Stappen voor het analyseren van OAuth-appmisbruik met Microsoft Graph Activity Logs

By Mirko Peters · 2026-03-09 · Updated 2026-03-24

Detecteer OAuth-bedreigingen voor Microsoft 365 met Entra ID en het Microsoft Graph Activity Log. Leer OAuth-app-bedreigingen opsporen via activiteitenlogs en de Graph API.

Automatically translated with AI from the original post. Read the English original

Het monitoren van het gebruik van OAuth-apps is essentieel voor de beveiliging van je organisatie en om OAuth-appmisbruik te voorkomen. Met Microsoft Graph Activity Logs krijg je cruciaal inzicht in hoe OAuth-applicaties werken. Deze logs helpen je potentieel OAuth-appmisbruik te detecteren en bedreigingen in de activiteit van OAuth-apps bloot te leggen.

• Microsoft Graph Activity Logs zijn essentieel voor:

  • Het monitoren van de activiteit van OAuth-apps.

  • Het detecteren van potentieel OAuth-appmisbruik.

  • Het bieden van de basiszichtbaarheid die nodig is om bedreigingen bloot te leggen.

Het vaststellen van compliancenormen is cruciaal vanwege de risico’s van OAuth-appmisbruik. Duidelijke criteria voor het beoordelen van beveiliging en compliance zorgen ervoor dat je de juiste apps kiest voor gebruik in de onderneming.

Analyse van OAuth-appmisbruik met Microsoft Graph Activity Logs: 5 verrassende feiten

Wanneer je OAuth-appmisbruik analyseert met Microsoft Graph Activity Logs, ontdekken beveiligingsonderzoekers vaak onverwachte mogelijkheden en beperkingen die detectie en respons beïnvloeden.

1. Activiteitenlogs tonen OAuth client_app_id voor app-gerichte gebeurtenissen. Microsoft Graph Activity Logs bevatten de client_app_id (de appId van de applicatie') voor veel aanmeld- en toestemmingsgebeurtenissen. Hierdoor kun je verdachte tokens of acties rechtstreeks terugkoppelen aan een geregistreerde OAuth-app in plaats van alleen aan een gebruiker.
2. Niet alle appactiviteit staat op één plek: meerdere logtypen zijn belangrijk. Gebeurtenissen die met OAuth te maken hebben, kunnen verspreid zijn over Sign-In Logs, Audit Logs en de geünificeerde Microsoft Graph-activiteitenlogs. Als je op één bron vertrouwt, mis je mogelijk toestemmingsverleningen, tokenuitgifte of wijzigingen in app-machtigingen die relevant zijn voor misbruikonderzoek.
3. Bewaar- en exportopties kunnen forensische tijdlijnen beperken, tenzij je ze instelt. De standaard bewaartermijn van tenant voor sommige activiteitenlogs is beperkt. Zonder diagnostische instellingen die exporteren naar een Log Analytics-werkruimte of een opslagaccount, kan bewijs van app-misbruik in het verleden snel verloren gaan.
4. Sommige gevoelige velden zijn gemaskeerd of geredigeerd in Graph-logs. Om de privacy te beschermen, worden bepaalde persoonsgegevens en tokendetails ingekort of verhuld in activiteitspayloads. Om de volledige aanvalsketen te reconstrueren, moet je logs met elkaar correleren of voorwaardelijke toegangslogs erbij betrekken.
5. Wijzigingsmeldingen en delta-query’s maken detectie bijna in realtime mogelijk, maar moeten worden ingesteld. Microsoft Graph ondersteunt wijzigingsmeldingen (webhooks) en delta-query’s voor activiteitenlogs. Zo kun je automatisch detecteren wanneer nieuwe app-machtigingen worden verleend of wanneer apps afwijkende acties uitvoeren. Je moet ze wel proactief configureren om misbruik op het moment zelf te onderscheppen.

Belangrijkste punten

• Monitor de activiteit van OAuth-apps met Microsoft Graph Activity Logs om potentieel misbruik en bedreigingen te detecteren.

• Controleer OAuth-applicaties regelmatig om te zorgen dat de machtigingen passend zijn, en onderzoek verdachte apps.

• Implementeer strikte toegangscontroles, zoals het uitschakelen van gebruikerstoestemming voor apps van derden, om de beveiliging te verbeteren.

• Gebruik Kusto Query Language (KQL) om logs te analyseren en ongebruikelijke patronen te identificeren die kunnen wijzen op OAuth-appmisbruik.

• Leer medewerkers over beveiligingsdreigingen en phishingtechnieken om het risico op OAuth-appmisbruik te verkleinen.

Overzicht van OAuth-appmisbruik

Veelvoorkomende aanvalsvectoren

Aanvallers misbruiken vaak de toestemming voor OAuth-apps om ongeautoriseerde toegang tot gevoelige gegevens te krijgen. Ze gebruiken diverse technieken om beveiligingsmaatregelen te omzeilen. Phishingcampagnes zijn bijvoorbeeld steeds gangbaarder geworden. Aanvallers lokken gebruikers ertoe apparaatcodes in te voeren op legitieme verificatiepagina’s van Microsoft. Zo kunnen ze toegangstokens verkrijgen die gekoppeld zijn aan de accounts van slachtoffers'. Dit soort aanvallen kan traditionele beveiligingsmaatregelen omzeilen, waaronder multifactorauthenticatie.

Daarnaast maken veel toepassingen van derden verbinding met SaaS-platformen met behulp van OAuth-tokens. Deze tokens kunnen onbeperkt toegang behouden, tenzij ze actief worden beheerd. Dit vormt een aanzienlijk risico, omdat organisaties onbewust toegang kunnen geven tot gevoelige gegevens via toepassingen die niet langer worden gebruikt. Beveiligingsonderzoekers hebben opgemerkt dat OAuth-aanvallen bijzonder moeilijk te detecteren zijn. Ze laten nauwelijks forensische sporen achter en kunnen zelfs na een wachtwoordreset blijven bestaan.

Langetermijnrisico’s voor toegang

De langetermijnrisico’s van aanhoudende toegang via OAuth-apps zijn zorgwekkend. In cloud-first omgevingen is identiteit de nieuwe perimeter geworden. Aanvallers kunnen zonder servers of wachtwoorden te compromitteren blijvend toegang krijgen tot bedrijfssystemen. Ze misbruiken de vertrouwensrelaties die inherent zijn aan moderne identiteitssystemen.

De gevolgen van misbruik van OAuth-apps kunnen ernstig zijn. Hieronder staan enkele gedocumenteerde risico’s:

• Interne phishing: E-mails die vanaf vertrouwde accounts worden verstuurd, lokken meer slachtoffers.

• Diefstal van gevoelige gegevens: Vertrouwelijke bestanden, contracten en intellectueel eigendom kunnen worden geëxfiltreerd.

• Blijvende toegang: Ook als inloggegevens worden gereset, kunnen tokens actief blijven.

• Reputatieschade: Klanten en partners verliezen het vertrouwen als een datalek openbaar wordt.

Organisaties moeten waakzaam blijven. Ze moeten regelmatig de toestemming voor OAuth-apps controleren en letten op verdachte activiteiten. Zo kun je de risico’s beperken die gepaard gaan met misbruik van OAuth-apps en je gevoelige gegevens beschermen.

Microsoft Graph Activity Logs voor beveiliging

Het raadplegen van Microsoft Graph Activity Logs is cruciaal om het gedrag van OAuth-apps te monitoren. Met de volgende stappen haal je de logs efficiënt op:

1. Stream de logs via diagnostische instellingen in de Azure-portal of met behulp van Azure Resource Manager-API’s.

2. Integreer de activiteitenlogs met Azure Monitor-logs.

3. Configureer diagnostische instellingen via de Azure Resource Manager-API.

4. Stel opslagbestemmingen in, zoals Azure Log Analytics-werkruimte, Azure Storage of Azure Event Hubs.

5. Doorzoek de logs met Kusto Query Language (KQL) als ze naar een Log Analytics-werkruimte zijn verzonden.

Zodra je toegang hebt tot de logs, richt je je op belangrijke items die kunnen wijzen op verdachte OAuth-appactiviteit. Dit zijn enkele logregels om in de gaten te houden:

Realtime waarschuwingen spelen een cruciale rol bij het detecteren van en reageren op misbruik van OAuth-apps. Ze geven zicht op verdachte activiteiten en maken geautomatiseerde reacties mogelijk om risico's te beperken. Zo hadden de OAuth-tokens van Drift een langere levensduur, waardoor Salesforce-klanten geen zicht hadden op app-verbindingen. Gecompromitteerde tokens kunnen MFA en SSO omzeilen, wat de noodzaak van realtime waarschuwingen onderstreept om afwijkingen zoals massale API-aanroepen op te sporen.

Houd bij het configureren van effectieve realtime waarschuwingen deze best practices in gedachte:

• Stel waarschuwingen in voor verdachte activiteiten in Microsoft Graph Activity Logs, zoals toekenningen van machtigingen met hoge privileges en ongebruikelijke aanmeldingen.

• Gebruik Microsoft Defender for Cloud Apps (MCAS) om sessiebeheer te monitoren en af te dwingen, en genereer waarschuwingen voor risicovolle OAuth-app-aanmeldingen.

• Zoek in de Unified Audit Log van Microsoft 365 naar belangrijke gebeurtenissen zoals 'Add application' of 'Consent to application' om mogelijk misbruik van OAuth-apps te identificeren.

• Koppel waarschuwingen over ongebruikelijke aanmeldingen aan auditlogs om kwaadaardige OAuth-app-activiteit op te sporen.

Door deze strategieën toe te passen, versterk je de beveiligingspositie van je organisatie en bescherm je je beter tegen misbruik van OAuth-apps.

Detectiemethoden voor misbruik van OAuth-apps

KQL-query's

Kusto Query Language (KQL) is een krachtig hulpmiddel om Microsoft Graph Activity Logs te analyseren. Met KQL kun je patronen en afwijkingen opsporen die kunnen wijzen op misbruik van OAuth-apps. Hier zijn enkele effectieve strategieën voor het gebruik van KQL:

• Controleer regelmatig Entra-applicaties om overmatige machtigingen te identificeren. Zo zie je snel welke applicaties een risico kunnen vormen.

• Monitor op onverwachte toegang tot de Microsoft Graph API. Zulke toegang kan wijzen op een compromittering, zodat je snel kunt ingrijpen.

• Stel een veilige lijst van goedgekeurde applicaties op. Deze lijst maakt continue monitoring mogelijk en helpt je nieuwe applicaties met hoge privileges te detecteren.

Om met KQL aan de slag te gaan, kun je de volgende voorbeeldquery gebruiken die controleert op ongebruikelijke aanmeldingsactiviteiten:

AuditLogs
| where ActivityType == "SignIn"
| where Result == "Failure"
| summarize Count = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| order by Count desc

Deze query identificeert gebruikers met mislukte aanmeldpogingen, zodat je mogelijke ongeautoriseerde toegang kunt onderzoeken.

PowerShell-automatisering

PowerShell-automatisering kan de detectie van misbruik van OAuth-apps aanzienlijk stroomlijnen. Met PowerShell-scripts kun je het monitoren van OAuth-applicaties en hun activiteiten automatiseren. Hier zijn enkele tools en hun functionaliteiten:

Met PowerShell kun je ook scripts maken die regelmatig controleren op overmatige machtigingen in Entra-applicaties. Deze proactieve aanpak helpt je een veilige omgeving te behouden.

Je kunt bijvoorbeeld een script uitvoeren dat alle applicaties met hoge privileges weergeeft:

Get-AzureADServicePrincipal | Where-Object { $_.AppRoles -ne $null -and $_.AppRoles.Count -gt 5 }

Deze opdracht haalt service principals op met meer dan vijf app-rollen, zodat je mogelijke risico's kunt beoordelen.

Door KQL-query's en PowerShell-automatisering te combineren, versterk je je detectiecapaciteit. Deze methoden geven je de middelen om misbruik van OAuth-apps effectief te identificeren en erop te reageren.

Mitigatiestrategieën voor identiteitsgebaseerde dreigingen

Gebruikersgedrag analyseren

Om risico's die met OAuth-apps samenhangen effectief te mitigeren, moet je het gebruikersgedrag analyseren op afwijkingen. Tools voor User Behavior Analytics (UBA) kunnen je helpen ongebruikelijke patronen op te sporen die kunnen wijzen op misbruik van OAuth-apps. Hier zijn enkele methoden om te overwegen:

Door deze strategieën toe te passen, kun je potentiële dreigingen vroegtijdig detecteren. Regelmatige audits van OAuth-apps spelen eveneens een cruciale rol. Je moet regelmatig de machtigingen controleren om te zorgen dat ze aansluiten bij de rollen van gebruikers. Onderzoek verdachte apps die mogelijk te veel toegangsrechten hebben.

Gebeurtenissen correleren

Het correleren van gebeurtenissen is een andere effectieve strategie om identiteitsgebaseerde dreigingen te detecteren. Met deze aanpak kun je informatie uit verschillende bronnen samenvoegen om kwaadaardige app-registraties of het omzeilen van beveiligingsmaatregelen te identificeren. Hier zijn enkele inzichten over het belang van event-correlatie:

Door gebeurtenissen te correleren, kun je een uitgebreide risicobeoordeling opstellen. Dit proces helpt je begrijpen hoe verschillende activiteiten met elkaar samenhangen, zodat je patronen kunt herkennen die kunnen wijzen op technieken voor misbruik van OAuth.

Het implementeren van deze mitigatiestrategieën vraagt om inzet. Je kunt tegen uitdagingen aanlopen, zoals de moeilijkheid om aanvallen te detecteren die legitieme OAuth-workflows misbruiken. Traditionele beveiligingsmaatregelen schieten vaak tekort zodra toestemming is verleend. Met een proactieve aanpak kun je het risico op misbruik van OAuth-apps echter aanzienlijk verkleinen.

Om je beveiligingspositie verder te versterken, kun je overwegen deze effectieve mitigatiestrategieën toe te passen:

1. Audit: Voer regelmatig audits uit op OAuth-apps om te controleren of de machtigingen passend zijn, en onderzoek verdachte apps.

2. Gebruikerstoestemming beperken: Schakel gebruikerstoestemming voor apps van derden uit, zodat voor alle autorisatieverzoeken goedkeuring van een beheerder nodig is.

3. Role-Based Access Control (RBAC): Implementeer RBAC om de rechten van gebruikers te beperken tot het minimum dat nodig is.

4. Gebruikerstraining: Organiseer regelmatig trainingen om medewerkers te informeren over beveiligingsdreigingen en phishingtactieken.

Door je te richten op het analyseren van gebruikersgedrag en het correleren van gebeurtenissen, versterk je je verdediging tegen identiteitsgebaseerde dreigingen die verband houden met misbruik van OAuth-apps.

Kortom, de analyse van misbruik van OAuth-apps brengt kritieke kwetsbaarheden in veel applicaties aan het licht. Recent onderzoek toont aan dat ongeveer 8% van de geteste applicaties vatbaar is voor misbruik van OAuth. Dit onderstreept de noodzaak van doorlopende monitoring om je beveiligingspositie te versterken.

Je moet je richten op:

• Regelmatige audits van gebruikers- en service-principal-identiteiten.

• Toestemmingsbeleid implementeren om ongeautoriseerde toegang te blokkeren.

• Risicovolle applicaties proactief opsporen.

Door deze proactieve verdedigingsstrategieën toe te passen, verklein je de risico’s van misbruik van OAuth-apps aanzienlijk en beschermt je je organisatie tegen mogelijke dreigingen.

Veelgestelde vragen

Wat is misbruik van OAuth-apps?

Misbruik van OAuth-apps treedt op wanneer aanvallers OAuth-applicaties misbruiken om ongeautoriseerde toegang tot gevoelige gegevens te krijgen. Ze gebruiken vaak technieken zoals phishing en toestemmingsphishing om gebruikers zover te krijgen dat ze machtigingen verlenen.

Hoe kan ik misbruik van OAuth-apps detecteren?

Je kunt misbruik van OAuth-apps detecteren door Microsoft Graph-activiteitenlogboeken te monitoren op verdachte activiteiten. Let op ongebruikelijke aanmeldingen, downloads met een hoog volume en onverwachte wijzigingen in machtigingen.

Wat zijn de risico’s van toestemmingsphishing?

Met toestemmingsphishing kunnen aanvallers gebruikers overhalen om toegang tot hun accounts te verlenen. Dit kan leiden tot datadiefstal, ongeautoriseerde toegang en mogelijke schade aan de reputatie van je organisatie.

Hoe vaak moet ik OAuth-applicaties controleren?

Je controleert OAuth-applicaties het best regelmatig, idealiter om de paar maanden. Zo weet je zeker dat de machtigingen nog passend zijn en kun je verdachte applicaties snel herkennen.

Welke stappen kan ik nemen om misbruik van OAuth-apps te voorkomen?

Om misbruik van OAuth-apps te voorkomen, implementeer je strikte toegangsbeheersing, schakel je gebruikerstoestemming voor apps van derden uit en geef je medewerkers regelmatig training over phishingbewustzijn.

onderzoek naar Microsoft Graph: Log Analytics-werkruimte en dreigingsdetectie

Wat is het analyseren van misbruik van OAuth-apps met Microsoft Graph-activiteitenlogboeken?

Het analyseren van misbruik van OAuth-apps met Microsoft Graph-activiteitenlogboeken betekent dat je Graph API-activiteit en Graph API-logboeken gebruikt om kwaadaardige activiteit te identificeren van applicaties of dreigingsactoren die OAuth 2.0-autorisatie misbruiken in je Microsoft 365-omgeving. Je onderzoekt Graph API-aanroepen, patronen in API-aanvragen en Entra ID-aanmeldingslogboeken, samen met de reeks Graph-activiteitenlogboeken in een Log Analytics-werkruimte, om verdacht OAuth-gedrag en risicovolle OAuth-apps op te sporen.

Hoe schakel ik Microsoft Graph-activiteitenlogboeken in en waar komen ze terecht?

Om Microsoft Graph-activiteitenlogboeken in te schakelen, configureer je de Microsoft 365-services en de Microsoft Graph-service zodat ze Graph API-activiteit en API-activiteiten naar een Log Analytics-werkruimte (of een externe SIEM) sturen. Gebruik de diagnostische instellingen van Microsoft Entra ID om Graph API-aanvragen, Entra ID-logboeken en aanmeldingsgebeurtenissen door te sturen naar een Log Analytics-werkruimte-ID, waar je de Graph API-logboeken kunt bevragen en dreigingsdetectiequery’s kunt uitvoeren met Kusto (activiteitenlogboek en Kusto-query).

Welke indicatoren in Graph API-aanroepen wijzen op verdachte OAuth-activiteit?

Let op ongebruikelijke Graph API-aanvragen, zoals Graph API-aanroepen met een hoog volume vanaf één applicatie-ID, herhaalde toestemmingsverleningen, hergebruik van tokens over tenants heen, of Graph API-activiteit vanaf onbekende IP-adressen. Koppel deze aan Entra ID-aanmeldingslogboeken, gebeurtenissen van de Microsoft-authenticatiebroker en afwijkingen in de timing van API-aanroepen om dreigingen op het spoor te komen met behulp van Microsoft Graph-activiteit en mogelijk misbruik van OAuth-applicaties.

Hoe onderzoek ik risicovolle OAuth-apps met Log Analytics en Kusto-query’s?

Gebruik de Log Analytics-werkruimte om Graph API-logboeken te centraliseren en Kusto-query’s uit te voeren op de reeks Graph-activiteitenlogboeken. Typische stappen zijn: Microsoft Graph API-aanvragen en Entra ID-logboeken opnemen, KQL schrijven om ongebruikelijke Graph API-activiteit naar voren te halen, pivoteren op applicatie-ID en gebruiker, en correleren met gebeurtenissen uit Microsoft 365-services. Een playbook voor het gebruik van Graph bevat KQL-voorbeelden om verdachte OAuth-tokens en API-activiteiten op te sporen.

Welke rol speelt Entra ID bij het detecteren van misbruik van OAuth?

Microsoft Entra ID (voorheen Azure AD) levert de identiteits- en toegangssignalen, zoals Entra ID-logboeken en Entra ID-aanmeldingslogboeken, die laten zien welke app toegang heeft aangevraagd en welke gebruiker toestemming heeft gegeven. Door deze logboeken te combineren met de Microsoft Graph API en Graph API-activiteitenlogboeken, kun je OAuth 2.0-autorisatiegebeurtenissen koppelen aan API-aanvragen, gecompromitteerde referenties of kwaadaardige applicaties identificeren, en voorwaardelijke toegang afdwingen of machtigingen van applicaties intrekken.

Kan ik detectie van en respons op misbruik van OAuth-applicaties automatiseren?

Ja. Combineer Graph API-activiteitenlogboeken in een Log Analytics-werkruimte met geautomatiseerde waarschuwingen en playbooks om dreigingen te detecteren met Microsoft Graph. Gebruik KQL om waarschuwingen te activeren bij afwijkingen, en voer vervolgens geautomatiseerde herstelacties uit (tokens intrekken, application-id blokkeren, toestemming uitschakelen) via de Microsoft Graph API-aanroepen en de Microsoft Graph-service, om kwaadaardige activiteit in te dammen en de toegang tot Microsoft 365-resources te beperken.

Wat zijn de beste praktijken om het risico van verdachte OAuth-apps en riskante OAuth-apps te verminderen?

Belangrijke praktijken zijn: pas het principe van minimale rechten toe voor applicaties, monitor Graph API-aanvragen en Entra ID-aanmeldingslogboeken, vereis beheerderstoestemming alleen waar nodig, gebruik voorwaardelijke toegang en MFA, centraliseer Graph API-logboeken in een Log Analytics-werkruimte met een werkruimte-id, en voer regelmatig onderzoeken uit met het Graph-activiteitenlogboek en Kusto-query's om dreigingen vroegtijdig te detecteren via Microsoft Graph-activiteit.

Hoe betrek ik Microsoft Teams of andere Microsoft 365-diensten bij onderzoeken?

Neem telemetrie van Microsoft Teams en andere Microsoft 365-diensten op in je Graph API-activiteitenlogboeken en correleer die met Graph API-aanvragen. Veel misbruikscenario's met OAuth draaien om toegang tot e-mail, bestanden of Teams-berichten. Door via de Microsoft Graph API dienstspecifieke activiteit op te halen en die te combineren met Entra ID-logboeken in Log Analytics, zie je de volledige keten van API-aanvraag tot toegang tot resources, en detecteer je kwaadaardige activiteit binnen het hele Microsoft-ecosysteem.