Misstänkt kapat M365-konto: en praktisk åtgärdslista för IT

Förutsättningar och påverkan

För Microsoft 365-administratörer. En kontoblockering påverkar användarens arbete; bekräfta rätt organisation och konto och samordna med incidentansvarig. Använd en säker dator och en kontaktväg som inte går genom den misstänkt kapade brevlådan.

1. Begränsa åtkomsten

Microsoft rekommenderar att det berörda kontot inaktiveras under utredningen och att användarens sessioner återkallas. Byt komprometterat lösenord i den identitetskälla som faktiskt hanterar kontot. Lämna inte ett nytt lösenord via den kapade e-posten. [1]

2. Leta efter vägar tillbaka

1. Granska registrerade autentiseringsmetoder och ta bort obekanta metoder efter att nödvändiga uppgifter säkrats. [1]
2. Granska appar med samtycke och tilldelade administrativa roller. Återkalla obehörig åtkomst med dokumenterad bedömning. [1]
3. Kontrollera vidarebefordran på brevlådan och inkorgsregler, även dolda regler. Säkra uppgifter om misstänkta regler innan de tas bort. [1]

3. Utred omfattningen

Granska inloggnings- och granskningsloggar från tiden före misstanken och framåt. Kontrollera vad som faktiskt har lästs, ändrats eller skickats där loggarna medger det. Loggtillgång och lagringstid varierar med tjänst och licens; saknade loggar är inte ett friskintyg. [1]

4. Återställ och kontrollera

• Angriparens identifierade åtkomstvägar är åtgärdade och användarens identitet har kontrollerats.
• Avsedd stark autentisering fungerar i en ny inloggning.
• E-postregler, vidarebefordran och viktiga kontoinställningar är genomgångna.
• Åtkomst återges först när ansvarig bedömt det lämpligt; bevaka därefter nya avvikelser.

Markeringarna sparas bara i den här webbläsaren.

Viktig begränsning

Återkallning av sessioner innebär inte att varje redan utfärdad token och varje apps egen session upphör i samma ögonblick. Följ Microsofts råd för de berörda tjänsterna och fortsätt kontrollera aktiviteten. [2]