Microsoft-kontoavisering efter en VPN: vad du bör kontrollera

Säkerhetsaviseringar som kommer direkt efter en VPN-ändring handlar oftast om VPN:en, och det är just därför de avfärdas för snabbt. Tunneln ändrar den adress som Microsoft förknippar med din session; den svarar inte på frågan som aviseringen ställer. Behandla meddelandet som en kort granskning med två utfall i stället för en dom att svepa bort. Tio minuters läsning slår både ett slarvigt avfärdande och en panikartad lösenordsåterställning.

Granskningen tar tio minuter och ger ett av två utfall: du känner igen händelsen, eller du startar kontoskyddsprocessen. Båda är bättre än att avfärda meddelandet.

Aviseringen är en fråga, inte en dom

Personliga Microsoft-konton för en översikt över senaste aktivitet som listar inloggningar och andra säkerhetsrelevanta händelser med en tidpunkt, en adress, en enhet och en åtkomstmetod. En VPN ändrar den adress som tjänsten ser, och den geoplats som hör till adressen kan flytta sig hundratals mil utan att du själv rör dig. Läs de fyra fälten som en helhet, eftersom varje fält snävar in betydelsen av de andra. Det är också därför aviseringen inte i sig bevisar någonting.

Därför är en kartnål i en okänd stad en ledtråd snarare än en mätning. Det är också därför det bevisar mindre än det verkar att känna igen VPN-leverantörens skenbara plats: en riktig inkräktare som använder samma kommersiella leverantör skulle ge en liknande nål. Adressen berättar vilket nätverk begäran använde, inte vilken person som höll i enheten. Bara fälten för enhet och app börjar besvara det.

Arbets- och skolkonton är en helt annan granskning. Microsoft 365-konton styrs av organisationens identitets- och åtkomstprincip, så aktivitetssidan för personliga konton är inte rätt konsol och organisationens helpdesk är rätt kontakt.

Öppna översikten från en känd adress

Skriv kontosidans adress själv eller använd ett bokmärke du redan litar på. Autentisera inte via en länk i aviseringsmejlet, för det ögonblick då du är benägen att lita på en inloggningsuppmaning är det sämsta ögonblicket att hoppa över den regeln. Det är ingen kommentar till aviseringen du fick; det är en regel som måste gälla för varje avisering, även de riktiga. Öppna konsolen från en känd adress, så är resten av granskningen tillförlitlig.

Väl inne, öppna säkerhetsavsnittet och vyn för senaste aktivitet och fäll sedan ut händelsen som orsakade aviseringen. Jämför fyra fält tillsammans: tidpunkt, adress, enhet och app eller åtkomstmetod. En tidpunkt som stämmer med en okänd enhet är ett annat fynd än en okänd adress med din vanliga enhet.

Skriv ned jämförelsen medan du går. Det beslut du är på väg att fatta beror på flera fält samtidigt, och minnet är ett dåligt register när nästa meddelande kommer.

Två svar, valda utifrån fälten

Om händelsen stämmer med det du gjorde, använd kontrollen "det var jag" där aktivitetsvyn erbjuder den, och slutför eventuell verifiering via det flöde du startade. Att känna igen händelsen betyder inte att kontot aldrig var i fara. Det betyder att just detta meddelande är förklarat, och att meddelandet var det enda som bad om ett beslut. En ny plats eller enhet kan med rätta utlösa extra verifiering; det är systemet som fungerar, inte bevis för att varje tunnelförbindelse måste låsa kontot.

Om händelsen inte stämmer, eller du inte kan avgöra det, använd flödet "det var inte jag" eller det kontoskydd som sidan erbjuder och följ sedan den återställning och säkerhetsgranskning som den startar. Byt lösenord från en enhet du litar på, granska anslutna appar och sessioner och håll återställningsinformationen aktuell.

Godkänn aldrig en autentiseringsuppmaning som kommer medan du är osäker. Att godkänna en för att få aviseringen att sluta är precis hur en kontogranskning blir ett kontoövertagande.

Vad översikten inte kan bevisa

Aktivitetssidan är en sammanfattning, inte en fullständig granskningslogg. En saknad post bevisar inte att ingenting hände, och frånvaron av en okänd rad är svagare bevis än närvaron av en känd. Behandla den som en källa bland flera.

Om översikten är oklar eller återställningsprocessen stannar, använd leverantörens supportväg för kontohjälp i stället för ett forumrecept. Kontoåterställning är precis det område där improviserade steg orsakar bestående skada.

När granskningen är klar och kontot är bekräftat, försök igen med brevlådan via dess normala inloggningsflöde och låt klienten synkronisera. Att starta om mejlappen uppdaterar lokalt tillstånd; det godkänner inte en händelse du inte kände igen, och det ersätter inte granskningen.

Den del som VPN:en faktiskt förklarar

En VPN förklarar en ändrad adress, en ny stad på kartan och en ny verifieringsuppmaning. Den förklarar inte en enhet du aldrig använt, en app du aldrig anslutit eller en inloggning vid en tidpunkt då du sov. Skilj på de två kategorierna innan du beslutar, så blir aviseringen lätt att klassificera.

Den klassificeringen är hela färdigheten. Tunneln är en rimlig förklaring till en kolumn av bevisen, inte till alla.