Gebruiker wordt beheerder (non-PIM) [RULE-1131]

Rationale

Administratieve roltoewijzingen in Microsoft Entra ID dienen zorgvuldig te worden gecontroleerd en geaudit. Wanneer een gebruiker voor het eerst hoge privileges ontvangt, vertegenwoordigt dit een significante wijziging in toegangsniveau die verificatie rechtvaardigt. Omdat er in deze tenant geen just-in-time activation of approval workflow beschikbaar is, zijn de privileges direct van kracht en blijven ze actief totdat iemand ze verwijdert.

Een aanvaller die een bestaand administrator account heeft gecompromitteerd, kan een regulier gebruikersaccount verhogen naar administratieve privileges als persistence mechanisme. Door een nieuwe administrator aan te maken, behoudt de aanvaller toegang zelfs als het oorspronkelijk gecompromitteerde account wordt ontdekt en hersteld. Deze techniek sluit aan bij MITRE ATT&CK T1098 (Account Manipulation), specifiek de sub-techniek T1098.003 (Additional Cloud Roles), waarbij aanvallers rollen toevoegen aan cloud accounts om toegang te behouden en privileges te escaleren.

Roltoewijzingen waarbij een gebruiker voor het eerst administratieve rechten krijgt zijn extra opmerkelijk, omdat ze afwijken van het vaste toegangspatroon van die gebruiker. In een tenant zonder PIM vormt de lijst met accounts die een administratieve rol hebben op elk moment het volledige geheel aan privileged access. Die lijst klein, bewust samengesteld en goed begrepen houden is daarmee de belangrijkste beschikbare maatregel.

Opvolging

Voer deze stappen uit om deze detectie adequaat op te volgen:

1. Verifieer bij de administrator die in de alert wordt genoemd of deze bewust hoge privileges aan de gebruiker heeft toegekend. Controleer of er een gedocumenteerd wijzigingsverzoek of zakelijke rechtvaardiging is voor de roltoewijzing.
   • Zo nee: De privilege escalation was niet geautoriseerd en kan wijzen op een gecompromitteerd administrator account:
     1. Verwijder de gebruiker onmiddellijk uit de rol met hoge privileges via het Entra admin center onder Roles and administrators.
     2. Onderzoek het administrator account dat de roltoewijzing heeft uitgevoerd: bekijk sign-in logs op verdachte activiteit, controleer op onbekende IP-adressen of locaties en revoke actieve sessies.
     3. Bekijk het Unified Audit Log op security.microsoft.com voor aanvullende ongeautoriseerde wijzigingen door het nieuw verhoogde account of de administrator die de toewijzing heeft uitgevoerd.
     4. Als het administrator account gecompromitteerd lijkt, reset de credentials en forceer MFA-herregistratie. Neem contact op met Attic voor incident response ondersteuning als de omvang van de compromittering verder reikt dan de geïdentificeerde accounts.
   • Zo ja: De roltoewijzing was bewust uitgevoerd:
     1. Verifieer dat de toegekende rol voldoet aan het principe van least privilege. Controleer of de gebruiker niet meer rechten heeft gekregen dan zijn of haar verantwoordelijkheden vereisen -- vaak volstaat een beperktere rol.
     2. Zorg ervoor dat de nieuwe administrator MFA heeft geconfigureerd, valt onder uw Conditional Access policies voor beheerders en op de hoogte is van de bijbehorende verantwoordelijkheden.
     3. Beoordeel periodiek de volledige lijst met accounts die een administratieve rol hebben en verwijder toewijzingen die niet langer nodig zijn. Indien just-in-time administratieve toegang een vereiste is voor uw organisatie, is hiervoor Entra ID P2 nodig, waarmee PIM beschikbaar komt.
     4. Als de toewijzing acceptabel en gedocumenteerd is: sluit het incident af.

Meer informatie

• Microsoft Learn: Microsoft Entra built-in roles
• Microsoft Learn: Best practices for Microsoft Entra roles
• Microsoft Learn: Manage emergency access accounts
• MITRE ATT&CK T1098 - Account Manipulation
• MITRE ATT&CK T1098.003 - Additional Cloud Roles