Оповещение об аккаунте Microsoft после VPN: что проверить

Уведомления безопасности, которые приходят сразу после смены VPN, обычно связаны именно с VPN, и именно поэтому их слишком быстро закрывают. Туннель меняет адрес, который Microsoft связывает с вашей сессией; но он не отвечает на вопрос, который задаёт уведомление. Отнеситесь к сообщению как к короткой проверке с двумя исходами, а не как к приговору, который нужно смахнуть. Десять минут чтения лучше и небрежного отклонения, и панического сброса пароля.

Проверка занимает десять минут и даёт один из двух исходов: вы узнаёте событие или запускаете процедуру защиты аккаунта. И то и другое лучше, чем отклонить сообщение.

Уведомление — это вопрос, а не приговор

Личные аккаунты Microsoft ведут журнал последней активности, в котором перечислены входы и другие значимые для безопасности события с временем, адресом, устройством и способом доступа. VPN меняет адрес, который видит служба, а геолокация, привязанная к этому адресу, может сместиться на сотни километров, хотя вы сами не двигаетесь. Читайте эти четыре поля как единое целое, потому что каждое сужает значение остальных. Поэтому уведомление само по себе ничего не доказывает.

Поэтому метка на карте в незнакомом городе — это подсказка, а не измерение. Поэтому и узнавание кажущегося местоположения провайдера VPN доказывает меньше, чем кажется: настоящий злоумышленник, использующий того же коммерческого провайдера, дал бы похожую метку. Адрес говорит, какая сеть использовала запрос, а не кто держал устройство. Ответить на это начинают только поля устройства и приложения.

Рабочие и школьные аккаунты — это совсем другая проверка. Аккаунты Microsoft 365 управляются политикой идентификации и доступа организации, поэтому страница активности личного аккаунта — не та консоль, а правильный контакт — служба поддержки организации.

Откройте журнал с известного адреса

Введите адрес страницы аккаунта сами или используйте закладку, которой уже доверяете. Не проходите проверку по ссылке из письма с уведомлением, потому что момент, когда вы склонны доверять запросу на вход, — худший момент, чтобы пропустить это правило. Это не замечание об уведомлении, которое вы получили; это правило, которое должно действовать для каждого уведомления, включая настоящие. Откройте консоль с известного адреса, и остальная часть проверки будет надёжной.

Внутри откройте раздел безопасности и представление последней активности, затем разверните событие, вызвавшее уведомление. Сравните четыре поля вместе: время, адрес, устройство и приложение или способ доступа. Совпадающее время с незнакомым устройством — это иной вывод, чем незнакомый адрес с вашим обычным устройством.

Записывайте сравнение по ходу дела. Решение, которое вы собираетесь принять, зависит сразу от нескольких полей, а память — плохая запись, когда придёт следующее сообщение.

Два ответа, выбранных по полям

Если событие совпадает с тем, что вы делали, используйте элемент «это был я» там, где его предлагает представление активности, и завершите любую проверку через начатый вами поток. Узнать событие не означает, что аккаунт никогда не был под угрозой. Это означает, что именно это сообщение объяснено и что сообщение было единственным, что требовало решения. Новое место или устройство может законно вызвать дополнительную проверку; это работает система, а не доказательство того, что каждое подключение через туннель должно блокировать аккаунт.

Если событие не совпадает или вы не можете это определить, используйте путь «это был не я» или элемент защиты аккаунта, который предлагает страница, а затем следуйте запущенному им восстановлению и проверке безопасности. Смените пароль с устройства, которому доверяете, просмотрите подключённые приложения и сеансы и поддерживайте данные для восстановления в актуальном состоянии.

Никогда не одобряйте запрос аутентификатора, который приходит, пока вы не уверены. Одобрить его только чтобы уведомление прекратилось — именно так проверка аккаунта превращается в захват аккаунта.

Чего журнал не может доказать

Страница активности — это сводка, а не полный журнал аудита. Отсутствующая запись не доказывает, что ничего не произошло, а отсутствие незнакомой строки — более слабое доказательство, чем наличие знакомой. Считайте её одним источником из нескольких.

Если журнал неясен или процесс восстановления застопорился, используйте поддерживаемый провайдером путь помощи с аккаунтом, а не рецепт с форума. Восстановление аккаунта — именно та область, где импровизированные шаги причиняют непоправимый ущерб.

Когда проверка завершена и аккаунт подтверждён, снова откройте почтовый ящик через обычный поток входа и дайте клиенту синхронизироваться. Перезапуск почтового приложения обновляет локальное состояние; он не одобряет событие, которое вы не узнали, и не заменяет проверку.

Та часть, которую VPN действительно объясняет

VPN объясняет изменение адреса, новый город на карте и новый запрос на проверку. Он не объясняет устройство, которым вы никогда не пользовались, приложение, которое вы никогда не подключали, и вход в то время, когда вы спали. Разделите эти две категории до принятия решения, и уведомление станет легко классифицировать.

Эта классификация и есть всё умение. Туннель — правдоподобное объяснение для одного столбца доказательств, а не для всех.