Security defaults zijn ingeschakeld op de accounts waarvan ik op de hoogte ben gesteld en dat is niet overal geweest. Dat kan bij een klant liggen en ik had er waarschijnlijk op kunnen anticiperen. Maar het beheren van de 365 klantaccounts is relatief nieuw bij ons en ik ben echt niet geboren met een hele helpdesk en werkwijze van Microsoft in mijn schedel.
Geen zorgen, ik ben er ook niet mee geboren in m'n schedel hoor

. Microsoft heeft die security defaults graduaal aangezet, vandaaar dat dit niet bij iedereen tegelijk is gekomen.
Nu, dat je relatief nieuw bent in beheer van 365 staat daar eerlijk gezegd wel los van, want welk platform je ook beheerd of gaat beheren, je moet er altijd voor zorgen dat je jezelf niet buitensluit
Of SMS verouderd is zal me dan werkelijk waar ook kunnen jeuken, ze bieden de optie aan en het telefoonnummer is aan mijn account gekoppeld. Dat in 100% van de gevallen het aanvragen van een code een foutmelding oplevert waardoor ik niet in mijn account kom ligt nog steeds bij Microsoft.
SMS wordt al decennia beschouwd als onveilig voor MFA en de adviesen zijn al even oud om over te gaan naar een "app". Allez, je kruipt nu toch ook niet van onder een steen hé?
En MFA verplichten nadat ik ben ingelogd vind ik helemaal prima. Dan doorloop ik dat proces wel eventjes en koppel ik de authenticator. Maar ik heb in dit geval accounts waarbij MFA ingeschakeld is zonder dat ik dit zelf gedaan heb. Dat is toch compleet idioot?
Vanzelf gebeurt dit niet. Securitydefaults verplichten je enkel om dat MFA proces te doorlopen en je dus mfa configuratie niet meer kan overslaan. Zeker van dat je het toevallig toch niet al geconfigureerd hebt, maar dat deze op een andere telefoon/account/app staat? Heeft jouw klant het toevallig niet ingesteld op zijn eigen toestel?
We zijn maar een kleine partij hierin, maar alle accounts samen die we inkopen bedragen ongeveer € 6000 per jaar. Daar mag toch gerust wel een keer of 2 een persoonlijk gesprek voor mogelijk zijn om problemen te verhelpen?
Dat is minder als kleingeld voor een partij zoals Microsoft. Trouwens, je neemt je licenties af via ALSO, dat is je account beheerder, niet Microsoft. Microsoft houdt zich niet rechtstreeks bezig met klanten van jouw categorie. Het bedrijf waar ik voor werk overigens ook niet hoor.
En dan nog, ook al zou het bij mij liggen omdat ik niet tijdig gereageerd heb op die mailtjes. Wat verwachten ze in hemelsnaam dat ik nu doe? Ik heb de juiste wachtwoorden, de sms codes leveren fouten op als ik ze opvraag, de MFA code heb ik niet, MFA herstelcodes dus ook niet, een chatbot verwijst me naar de telefoon, de telefoon kan me blijkbaar niet volgen als ik Engels spel en hangt op. Eindstand: ik kan het uitzoeken.
Dat je de notificaties en adviesen in de admin portalen leest en implementeerd waar nodig ;)MFA verplichting via security defaults is al minstens een jaar, meermaals voor gewaarschuwd met einddatums. Idem ook voor MFA via SMS
In het admin portaal van entra staat trouwens ook besproken, net om dit scenario te voorkomen: 2 global admin accounts aanmaken & er worden ook standaard 2 opties aangeboden bij de 1ste aanmelding: de 1ste is altijd standaard de Microsoft authenticator, de 2de via telefoon. Je kan de 1ste niet overslaan.
En het ergste van alles, mits dit klopt: vanuit ALSO heb ik te horen gekregen dat ik (en zij) voor extra support moeten gaan betalen. Dus zelfs een leverancier die honderden, zo niet duizenden, licenties inkoopt mag nog extra aftikken om geholpen te worden? Wie er ook fout is, er is toch geen wereld waarin dit normaal zou moeten zijn.
Welkom in de zakelijke wereld

. Microsoft support is duur, zelf hebben we dit ooit overwogen voor een klant wegens een nogal urgent probleem. Standaard tarrief was rond de 400€ en urgentie/buiten kantooruren was 900€... per uur. Voor de klant kwam het simpelweg goedkoper uit dan gewoon afwachten. Microsoft betaald die uren wel terug, maar dat kan enkel als aangetoond kan worden dat de fout bij hun ligt.
Zelf ook wel eens een situatie gehad waarbij we inderdaad toegang verloren hadden tot een admin account (foute configuratie van onze kant). De leverancier had dit nu wel kunnen resetten, maar ze waarschuwden ons wel uitdrukkelijk dat ook aan hun kant die mogelijkheid er niet altijd is.
Ik heb ook nog even gekeken in de documentatie van het werk of ik geen rechtstreeks contact ofzo kon vinden, maar helaas. Eventueel proberen om via GoT een topic te maken, misschien dat er daar iets uit de bus komt?
--
Nu, als ik ffkes bot mag zijn hé, dan vindt ik dat voor iemand die anderen hun 365 omgevingen wilt beheren, je behoorlijk nonchalant te werk gaat. Als het nu voor je eigen eenmanszaakje was waar je toevallig je eigen 365 tenant hebt kunnen opzetten zou ik het nog ergens kunnen begrijpen.
Ik kan je alleen wel aanraden voor de toekomst op z'n minst toch eens aan te loggen op "een" tenant (maakt zelfs niet uit welke) om de alerts te lezen die er staan. Via entra kan je via security score ook de aanbevelingen zien. Daar staat onder andere beschreven hoe je net dit soort van situaties kan voorkomen. Minstens 2 global admin accounts aanmaken, in het geval er met 1 account wat scheelt.
Staat overigens nog heel wat relatief eenvoudige ingrepen die de security score omhoog halen (en je tegen je klant kan opscheppen hoe veilig zijn omgeving wel niet is

) AI kan je hier ook bij helpen.