Alert konta Microsoft po zmianie VPN: co sprawdzić

Alerty bezpieczeństwa, które przychodzą zaraz po zmianie VPN, zwykle dotyczą właśnie VPN-a i to jest dokładnie powód, dla którego są zbyt szybko odrzucane. Tunel zmienia adres, który Microsoft wiąże z twoją sesją; nie odpowiada jednak na pytanie, które zadaje alert. Potraktuj komunikat jako krótki przegląd z dwoma wynikami, a nie wyrok, który się odsuwa. Dziesięć minut czytania bije zarówno niedbałe odrzucenie, jak i paniczne zresetowanie hasła.

Przegląd zajmuje dziesięć minut i daje jeden z dwóch wyników: rozpoznajesz zdarzenie albo zaczynasz proces ochrony konta. Oba są lepsze niż odrzucenie komunikatu.

Alert to pytanie, a nie wyrok

Osobiste konta Microsoft prowadzą zapis ostatniej aktywności, który wymienia logowania i inne istotne dla bezpieczeństwa zdarzenia wraz z czasem, adresem, urządzeniem i metodą dostępu. VPN zmienia adres, który widzi usługa, a geolokalizacja przypisana do tego adresu może przesunąć się o setki kilometrów, choć sam się nie ruszasz. Czytaj te cztery pola jako całość, bo każde zawęża znaczenie pozostałych. To także powód, dla którego alert sam w sobie niczego nie dowodzi.

Dlatego pinezka na mapie w nieznanym mieście jest wskazówką, a nie pomiarem. Dlatego też rozpoznanie pozornej lokalizacji dostawcy VPN dowodzi mniej, niż się wydaje: prawdziwy intruz korzystający z tego samego komercyjnego dostawcy dałby podobną pinezkę. Adres mówi, której sieci użyło żądanie, a nie kto trzymał urządzenie. Dopiero pola urządzenia i aplikacji zaczynają na to odpowiadać.

Konta służbowe i szkolne to zupełnie inny przegląd. Konta Microsoft 365 podlegają polityce tożsamości i dostępu organizacji, więc strona aktywności konta osobistego nie jest właściwą konsolą, a właściwym kontaktem jest helpdesk organizacji.

Otwórz zapis ze znanego adresu

Wpisz adres strony konta samodzielnie albo użyj zakładki, której już ufasz. Nie loguj się przez link w e-mailu z alertem, bo moment, w którym jesteś skłonny zaufać prośbie o zalogowanie, jest najgorszym momentem na pominięcie tej zasady. To nie jest komentarz do alertu, który dostałeś; to zasada, która musi obowiązywać przy każdym alercie, także tym prawdziwym. Otwórz konsolę ze znanego adresu, a reszta przeglądu jest godna zaufania.

Po wejściu otwórz sekcję zabezpieczeń i widok ostatniej aktywności, a następnie rozwiń zdarzenie, które wywołało alert. Porównaj cztery pola razem: czas, adres, urządzenie oraz aplikację lub metodę dostępu. Zgodny czas z nieznanym urządzeniem to inne ustalenie niż nieznany adres z twoim zwykłym urządzeniem.

Zapisuj porównanie na bieżąco. Decyzja, którą zaraz podejmiesz, zależy od kilku pól naraz, a pamięć to słaby rejestr, gdy przychodzi następny komunikat.

Dwie reakcje, wybrane na podstawie pól

Jeśli zdarzenie pasuje do tego, co robiłeś, użyj kontrolki „to byłem ja” tam, gdzie widok aktywności ją oferuje, i dokończ wszelką weryfikację przez proces, który zacząłeś. Rozpoznanie zdarzenia nie oznacza, że konto nigdy nie było zagrożone. Oznacza, że ten konkretny komunikat jest wyjaśniony i że komunikat był jedyną rzeczą, która prosiła o decyzję. Nowa lokalizacja lub urządzenie może zgodnie z prawem wywołać dodatkową weryfikację; to system działa, a nie dowód, że każde połączenie tunelem musi zablokować konto.

Jeśli zdarzenie nie pasuje albo nie potrafisz tego stwierdzić, użyj ścieżki „to nie byłem ja” lub kontrolki ochrony konta, którą oferuje strona, a potem postępuj zgodnie z uruchomionym przez nią odzyskiwaniem i przeglądem bezpieczeństwa. Zmień hasło z urządzenia, któremu ufasz, przejrzyj połączone aplikacje i sesje oraz utrzymuj dane do odzyskiwania w aktualnym stanie.

Nigdy nie zatwierdzaj prośby uwierzytelniającej, która przychodzi, gdy nie masz pewności. Zatwierdzenie jej tylko po to, by powiadomienie przestało przychodzić, to dokładnie ten sposób, w jaki przegląd konta zamienia się w przejęcie konta.

Czego zapis nie może udowodnić

Strona aktywności to podsumowanie, a nie pełny dziennik audytu. Brakujący wpis nie dowodzi, że nic się nie stało, a nieobecność nieznanego wiersza jest słabszym dowodem niż obecność znanego. Traktuj ją jako jedno źródło pośród kilku.

Jeśli zapis jest niejasny albo proces odzyskiwania utknie, skorzystaj z obsługiwanej ścieżki pomocy z kontem u dostawcy, a nie z przepisu z forum. Odzyskiwanie konta to dokładnie ten obszar, w którym doraźne kroki powodują trwałe szkody.

Gdy przegląd jest gotowy, a konto potwierdzone, spróbuj ponownie otworzyć skrzynkę przez jej normalny proces logowania i pozwól klientowi się zsynchronizować. Ponowne uruchomienie aplikacji pocztowej odświeża stan lokalny; nie autoryzuje zdarzenia, którego nie rozpoznałeś, i nie zastępuje przeglądu.

Ta część, którą VPN rzeczywiście wyjaśnia

VPN wyjaśnia zmianę adresu, nowe miasto na mapie i nowy komunikat weryfikacyjny. Nie wyjaśnia urządzenia, którego nigdy nie używałeś, aplikacji, której nigdy nie podłączyłeś, ani logowania o godzinie, gdy spałeś. Rozdziel te dwie kategorie, zanim zdecydujesz, a alert stanie się łatwy do zaklasyfikowania.

Ta klasyfikacja to cała umiejętność. Tunel jest wiarygodnym wyjaśnieniem jednej kolumny dowodów, a nie wszystkich.