החלפת סיסמה היא צעד חשוב אחרי חשד להשתלטות על חשבון Microsoft 365, אבל היא אינה בהכרח מסיימת מיד כל סשן פעיל. בתקרית אמיתית צריך לפעול בסדר שמונע התחברות מחודשת, מבטל סשנים ככל שניתן ובודק אילו שינויים בוצעו בחשבון.
תמונת המחשה: נוצרה באמצעות AI עבור ITPortal
1. חסמו זמנית את הכניסה לחשבון
לפי תיעוד Microsoft Entra, מנהל יכול להיכנס אל Entra ID > Users > All users, לבחור את המשתמש, לערוך את מצב החשבון ולבטל את האפשרות Enabled. חסימה זמנית מתאימה כאשר יש חשד ממשי לפעילות עוינת, והיא מונעת הנפקה של אסימוני גישה חדשים בזמן הבדיקה.
2. בטלו סשנים פעילים
במסך המשתמש ב-Entra בחרו Revoke sessions. בסביבות שמנוהלות ב-PowerShell אפשר להשתמש גם בפקודה Revoke-MgUserSignInSession. חשוב: Microsoft מציינת שאסימוני גישה תקפים כברירת מחדל כשעה, ושמשך הסשן בפועל תלוי גם ביישום ובמדיניות שלו. Entra אינו יכול לבטל ישירות עוגיות סשן שהיישום עצמו הנפיק.
3. החליפו סיסמה ובדקו MFA
אפסו את הסיסמה לערך חדש וייחודי, ובדקו אילו שיטות אימות רב-שלבי רשומות לחשבון. הסירו מספר טלפון, אפליקציית אימות או מפתח אבטחה שאינם מוכרים. אם החשבון מחזיק הרשאות מנהל, בדקו גם שינויים בתפקידים ובהרשאות.
4. בדקו יומני כניסה ומכשירים
חפשו כניסות ממדינות, כתובות IP, מכשירים או יישומים שאינם מוכרים. חשוב להשוות גם לזמן האירוע ולא להסתמך רק על המדינה: VPN, שירותי ענן ונסיעות עלולים ליצור ממצאים לגיטימיים. מדריך משלים: איך לבדוק מי מחובר לחשבון Microsoft ולנתק מכשירים.
5. חפשו כללי העברה ושינויים בתיבה
תוקפים מוסיפים לעיתים כללי העברה או מחיקה כדי לקבל עותקים של הודעות ולהסתיר התראות. בדקו כללים ב-Outlook וב-Exchange, כתובות העברה והרשאות לתיבה. ראו את המדריך לזיהוי כללי העברה חשודים ב-Outlook.
6. בדקו הרשאות יישומים ומכשירים רשומים
עברו על יישומי OAuth שקיבלו הרשאה, מכשירים רשומים וחיבורים שלא אושרו על ידי המשתמש. ביטול סשן אינו מבטל בהכרח הרשאה שניתנה ליישום; לכן יש לטפל גם בהרשאות עצמן.
7. החזירו את החשבון לפעילות רק אחרי בידוד
לאחר ביטול הסשנים, איפוס הסיסמה, בדיקת MFA והשלמת החקירה הראשונית, אפשר להפעיל מחדש את החשבון. במערכת ארגונית מומלץ לתעד את ציר הזמן, לשמור לוגים רלוונטיים ולעקוב אחרי ניסיונות כניסה חוזרים.
כפי שאריאל מרום מדגיש בעבודה עם סביבות ענן וסיסטם, המטרה אינה רק “להוציא את התוקף”, אלא להבין כיצד נכנס ומה נשאר מאחור. אין פעולה יחידה שמבטיחה ניתוק מיידי מכל יישום, ולכן נדרש שילוב של חסימה, ביטול סשנים, שינוי סיסמה ובדיקת הרשאות.
מקור: Microsoft Learn — Revoke user access in Microsoft Entra ID.
