3. Sign-in risk policy
De sign-in risk policy houdt elke login in de gaten op verdachte activiteiten. Als er ongewoon gedrag wordt gedetecteerd (bijv. een riskant IP-adres of afwijkende apparaatstatus), kan de gebruiker worden gevraagd zijn wachtwoord te wijzigen. Je kunt verschillende risiconiveaus instellen, zoals laag, gemiddeld of hoog, en controles toepassen zoals MFA afhankelijk van de ernst. Zo worden accounts die mogelijk gecompromitteerd zijn, beveiligd voordat volledige toegang wordt verleend.
4. User-risk policy
De user-risk policy is zonder twijfel een policy die elke Azure-beheerder zou moeten hebben. Deze policy monitort aanmeldactiviteiten, inclusief IP-adressen, apparaatstatus en afwijkend gedrag. Bij medium of hoog risico, afhankelijk van je configuratie, kun je acties triggeren zoals MFA verplichten, een wachtwoordreset afdwingen of toegang beperken.
Best Practices:
- Begin in Report-only modus: Evalueer het effect van je policy voordat je veranderingen afdwingt.
- Houd policies gefocust: Vermijd te complexe of brede policies; beheer elk scenario apart.
- Scheid interne medewerkers en contractors: Contractors hebben vaak strengere controles nodig, omdat HR of derden IT niet altijd informeren bij vertrek.
- Combineer geen meerdere scenario’s: Dit houdt policies duidelijk en makkelijker te beheren.
5. Device code flow blokkeren
Device code flow authenticatie laat gebruikers inloggen door een code van een terminalprompt in een browser in te voeren, vaak gebruikt met tools zoals:
Connect-MgGraph -DeviceCode
Hoewel dit handig kan zijn, vormt het een beveiligingsrisico omdat sommige controles op beheerde apparaten kunnen worden omzeild.
Device code flow blokkeren helpt ongeautoriseerde toegang te voorkomen, vooral in omgevingen met strikte authenticatiecontroles.
Deze policy wordt zelden toegepast, zelfs in grote organisaties, ondanks het risico. Voor de meeste organisaties is het best practice om device code flow volledig te blokkeren, of alleen toe te staan voor specifieke gebruikers die dit echt nodig hebben.
6. Toegang blokkeren vanuit niet-goedgekeurde locaties
Een andere belangrijke Conditional Access policy is het blokkeren van toegang tot de tenant vanaf locaties die je niet vertrouwt of goedkeurt. Je kunt bijvoorbeeld toegang blokkeren vanuit alle locaties waar je organisatie niet actief is.
- Voorbeeld 1: Stel, je bent een MKB bedrijf in Nederland. Alle gebruikers zitten in Nederland en je wilt geen toegang vanaf andere landen. Dan kun je deze policy gebruiken.
- Voorbeeld 2: Stel een MKB met enkele vestigingen in Europa. Je kunt de landen selecteren waar je aanwezig bent en alleen verbindingen van die locaties toestaan. Je kunt altijd de kantoorlocaties wereldwijd als vertrouwd beschouwen; in dat geval worden de publieke IP-adressen van die locaties als vertrouwd gezien.
