Schakel Apparaat Uit [FIX-9009]

Het doel kan worden opgegeven als het object-id, het deviceId (GUID) of de apparaatnaam; sign-in en audit logs bevatten doorgaans het deviceId en de naam in plaats van het directory object-id, dus alle drie worden geaccepteerd. Omdat een apparaatnaam niet uniek is, wordt een naam die met meerdere apparaten overeenkomt geweigerd en worden de overeenkomende apparaten teruggegeven zodat u opnieuw kunt uitvoeren met een precies id. Dit werkt op het Entra directory device object, niet op het Intune managed device.

Reden

Het registreren of joinen van een apparaat is een bekende persistence-techniek (MITRE ATT&CK T1098.005 – Account Manipulation: Device Registration). Na het compromitteren van een account kan een aanvaller zijn eigen apparaat bij de tenant registreren; een registered of hybrid-joined apparaat kan vervolgens voldoen aan device-based Conditional Access controls en een Primary Refresh Token verkrijgen, waarmee de aanvaller doorlopende, vertrouwde toegang krijgt die wachtwoord resets overleeft. Omdat het apparaat eruitziet als een normaal corporate endpoint, wordt deze persistence makkelijk over het hoofd gezien.

Het uitschakelen van het apparaat blokkeert het gebruik als vertrouwd sign-in artifact terwijl het object intact blijft voor onderzoek. Uitschakelen, in plaats van verwijderen, is de veiligere standaard tijdens incident response: het ontneemt het apparaat direct zijn nut voor de aanvaller, maar als uit analyse blijkt dat het apparaat in werkelijkheid een legitiem endpoint is, kan het opnieuw worden ingeschakeld zonder her-registratie. Reserveer permanente verwijdering voor apparaten die bevestigd kwaadaardig zijn.

Deze remediation herleidt het doel naar een apparaatobject, voert een PATCH uit die accountEnabled = false zet op Microsoft Graph, en verifieert de wijziging. Het vereist de Device.ReadWrite.All permissie op de Attic-applicatie; voor delegated gebruik is een Cloud Device Administrator (of gelijkwaardige) role nodig.

Fix

Een geautomatiseerde fix is beschikbaar via Attic.

Handmatige stappen:

1. Navigeer naar het Entra ID portal op https://entra.microsoft.com
2. Ga naar Devices > All devices
3. Zoek en selecteer het getroffen apparaat
4. Klik op Disable en bevestig
5. Controleer of het apparaat nu als uitgeschakeld wordt weergegeven (schakel later weer in als het legitiem blijkt)

Impact

• De accountEnabled van het apparaat wordt op false gezet en het kan niet meer worden gebruikt voor device-based Conditional Access of als vertrouwd sign-in artifact.
• De actie is omkeerbaar; het apparaatobject blijft behouden en kan opnieuw worden ingeschakeld.
• Het apparaat wordt niet verwijderd; het directory record, group memberships en de registratie blijven bestaan voor onderzoek.
• Als een apparaatnaam met meerdere apparaten overeenkomt, wordt er geen wijziging gedaan en worden de kandidaat object-ids en deviceIds teruggegeven zodat u opnieuw kunt uitvoeren met het juiste id.
• Dit heeft geen invloed op het Intune managed-device record; verwijder dat apart indien nodig.

Terugdraaien

Het apparaat opnieuw inschakelen herstelt het als vertrouwd sign-in artifact. Het object is nooit verwijderd, dus her-registratie of opnieuw joinen is niet nodig.

1. Ga naar het Entra ID portaal op https://entra.microsoft.com
2. Ga naar Devices > All devices
3. Zoek het apparaat op naam of device id en selecteer het
4. Klik op Enable en bevestig
5. Controleer of het apparaat als enabled wordt weergegeven en laat de gebruiker er vanaf inloggen om te bevestigen dat device-based Conditional Access weer slaagt

Dezelfde wijziging kan via Microsoft Graph door accountEnabled op het device object terug op true te zetten.

Een apparaat dat is verwijderd in plaats van uitgeschakeld kan op deze manier niet worden hersteld; dat moet vanaf het apparaat zelf opnieuw worden geregistreerd of joined.

Meer informatie

• Microsoft Graph: update device
• MITRE ATT&CK T1098.005 – Account Manipulation: Device Registration
• Microsoft: Device identity en Conditional Access
• Microsoft: Primary Refresh Token (PRT)