Оповіщення про обліковий запис Microsoft після VPN: що перевірити

Оповіщення про безпеку, що надходять одразу після зміни VPN, зазвичай стосуються саме VPN, і саме тому їх надто швидко відхиляють. Тунель змінює адресу, яку Microsoft пов'язує з вашим сеансом; однак він не відповідає на запитання, яке ставить оповіщення. Ставтеся до повідомлення як до короткої перевірки з двома результатами, а не як до вироку, який треба відмахнути. Десять хвилин читання кращі і за недбале відхилення, і за панічне скидання пароля.

Перевірка триває десять хвилин і дає один із двох результатів: ви впізнаєте подію або запускаєте процедуру захисту облікового запису. І те, і те краще, ніж відхилити повідомлення.

Оповіщення — це запитання, а не вирок

Особисті облікові записи Microsoft ведуть журнал останньої активності, у якому перелічено входи та інші важливі для безпеки події з часом, адресою, пристроєм і способом доступу. VPN змінює адресу, яку бачить служба, а геолокація, прив'язана до цієї адреси, може зміститися на сотні кілометрів, хоча ви самі не рухаєтеся. Читайте ці чотири поля як одне ціле, бо кожне звужує значення інших. Тому оповіщення саме по собі нічого не доводить.

Тому позначка на карті в незнайомому місті — це підказка, а не вимірювання. Тому й упізнавання позірного місцезнаходження постачальника VPN доводить менше, ніж здається: справжній зловмисник, який використовує того самого комерційного постачальника, дав би схожу позначку. Адреса каже, яка мережа використала запит, а не хто тримав пристрій. Відповідати на це починають лише поля пристрою та застосунку.

Робочі та шкільні облікові записи — це зовсім інша перевірка. Облікові записи Microsoft 365 керуються політикою ідентичності та доступу організації, тож сторінка активності особистого запису — не та консоль, а правильний контакт — служба підтримки організації.

Відкрийте журнал із відомої адреси

Введіть адресу сторінки облікового запису самі або скористайтеся закладкою, якій уже довіряєте. Не проходьте автентифікацію за посиланням з листа з оповіщенням, бо момент, коли ви схильні довіряти запиту на вхід, — найгірший момент, щоб пропустити це правило. Це не зауваження щодо оповіщення, яке ви отримали; це правило, яке має діяти для кожного оповіщення, зокрема справжніх. Відкрийте консоль із відомої адреси, і решта перевірки буде надійною.

Усередині відкрийте розділ безпеки та подання останньої активності, потім розгорніть подію, що спричинила оповіщення. Порівняйте чотири поля разом: час, адресу, пристрій і застосунок або спосіб доступу. Збіжний час із незнайомим пристроєм — це інший висновок, ніж незнайома адреса з вашим звичним пристроєм.

Записуйте порівняння по ходу. Рішення, яке ви збираєтеся ухвалити, залежить відразу від кількох полів, а пам'ять — поганий запис, коли надійде наступне повідомлення.

Дві відповіді, обрані за полями

Якщо подія збігається з тим, що ви робили, скористайтеся елементом «це був я» там, де його пропонує подання активності, і завершіть будь-яку перевірку через розпочатий вами потік. Упізнати подію не означає, що обліковий запис ніколи не був під загрозою. Це означає, що саме це повідомлення пояснене і що повідомлення було єдиним, що вимагало рішення. Нове місце або пристрій може законно спричинити додаткову перевірку; це працює система, а не доказ того, що кожне з'єднання через тунель має блокувати обліковий запис.

Якщо подія не збігається або ви не можете цього визначити, скористайтеся шляхом «це був не я» або елементом захисту облікового запису, який пропонує сторінка, а потім дотримуйтеся запущеного ним відновлення та перевірки безпеки. Змініть пароль із пристрою, якому довіряєте, перегляньте під'єднані застосунки та сеанси й підтримуйте дані для відновлення в актуальному стані.

Ніколи не схвалюйте запит автентифікатора, що надходить, поки ви не впевнені. Схвалити його лише щоб оповіщення припинилося — саме так перевірка облікового запису перетворюється на захоплення облікового запису.

Чого журнал не може довести

Сторінка активності — це зведення, а не повний журнал аудиту. Відсутній запис не доводить, що нічого не сталося, а відсутність незнайомого рядка — слабший доказ, ніж наявність знайомого. Вважайте її одним джерелом із кількох.

Якщо журнал неясний або процес відновлення застряг, скористайтеся підтримуваним постачальником шляхом допомоги з обліковим записом, а не рецептом із форуму. Відновлення облікового запису — саме та ділянка, де імпровізовані кроки завдають непоправної шкоди.

Коли перевірку завершено й обліковий запис підтверджено, спробуйте знову відкрити поштову скриньку через звичайний потік входу й дайте клієнту синхронізуватися. Перезапуск поштового застосунку оновлює локальний стан; він не схвалює подію, яку ви не впізнали, і не замінює перевірку.

Та частина, яку VPN справді пояснює

VPN пояснює зміну адреси, нове місто на карті та новий запит на перевірку. Він не пояснює пристрій, яким ви ніколи не користувалися, застосунок, який ви ніколи не під'єднували, чи вхід у час, коли ви спали. Розділіть ці дві категорії до ухвалення рішення, і оповіщення стане легко класифікувати.

Ця класифікація і є вся навичка. Тунель — правдоподібне пояснення для одного стовпця доказів, а не для всіх.