MFA‑ændringer og betinget adgang i Entra ID‑loggene

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Når en angriber har fået adgang til en konto, er en af de første handlinger ofte at sikre sig en vej tilbage: en ny telefon, et nyt nummer eller en ny godkendelsesapp registreret til kontoens totrinsgodkendelse. Så virker adgangen, også efter at adgangskoden er skiftet. I Entra ID registreres sådanne ændringer i auditloggen, og de efterlader spor i loginloggen, når den nye metode tages i brug. Det samme gælder ændringer af politikker for betinget adgang, som kan åbne en dør for hele organisationen. Begge dele skal undersøges og dokumenteres, før de rettes.

Hvordan en virksomhed håndterer en overtaget mailkonto i praksis, står på bevissikring-digitalt.dk. Hvorfor adgang kan fortsætte efter et kodeskift, er forklaret i Sessioner, tokens og loginlogs. Her ser vi på sporene efter ændringer i godkendelse og politik.

Hvor ændringerne registreres

Ny, ændret eller slettet godkendelsesmetode · Auditloggen, tjenesten for godkendelsesmetoder og brugeradministration
Midlertidig adgangskode eller nulstilling af metoder · Auditloggen, typisk som administratorhandling
Brug af en metode ved login · Loginloggens godkendelsesdetaljer
Ændret, oprettet eller slettet politik for betinget adgang · Auditloggen, med gamle og nye værdier
Navngivne placeringer og betroede netværk · Auditloggen
Ændring af sikkerhedsstandarder eller tenantindstillinger for godkendelse · Auditloggen

Hændelsesnavnene beskriver typisk, om brugeren selv eller en administrator registrerede, ændrede eller slettede sikkerhedsoplysninger. Ved gennemgangen hed de fx User registered security info, User deleted security info, User changed default security info og Admin registered security info. Microsoft tilføjer og omdøber aktiviteter, så søg også bredt på “security info”.

Brugerens metoder lige nu

Auditloggen viser ændringer, men opbevaringen er kort. Hent derfor også en øjebliksoversigt over brugerens registrerede metoder: telefonnumre, godkendelsesapps med enhedsnavn, sikkerhedsnøgler, Windows Hello og eventuelle midlertidige adgangskoder. For nogle metoder findes et oprettelsestidspunkt i selve metodeobjektet, for andre ikke. I Graph har fx godkendelsesappen, sikkerhedsnøgler, Windows Hello og midlertidige adgangskoder et oprettelsestidspunkt, mens telefonnumre, mailadresser og softwaretokens ikke har. Oversigten viser, hvad der er registreret nu; auditloggen viser, hvordan det kom dertil.

Mønstre, der kræver opmærksomhed

Registrering kort efter et mistænkeligt login: En ny metode registreret fra samme IP-adresse eller session som et login, der ikke passer til brugerens normale mønster.
Ukendt land eller operatør: Et telefonnummer med udenlandsk landekode eller en godkendelsesapp på en enhed med et generisk navn.
Sletning af den oprindelige metode: Brugerens kendte telefon fjernes, så brugeren ikke selv kan godkende eller får advarsler.
Mange afviste godkendelser efterfulgt af en godkendt: Kan pege på, at brugeren til sidst godkendte en anmodning, der ikke var brugerens egen. Fejlkoderne i loginloggen viser forløbet; se Entra ID-loginlogs.
Administrator nulstiller metoder: Legitimt i supportsager, men relevant, hvis administratorkontoen selv er under mistanke eller kompromitteret.

Hver registrering skal kobles til den session, den kom fra. Revisionsposten indeholder typisk den initierende bruger, IP-adresse og eventuelt korrelations-id, som kan føres tilbage til loginloggen.

Brugen af den nye metode

Når en ny metode er registreret, viser loginloggens godkendelsesdetaljer, hvilken metode der blev brugt ved efterfølgende logins. Det gør det muligt at skelne mellem logins godkendt med brugerens kendte telefon og logins godkendt med den nye. Det er ofte den stærkeste kobling mellem registreringen og senere adgang.

Betinget adgang

Politikker for betinget adgang bestemmer, hvornår totrinsgodkendelse kræves, og hvilke enheder, placeringer og apps der er tilladt. En ændring kan svække beskyttelsen for alle: en undtagelse for en bestemt bruger eller gruppe, en ny betroet placering, en politik sat i rapporteringstilstand eller slået fra. Revisionsposten for en politikændring indeholder politikkens gamle og nye værdier som strukturerede data, så det kan ses præcist, hvad der blev ændret.

Sikr de aktuelle politikker i deres fulde form, ikke kun som skærmbilleder af portalen, og sikr revisionsposterne for ændringer i perioden. Sammenhold med loginloggen: Hvilke logins blev tilladt, fordi en politik var ændret? Det kan læses i loginpostens resultat for hver politik.

Selvbetjent nulstilling og midlertidige adgangskoder

To funktioner bør altid tjekkes, fordi de bruger de samme metoder som totrinsgodkendelsen. Selvbetjent nulstilling af adgangskode lader brugeren skifte kode ved at bekræfte sig med en registreret metode. Har en angriber registreret sin egen telefon, kan den også bruges til at nulstille koden, efter at den legitime bruger har skiftet den. Forløbet registreres i auditloggen med de enkelte trin og resultatet, ved gennemgangen som aktiviteterne Self-service password reset flow activity progress og Reset password (self-service).

En midlertidig adgangskode er en tidsbegrænset kode, som en administrator kan udstede, så en bruger kan logge ind og registrere nye metoder uden de gamle. Den er et legitimt supportværktøj, men den er også en effektiv vej til at overtage en konto, hvis den udstedes af en kompromitteret administrator. Udstedelsen registreres som administratorhandling, og brugen ses i loginloggens godkendelsesdetaljer.

Rettigheder bag ændringerne

Ændringer af andres godkendelsesmetoder og af politikker for betinget adgang kræver bestemte administratorroller. Findes sådanne ændringer udført af en konto, der ikke burde have rollen, er spørgsmålet, hvornår og hvordan rollen blev tildelt; se Privilegerede roller: tildelinger og ændringshistorik i Entra ID.

Sikring før oprydning

Eksportér auditloggen for perioden med alle hændelser om godkendelsesmetoder, politikker og placeringer.
Eksportér brugerens nuværende metoder og registrerede enheder.
Eksportér alle politikker for betinget adgang og navngivne placeringer.
Eksportér loginloggen med godkendelsesdetaljer for brugeren; se Eksport af Entra ID-loginlogs.
Hash eksporterne, og fjern derefter ukendte metoder, tilbagekald sessioner og genopret politikker.
Eksportér igen bagefter for at dokumentere oprydningen.

Registrerede enheder i Entra ID er en beslægtet vej til vedvarende adgang og bør tjekkes i samme omgang; se Registrerede enheder i Entra ID som vedvarende adgang.

Typiske fejlkilder

Brugerens egen nye telefon: Mange registreringer er legitime, fx ved telefonskift. Tidspunkt, session og brugerens egen forklaring skal sammenholdes.
Kort opbevaring: Registreringen kan ligge uden for auditloggens opbevaring, selv om metoden stadig er aktiv.
Portalvisning: Portalen viser ikke altid alle detaljer, fx fulde telefonnumre eller enheds-id’er.
Politikker ændret siden: Loginloggens politikresultater afspejler politikken på loginstidspunktet, ikke den nuværende.

Hvad sporene kan og ikke kan bevise

Sporene kan vise, at en godkendelsesmetode blev registreret fra en bestemt session på et bestemt tidspunkt, og at den senere blev brugt. De kan vise, at en politik blev ændret, af hvem og hvordan. De kan ikke alene vise, hvem der fysisk betjente den nye telefon eller app.

Dokumentation

Rapporten bør indeholde en tidslinje, hvor registreringer, sletninger og politikændringer står side om side med de logins, de hænger sammen med. For hver ændring angives hændelsesnavn, tidspunkt i UTC, initierende konto, IP-adresse, korrelations-id og de ændrede værdier, så posten kan genfindes i den rå eksport. Brugerens metoder før og efter oprydningen gengives, og politikkerne for betinget adgang vedlægges i deres fulde form med hashværdier. Beskriv også, hvordan legitime ændringer er skilt fra de mistænkelige, fx ved at brugeren har bekræftet et telefonskift, eller ved at registreringen skete fra virksomhedens netværk på en kendt enhed. Ligger en del af forløbet uden for auditloggens opbevaring, skal det stå som en begrænsning, og det skal fremgå, om en metode, der stadig er aktiv, kan dateres på anden måde, fx ud fra den første gang, den blev brugt ved et login.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Eksport af Entra ID-loginlogs: fuldstændig og dokumenteret · Registrerede enheder i Entra ID som vedvarende adgang

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik