Algemeen

Dit alarm gaat af wanneer het account dat dient voor noodsituaties, gebruikt wordt.

Rationale

Het emergency account heeft de hoogste privileges maar geen tweefactorauthenticatie. Dat is bewust, om een manier te hebben om de omgeving te openen wanneer de tweede factor methode op grote schaal faalt. Wanneer er echter geen aanleiding is, zou het account niet gebruikt moeten worden. En dat maakt dat elk ongepland gebruik van het account verdacht is: mogelijk is het wachtwoord in verkeerde handen gevallen.

Opvolging

Voer deze stappen uit om deze detecie adequaat op te volgen:

1. Ga bij collega's die toegang hebben tot de inloggegevens van het emergency account gepland was.
   
   
2. Zo nee: beschouw het emergency account als gecompromitteerd:
   1. Reset het wachtwoord van het emergency account
   2. Trek alle ingelogde sessies in van het emergency account (revoke sessions)
   3. Overweeg een Attic Tier2 onderzoek uit te laten voeren om meer te weten te komen over de aanval (wie, wat, wanneer, waar, waarom, hoe?). Dit wordt zeker geadviseerd aangezien de uitvoerende gebruiker een ander persoon is dan de eigenaar van de mailbox.
      
      
3. Zo ja: sluit het Attic incident af als in orde

Meer informatie

1. https://learn.microsoft.com/nl-nl/entra/identity/role-based-access-control/security-emergency-access#monitor-sign-in-and-audit-logs