Ik ben nu me wat aan het verdiepen (online onty 365 oplossing) in Azure AD en beveiliging, Conditional access, type clients etc
Ik neem aan dat het normaal is dat er continu op accounts wordt geprobeerd in te loggen van vooral buiten de EU (China, RU, BR etc) via other clients:IMAP en other clients:SMTP ?
Meestal staat er ook: "Sign-in was blocked because it came from an IP address with malicious activity." dus dat zal wel smart lockout zijn en MS die buiten je tenant om gewoon blocked.
Maar nou zag ik 1 keer een user met een inlogpoging uit china met de melding: "Invalid username or password or Invalid on-premise username or password." waaruit ik begrijp dat dit toen niet als malicious gezien werd en er wel een soort van inlogpoging was die gefaald is.
En zo heeft er ook een chinees op 1 account om de 15 sec uuuuren lang 100den inlogpogingen ondernomen (via smtp) om waarschijnlijk het wachtwoord te bruteforcen? Je zou zeggen dat die auto geblocked moet worden??
Bij elke user staat pop en imap uit btw (gewoon via admin panel), en ik ben wat aan het testen met CA policies; alles blocken buiten wat EU landen, en legacy (other) clients blocken bijv. Alle admin's aan de MFA, binnenkort alle users ook.
Maar begrijp ik dat CA geen authenticatie blocked? Of is dat puur omdat dat "basic" authenticatie pogingen zijn waar CA niet werkt?
Maar CA zou nu toch "legacy" moeten kunnen blocken? Omdat die Chinese loginpogingen blijven komen in de sign in events lijst? Er is geen manier om die ook te killen?
Stomme is ook, als ik een IP + land pak uit een gelogde "failure" login van een Rus bijv, en invul in de CA "what if" tool er wél uitkomt dat er geblocked wordt......
[
Voor 12% gewijzigd door
maratropa op 10-01-2019 23:35
]