enige schrijfacties die Secuno ooit kan doen zijn de drie accountacties, en alleen op een tenant die daarvoor heeft gekozen. Aanbevelingen openen nog steeds het juiste beheerscherm van Microsoft in plaats van te beweren een configuratie zelf te herstellen.
Hebben de tenants van mijn klanten Entra ID P2 nodig?
Voor het meeste niet. Drie van de vier aanmelddetecties van Secuno werken zonder, net als de meeste postuurcontroles. Dat telt, want Business Premium bevat P1 en geen P2. De risicovolle gebruikers en risicodetecties van Microsoft zelf zijn een P2-gegevensset, en op een tenant zonder P2 wordt dat vastgelegd als planbeperking, niet getoond als waarschuwing die de klant niet kan verhelpen.
Wat vertelt een melding over een risicovolle aanmelding mij eigenlijk?
Wat er aanmeldde, niet alleen wie. Elke risicovolle aanmelding toont of MFA is voldaan, de applicatie, het apparaat, besturingssysteem en de browser, en welk Conditional Access-beleid van toepassing was, met No CA policy applied in amber en een link naar de aanmelding in Entra. Het aanmeldlogboek loopt achter op de detectie, dus de opzoeking probeert het opnieuw in plaats van te gokken, en een koppeling die niet zeker te maken is wordt vastgelegd als dubbelzinnig.
Wat gebeurt er als een machtiging ontbreekt of het plan een gegevensset niet bevat?
De gegevensset wordt vastgelegd als onbekend met een geclassificeerde reden, zowel op de verbinding als op die specifieke scan, zodat achteraf te beantwoorden is wanneer een gegevensset begon te falen en wat Graph precies zei. Planbeperkingen worden benoemd als planbeperking. Een tenant zonder het premium identiteitsplan krijgt geen permanente waarschuwingsbalk voor iets wat de klant niet kan verhelpen.
Gaat onmogelijke reizen af zodra iemand een VPN gebruikt?
Aanmeldingen waarvan de locatie niet of te grof te bepalen is, worden overgeslagen in plaats van geraden. Dat is precies het geval waarin een naïeve afstandscontrole de fout ingaat, want een VPN-uitgang komt vaak uit op een datacentrum zonder betekenisvol land.
Hoe bereikt dit mijn team in plaats van in nog een console te blijven hangen?
Elke bevinding wordt een gescoord risico in dezelfde wachtrij als al het andere, met eigenaar, vervaldatum en audittrail, en kan via dezelfde connectoren als elk ander risico naar Slack, Teams, Jira, ServiceNow of uw PSA worden gestuurd. Aanmelddetecties openen in plaats daarvan een onderzoek, naast de endpointzaken, want een aanmelding die heeft plaatsgevonden houdt niet op te hebben plaatsgevonden.
Wat kost Managed ITDR?
€ 1,70 per gelicentieerde identiteit per maand, exclusief btw, voor alles op deze pagina. Een gelicentieerde identiteit is een account in de tenant waaraan een Microsoft 365-licentie is toegewezen; accounts zonder licentie tellen niet mee. Het is een module bovenop het Standard-platform. MSP's en MSSP's krijgen op aanvraag partnerprijzen.
Koppel één tenant en zie wat een scan oplevert.
Een sessie van 30 minuten tegen een echte tenant, van toestemming tot de eerste gescoorde bevinding. Neem de klantomgeving mee waar u het minst zeker over bent.
Nog geen demo? Scan het domein van een klant met de gratis Microsoft 365-check