https://mpeeters.nl/categories/identiteit-en-toegang/Recent content in Identiteit en toegang on mpeeters.nlHugonl-NLWed, 07 Oct 2026 14:40:35 +0200https://mpeeters.nl/blog/verdachte-aanmelding-entra-id-onderzoeken/Wed, 07 Oct 2026 14:40:35 +0200https://mpeeters.nl/blog/verdachte-aanmelding-entra-id-onderzoeken/<p>Een gebruiker meldt dat hij een MFA-prompt kreeg die hij niet zelf startte. Of er komt een alert binnen voor een aanmelding vanuit een land waar je geen medewerkers hebt. Daarna begint het eigenlijke werk, en dat vraagt om drie antwoorden: <strong>is er daadwerkelijk ingelogd, hoe is dat gelukt, en wat is er daarna gedaan?</strong></p> <p>In dit artikel loop ik langs de volgorde die ik daarvoor aanhoud. De voorbeelden zijn KQL-queries op de Entra-logs in een Log Analytics-workspace. Alle gebruikersnamen, IP-adressen en ASN&rsquo;s in de voorbeelden zijn fictief. Het artikel is een vervolg op <a href="https://mpeeters.nl/blog/device-code-phishing/">device code phishing</a>, waar ik kort noemde dat je op die aanmeldingen moet monitoren, maar niet hoe.</p>https://mpeeters.nl/blog/device-code-phishing/Thu, 01 Oct 2026 18:00:00 +0200https://mpeeters.nl/blog/device-code-phishing/<p>De klassieke phishing-tip is: kijk goed naar de adresbalk. Staat er echt <code>login.microsoftonline.com</code>? Bij device code phishing helpt die tip niet, want het slachtoffer logt in op de <strong>echte</strong> inlogpagina van Microsoft, met het echte wachtwoord en de echte MFA-prompt. En toch krijgt de aanvaller toegang.</p> <h2 id="wat-is-de-device-code-flow">Wat is de device code flow?</h2> <p>Sommige apparaten hebben geen fatsoenlijk toetsenbord of browser: een smart-tv, een vergaderscherm in de Teams Room, een printer of een commandoregeltool. Daarvoor bestaat de <em>device authorization grant</em> uit OAuth 2.0, beter bekend als de device code flow:</p>