Nhân viên đang ở văn phòng nhưng lịch sử tài khoản lại có lần đăng nhập từ một địa điểm khác. Hoặc điện thoại liên tục nhận yêu cầu xác thực dù người dùng không mở Outlook. Đây là những dấu hiệu cần kiểm tra, nhưng chưa đủ để kết luận tài khoản đã bị chiếm quyền.
Microsoft 365 sử dụng nền tảng danh tính Microsoft Entra ID. Khả năng ghi nhận đăng nhập, phát hiện rủi ro, gửi cảnh báo và áp dụng biện pháp kiểm soát là những phần khác nhau, phụ thuộc giấy phép và cấu hình thực tế của tổ chức.
Có lịch sử đăng nhập không đồng nghĩa có cảnh báo tự động
Nhật ký đăng nhập giúp người có quyền xem thông tin về hoạt động xác thực, chẳng hạn thời điểm, ứng dụng, kết quả và các thuộc tính liên quan. Đây là dữ liệu phục vụ kiểm tra; việc có một bản ghi không có nghĩa hệ thống đã đánh giá nó là nguy hiểm hoặc gửi email cho quản trị viên.
Microsoft Entra ID Protection cung cấp khả năng phát hiện rủi ro về danh tính. Một số tín hiệu có thể liên quan đến đặc điểm đăng nhập chưa quen thuộc hoặc hoạt động đáng ngờ. Chi tiết phát hiện và khả năng xử lý khác nhau theo giấy phép.
Trong vận hành, doanh nghiệp cần xác định ba việc: dữ liệu nào đang được ghi nhận, ai theo dõi và chính sách nào sẽ phản ứng khi có dấu hiệu cần xử lý. Mua giấy phép chưa đồng nghĩa ba phần này đã được thiết lập đầy đủ.
Vị trí hoặc thiết bị lạ có chắc là kẻ tấn công?
Không. Vị trí trong nhật ký thường được suy ra từ địa chỉ IP và không phải bằng chứng định vị chính xác người dùng. VPN, mạng di động hoặc hệ thống mạng doanh nghiệp có thể khiến vị trí hiển thị khác với nơi nhân viên đang làm việc.
Thiết bị hoặc trình duyệt mới cũng có thể xuất phát từ việc thay máy, cài lại ứng dụng hoặc đổi cách truy cập. Ngược lại, việc vị trí trông quen thuộc không đủ để khẳng định lần đăng nhập an toàn.
Ví dụ, một nhân viên đi công tác, dùng mạng khách sạn và đổi điện thoại. IT cần đối chiếu thời điểm, ứng dụng, kết quả xác thực và xác nhận trực tiếp với nhân viên qua kênh tin cậy. Không nên chỉ nhìn tên thành phố rồi đánh dấu là sự cố hoặc bỏ qua toàn bộ cảnh báo.
Rủi ro đăng nhập và rủi ro người dùng khác nhau ra sao?
Rủi ro đăng nhập tập trung vào khả năng một lần đăng nhập không được chủ tài khoản thực hiện. Rủi ro người dùng tập trung vào khả năng danh tính của người đó đã bị xâm phạm. Hai góc đánh giá có liên quan nhưng không thể dùng thay thế hoàn toàn cho nhau.
Một số phát hiện được xử lý gần thời gian thực, một số cần phân tích sau. Vì vậy, doanh nghiệp không nên hứa rằng mọi hoạt động nguy hiểm đều bị cảnh báo ngay tại thời điểm diễn ra.
Conditional Access có thể dùng tín hiệu phù hợp để áp dụng kiểm soát. Khi sử dụng điều kiện dựa trên rủi ro người dùng hoặc rủi ro đăng nhập, tổ chức cần giấy phép hỗ trợ, thường là Entra ID P2 cho những khả năng này, và chính sách được cấu hình đúng.
Nếu cần tìm hiểu nền tảng của những lớp bảo vệ liên quan, bài Microsoft 365 và bảo mật tài khoản cung cấp góc nhìn tổng thể trước khi đi sâu vào quy trình cảnh báo.
Ai nhận cảnh báo và nhận bằng cách nào?
Với ID Protection được cấp phép phù hợp, quản trị viên có thể cấu hình email khi người dùng đạt mức rủi ro đã chọn và bản tổng hợp định kỳ. Người nhận, ngưỡng cảnh báo và quyền mở báo cáo cần được kiểm tra trong môi trường công ty.
Không nên mô tả cơ chế này thành “cứ đăng nhập từ nơi lạ là mọi nhân viên nhận email”. Email cảnh báo người dùng có rủi ro, thông báo xác thực trên Authenticator và các cảnh báo từ sản phẩm bảo mật khác có mục đích và điều kiện phát sinh khác nhau.
Doanh nghiệp cũng cần chỉ định người tiếp nhận thay thế. Một hộp thư cảnh báo không được theo dõi khi nhân viên IT nghỉ phép có thể làm chậm phản ứng dù hệ thống vẫn đang gửi thông báo.
Nhân viên nên làm gì khi gặp yêu cầu đăng nhập lạ?
Nếu không tự khởi tạo đăng nhập mà nhận yêu cầu Authenticator, hãy từ chối yêu cầu đó. Sau đó, báo IT bằng kênh chính thức và cung cấp thời điểm cùng tài khoản liên quan. Không chia sẻ mật khẩu, mã xác minh hoặc mã QR đăng ký để nhờ người khác “kiểm tra hộ”.
Nếu nhận email cảnh báo, đừng vội đăng nhập qua liên kết trong email. Hãy mở cổng tài khoản đã biết hoặc liên hệ IT để xác minh. Email giả mạo cảnh báo bảo mật có thể chính là cách dụ người dùng cung cấp thông tin đăng nhập.
Trong trường hợp đã nhập mật khẩu vào trang đáng ngờ hoặc lỡ phê duyệt yêu cầu lạ, hãy báo ngay và làm theo quy trình ứng phó của công ty. Việc xử lý nhanh giúp IT đánh giá phạm vi ảnh hưởng và chọn biện pháp phù hợp.
Một quy trình kiểm tra cho bộ phận IT
- Ghi nhận tài khoản, thời điểm, ứng dụng và nội dung cảnh báo. Giữ thông tin cần thiết để đối chiếu.
- Kiểm tra nhật ký và báo cáo rủi ro trong phạm vi giấy phép, quyền quản trị đang có.
- Xác nhận với người dùng qua kênh độc lập: có đang đăng nhập, đổi thiết bị, dùng VPN hoặc đi công tác không.
- Nếu nghi ngờ xâm nhập, thực hiện biện pháp theo quy trình như chặn truy cập, thu hồi phiên và đặt lại thông tin xác thực khi phù hợp.
- Rà soát hoạt động liên quan: phương thức xác thực mới, thay đổi quyền hoặc quy tắc email đáng ngờ. Ghi lại kết quả xử lý và theo dõi sau sự cố.
Nếu tình huống đi kèm mất thiết bị, doanh nghiệp có thể tham khảo bài Microsoft Intune xóa dữ liệu từ xa khi mất thiết bị. Việc kiểm soát thiết bị và điều tra danh tính cần được phối hợp theo cấu hình thực tế.
Cảnh báo cần đi cùng người xử lý và chính sách phù hợp
Microsoft 365 có thể hỗ trợ doanh nghiệp phát hiện và kiểm soát đăng nhập đáng ngờ qua các thành phần được cấp phép. Giá trị thực tế nằm ở việc chọn đúng tính năng, cấu hình ngưỡng phù hợp và có người xử lý khi cảnh báo xuất hiện.
Để đối chiếu nhu cầu giám sát với gói dịch vụ đang dùng, hãy tìm hiểu giải pháp Microsoft 365 tại Vinaweb. Trước khi triển khai, cần xác nhận rõ giấy phép, nguồn cảnh báo và trách nhiệm vận hành của từng bên.
