https://mpeeters.nl/tags/sign-in-logs/Recent content in Sign-in logs on mpeeters.nlHugonl-NLWed, 07 Oct 2026 14:40:35 +0200https://mpeeters.nl/blog/verdachte-aanmelding-entra-id-onderzoeken/Wed, 07 Oct 2026 14:40:35 +0200https://mpeeters.nl/blog/verdachte-aanmelding-entra-id-onderzoeken/<p>Een gebruiker meldt dat hij een MFA-prompt kreeg die hij niet zelf startte. Of er komt een alert binnen voor een aanmelding vanuit een land waar je geen medewerkers hebt. Daarna begint het eigenlijke werk, en dat vraagt om drie antwoorden: <strong>is er daadwerkelijk ingelogd, hoe is dat gelukt, en wat is er daarna gedaan?</strong></p> <p>In dit artikel loop ik langs de volgorde die ik daarvoor aanhoud. De voorbeelden zijn KQL-queries op de Entra-logs in een Log Analytics-workspace. Alle gebruikersnamen, IP-adressen en ASN&rsquo;s in de voorbeelden zijn fictief. Het artikel is een vervolg op <a href="https://mpeeters.nl/blog/device-code-phishing/">device code phishing</a>, waar ik kort noemde dat je op die aanmeldingen moet monitoren, maar niet hoe.</p>