{"id":2657,"date":"2020-09-10T22:03:08","date_gmt":"2020-09-10T20:03:08","guid":{"rendered":"https:\/\/jeffreyappel.nl\/?p=2657"},"modified":"2021-10-03T00:53:02","modified_gmt":"2021-10-02T22:53:02","slug":"inzicht-in-brute-force-password-spray-attack-via-azure-sentinel","status":"publish","type":"post","link":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/","title":{"rendered":"Inzicht in Brute-force &#038; Password spray attack via Azure Sentinel"},"content":{"rendered":"<p><strong>Azure Sentinel is een cloud-native Security Information Event Management-oplossing, ook wel bekend als een SIEM-oplossing. Azure Sentinel is cloud-native ontwikkeld op het schaalbare Azure platform en maakt gebruik van meerdere bestaande Azure services. In dit blog een toelichting over de detectie van Brute-force &amp; Password spray attack via Azure Sentinel.\u00a0<\/strong><\/p>\n<h3>Wat is Azure Sentinel?<\/h3>\n<p>Azure Sentinel is cloud-native gebaseerd en gericht en ontwikkeld op het Azure platform welke gebruik maakt van bestaande Azure toepassingen en services.<\/p>\n<p>Om een overzicht te geven is de volledige analyse gericht op Log analytics. Dit platform maakt al jaren onderdeel uit van het Azure Monitor platform. Via KQL (kusto query language) is het mogelijk om gebruik te maken van de query&#8217;s.<\/p>\n<p>Gebruiksvriendelijkheid is belangrijk, om deze reden heeft Microsoft ervoor gekozen om een tal van connectors standaard beschikbaar te stellen.<\/p>\n<p><img fetchpriority=\"high\" decoding=\"async\" class=\"size-full wp-image-2658 aligncenter\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/core-capabilities-1.png\" alt=\"\" width=\"533\" height=\"551\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/core-capabilities-1.png 533w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/core-capabilities-1-290x300.png 290w\" sizes=\"(max-width: 533px) 100vw, 533px\" \/><\/p>\n<h2>Aan de slag met de data<\/h2>\n<p>Door de vele connectors en informatie-bronnen is het vrij eenvoudig om eigen dashboard te ontwerpen welke eenvoudig inzicht geven in bepaalde security handelingen. In dit blog een toelichting over de kracht van Azure Sentinel als het gaat om het weergave van de volgende componenten:<\/p>\n<ul>\n<li>Brute force<\/li>\n<li>Password spray attack<\/li>\n<li>Weergave in dashboard en visuele map weergave.<\/li>\n<\/ul>\n<p>Voor de Azure Active Directory data connector is het een vereiste om te beschikken over minimaal een Azure AD Premium P1 licentie. Om te beginnen een korte toelichting van de Brute force &amp; password spray attack.<\/p>\n<h3><strong>Brute-force attack<\/strong><\/h3>\n<p>Een veelgebruikte methode om ergens digitaal in te breken, is via een brute-force attack. De kwaadwillende gebruikt hierbij verschillende combinaties wachtwoorden, totdat de juiste combinatie is gevonden en een inlogpoging mogelijk is. Hierbij is een brute force vaak gericht tot een enkel account met behulp van bijvoorbeeld een password file. Vooral zwakke inlognamen- en wachtwoorden zijn extra gevoelig voor een brute-force attack.<\/p>\n<h3><strong>Password spray attack<\/strong><\/h3>\n<p>Password spray attack is gericht op het verkrijgen van toegang via vaak single sign-on SSO en cloud applicaties voor een grotere groep gebruikers met veel gebruikte wachtwoorden. Hierbij gebruiken kwaadwillenden een flinke lijst met wachtwoorden<strong>\u00a0<\/strong>voor een tiental accounts in de organisatie. Bij een dergelijke aanval probeert een hacker wachtwoorden te raden door met veel voorkomende wachtwoorden in te loggen op meerdere accounts. Dat kan met willekeurige gebruikersnamen of op basis van een bewuste lijst met gebruikersnamen. Vaak is deze informatie vrij eenvoudig te vinden op mediums als LinkedIn. En is het alleen het achterhalen van de juiste conventie zoals; voornaam.achternaam@ of voornaamachternaam@<\/p>\n<p>Via de juiste toolings zijn beide activiteiten in te zien. AzureAD beschikt over de locatie en overige inloggegevens, hierbij is het mogelijk om via een query of custom dashboard de data inzichtelijk te krijgen.<\/p>\n<h3><strong>Connector in Azure Sentinel<\/strong><\/h3>\n<p>In Azure Sentinel is het een vereiste om de Azure Active Directory connector te configureren om hiermee de SigninLogs te verkrijgen. Op basis van de SigninLogs is het mogelijk om via KQL (Kusto Query Language) de informatie via een query inzichtelijk te krijgen. Uiteraard is het mogelijk om de query te gebruiken als analytics rule of hunting rule.<\/p>\n<p>Voor de Azure Active Directory data connector is het een vereiste om te beschikken over minimaal een Azure AD Premium P1 licentie.<\/p>\n<p>Voor het koppelen van de connector in Azure Sentinel ga naar;<\/p>\n<ol>\n<li>Ga naar Azure Sentinel<\/li>\n<li>Open de Azure Sentinel workspace<\/li>\n<li>Configuration -&gt; Data connectors<\/li>\n<\/ol>\n<p><img decoding=\"async\" class=\"alignnone size-full wp-image-2661\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-1.png\" alt=\"\" width=\"1410\" height=\"586\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-1.png 1410w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-1-300x125.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-1-1024x426.png 1024w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-1-768x319.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-1-585x243.png 585w\" sizes=\"(max-width: 1410px) 100vw, 1410px\" \/><\/p>\n<p>Bekijk de <a href=\"https:\/\/docs.microsoft.com\/en-us\/azure\/sentinel\/connect-data-sources\">toelichting van Microsoft<\/a> voor het koppelen van data connectors.<\/p>\n<hr \/>\n<h3><strong>Query&#8217;s<\/strong><\/h3>\n<p>Onderstaande KQL query&#8217;s zijn een aantal basis query&#8217;s en vereisten uiteraard aanpassingen naar de omgeving, zoals whitelisting van geldige IP&#8217;s.<\/p>\n<h3><strong>Brute force attack<\/strong><\/h3>\n<p>In onderstaande voorbeeld is de KQL query gericht op de events 50126 en 50053. Tip; gebruik de <a href=\"https:\/\/login.microsoftonline.com\/error\">error viewer van Microsoft<\/a>. Hierbij is zichtbaar dat een user is &#8220;aangevallen&#8221; vanuit meerdere IP adressen vanuit meerdere landen. Een vakantie trip is hiermee vrij snel te uit te sluiten als het gaat om meerdere IP&#8217;s en locatie&#8217;s.<\/p>\n<p><img decoding=\"async\" class=\"alignnone size-full wp-image-2672\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-11.png\" alt=\"\" width=\"670\" height=\"384\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-11.png 670w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-11-300x172.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-11-585x335.png 585w\" sizes=\"(max-width: 670px) 100vw, 670px\" \/><\/p>\n<div><\/div>\n<table>\n<tbody>\n<tr>\n<td>Error Code<\/td>\n<td>50126<\/td>\n<\/tr>\n<tr>\n<td>Message<\/td>\n<td>Error validating credentials due to invalid username or password.<\/td>\n<\/tr>\n<tr>\n<td>Remediation<\/td>\n<td>The user didn&#8217;t enter the right credentials. \u00a0It&#8217;s expected to see some number of these errors in your logs due to users making mistakes.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<div><\/div>\n<div>\n<div>\n<table>\n<tbody>\n<tr>\n<td>Error Code<\/td>\n<td>50053<\/td>\n<\/tr>\n<tr>\n<td>Message<\/td>\n<td>The account is locked, you&#8217;ve tried to sign in too many times with an incorrect user ID or password.<\/td>\n<\/tr>\n<tr>\n<td>Remediation<\/td>\n<td>The user is blocked due to repeated sign-in attempts. See https:\/\/docs.microsoft.com\/azure\/active-directory\/identity-protection\/howto-unblock-user<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>&nbsp;<\/p>\n<h3><strong>KQL <\/strong><strong>Brute force attack<\/strong><\/h3>\n<div>\n<div style=\"padding-left: 40px;\">\/\/ brute force attack event 50126 50053<\/div>\n<div style=\"padding-left: 40px;\">SigninLogs<\/div>\n<div style=\"padding-left: 40px;\">|\u00a0where\u00a0ResultType\u00a0==\u00a0&#8220;50126&#8221;\u00a0or\u00a0ResultType\u00a0==\u00a0&#8220;50053&#8221;<\/div>\n<div style=\"padding-left: 40px;\">|\u00a0project\u00a0Identity,\u00a0Location,\u00a0IPAddress<\/div>\n<div style=\"padding-left: 40px;\">|\u00a0summarize\u00a0IPs\u00a0=\u00a0dcount(IPAddress),\u00a0Locations\u00a0=\u00a0make_set(Location)\u00a0by\u00a0Identity<\/div>\n<div style=\"padding-left: 40px;\">|\u00a0where\u00a0IPs\u00a0&gt;\u00a01<\/div>\n<div style=\"padding-left: 40px;\">|\u00a0sort\u00a0by\u00a0IPs\u00a0desc<\/div>\n<\/div>\n<div><\/div>\n<hr \/>\n<div>\n<h3><strong>Password spray attack<\/strong><\/h3>\n<\/div>\n<div class=\"ext-usage-notebook-grid ext-notebook-margin ext-focus-7170f5f2-c036-4b74-a75c-55d60c0e9b23 ext-notebook-chart-medium\" data-bind=\"sanitizedCss: sizeClassComputed, style: { height: computedHeight, padding: padding }\">\n<div id=\"grid1a33a4842-0a44-4fc9-bdf0-e781bbbe9293\" class=\"fxc-base Formatter Focusable Scrollable FormatterHtmlBindings SortableColumn FocusableRowHover ResizableColumn Selectable RightClickableRow azc-control azc-grid-focusableRow azc-grid-scrollable azc-grid-resizableColumn azc-grid-selectableRow azc-grid-hoverableRow azc-grid-activateableRow azc-grid-sortableColumn azc-grid-rightClickableRow azc-grid azc-fabric azc-grid-hscroll azc-grid-vscroll fxs-vivaresize\" tabindex=\"0\" role=\"grid\" data-bind=\"pcControl: kqlGrid.resultsView()\" data-formelement=\"pcControl: kqlGrid.resultsView()\" data-control=\"true\" aria-disabled=\"false\" aria-multiselectable=\"true\" aria-readonly=\"true\" aria-colcount=\"4\" aria-rowcount=\"22\">\n<div class=\"azc-grid-root\" role=\"presentation\">\n<div class=\"azc-grid-area\" role=\"presentation\" data-bind=\"template:'table'\">\n<div class=\"azc-grid-container azc-br-muted\" role=\"presentation\">\n<div class=\"azc-grid-header\" role=\"presentation\">In onderstaande is de KQL query gericht op de events 50126 en 50053. \u00a0Hierbij is er vanuit het IPaddress gekeken met als target de users vanaf hetzelfde IP. Met onderstaande query krijg je een weergave van een attack\/poging tot inlog vanuit een IP-address met als target meerdere users. Met de waarde <strong>where USERs[1] != &#8220;&#8221;\u00a0\u00a0<\/strong>is elke waarde met meer dan 1 user zichtbaar. Om te filteren kan je deze waarde ook op bijvoorbeeld <strong>where USERs[5] != &#8220;&#8221; <\/strong>configueren om alleen resultaten zichtbaar te krijgen met 5+ users.<\/div>\n<p>In onderstaand voorbeeld een attack vanaf het IPadres welke is gericht op meerdere gebruikers in de organisatie. Als IP zien we; 203.192.214.203 vanuit India met als resultaat een vijftal accounts (niet zichtbaar in de screenshot). Een check bij AbuseIPDB geeft aan dat dit IP meerdere keren is gerapporteerd.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2674\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-13.png\" alt=\"\" width=\"529\" height=\"206\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-13.png 529w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-13-300x117.png 300w\" sizes=\"(max-width: 529px) 100vw, 529px\" \/><\/p>\n<h3><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2673\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-12.png\" alt=\"\" width=\"826\" height=\"392\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-12.png 826w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-12-300x142.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-12-768x364.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-12-585x278.png 585w\" sizes=\"(max-width: 826px) 100vw, 826px\" \/><strong>KQL <\/strong><strong>Password spray attack<\/strong><\/h3>\n<div class=\"ext-usage-notebook-grid ext-notebook-margin ext-focus-7170f5f2-c036-4b74-a75c-55d60c0e9b23 ext-notebook-chart-medium\" data-bind=\"sanitizedCss: sizeClassComputed, style: { height: computedHeight, padding: padding }\">\n<div id=\"grid1a33a4842-0a44-4fc9-bdf0-e781bbbe9293\" class=\"fxc-base Formatter Focusable Scrollable FormatterHtmlBindings SortableColumn FocusableRowHover ResizableColumn Selectable RightClickableRow azc-control azc-grid-focusableRow azc-grid-scrollable azc-grid-resizableColumn azc-grid-selectableRow azc-grid-hoverableRow azc-grid-activateableRow azc-grid-sortableColumn azc-grid-rightClickableRow azc-grid azc-fabric azc-grid-hscroll azc-grid-vscroll fxs-vivaresize\" tabindex=\"0\" role=\"grid\" data-bind=\"pcControl: kqlGrid.resultsView()\" data-formelement=\"pcControl: kqlGrid.resultsView()\" data-control=\"true\" aria-disabled=\"false\" aria-multiselectable=\"true\" aria-readonly=\"true\" aria-colcount=\"4\" aria-rowcount=\"22\">\n<div class=\"azc-grid-root\" role=\"presentation\">\n<div class=\"azc-grid-area\" role=\"presentation\" data-bind=\"template:'table'\">\n<div class=\"azc-grid-tableContainer azc-br-muted\" role=\"presentation\" data-bind=\"visible:$ctl.tableVisible\">\n<div style=\"padding-left: 40px;\">\/\/ password spray attack event 50126 50053<\/div>\n<div style=\"padding-left: 40px;\">SigninLogs<\/div>\n<div style=\"padding-left: 40px;\">| where ResultType == &#8220;50053&#8221; or ResultType == &#8220;50126&#8221;<\/div>\n<div style=\"padding-left: 40px;\">| project Identity, Location, IPAddress<\/div>\n<div style=\"padding-left: 40px;\">| summarize USERs = make_set(Identity) by Location, IPAddress<\/div>\n<div style=\"padding-left: 40px;\">|\u00a0where\u00a0USERs[1]\u00a0!=\u00a0&#8220;&#8221;<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<div><\/div>\n<div class=\"azc-grid-area\" role=\"presentation\" data-bind=\"template:'table'\">\n<div class=\"azc-grid-container azc-br-muted\" role=\"presentation\">\n<div class=\"ext-usage-notebook-grid ext-notebook-margin ext-focus-7170f5f2-c036-4b74-a75c-55d60c0e9b23 ext-notebook-chart-medium\" data-bind=\"sanitizedCss: sizeClassComputed, style: { height: computedHeight, padding: padding }\">\n<div id=\"grid1a33a4842-0a44-4fc9-bdf0-e781bbbe9293\" class=\"fxc-base Formatter Focusable Scrollable FormatterHtmlBindings SortableColumn FocusableRowHover ResizableColumn Selectable RightClickableRow azc-control azc-grid-focusableRow azc-grid-scrollable azc-grid-resizableColumn azc-grid-selectableRow azc-grid-hoverableRow azc-grid-activateableRow azc-grid-sortableColumn azc-grid-rightClickableRow azc-grid azc-fabric azc-grid-hscroll azc-grid-vscroll fxs-vivaresize\" tabindex=\"0\" role=\"grid\" data-bind=\"pcControl: kqlGrid.resultsView()\" data-formelement=\"pcControl: kqlGrid.resultsView()\" data-control=\"true\" aria-disabled=\"false\" aria-multiselectable=\"true\" aria-readonly=\"true\" aria-colcount=\"4\" aria-rowcount=\"22\">\n<div class=\"azc-grid-root\" role=\"presentation\">\n<div class=\"azc-grid-area\" role=\"presentation\" data-bind=\"template:'table'\">\n<div><\/div>\n<hr \/>\n<div class=\"azc-grid-tableContainer azc-br-muted\" role=\"presentation\" data-bind=\"visible:$ctl.tableVisible\">\n<h3>Dashboard<\/h3>\n<p>De query kan vervolgens gekoppeld worden aan een analytics rule of een hunting query in Azure Sentinel. Uiteraard is het ook mogelijk om een dashboard te configureren met daarin de informatie in een overzichtelijk beeld.<\/p>\n<p>Ga hiervoor naar<strong> Azure Sentinel -&gt; Workbooks -&gt; Add workbook<\/strong><\/p>\n<p>Het is eenvoudig om de dashboard te configureren via een Timerange parameter, zodat de Timerange automatisch zal verspringen over alle query&#8217;s. Dit is mogelijk via een <strong>add parameters\u00a0<\/strong>met als parameter type\u00a0<strong>time range picker.\u00a0<\/strong><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2663\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2.png\" alt=\"\" width=\"1744\" height=\"190\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2.png 1744w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2-300x33.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2-1024x112.png 1024w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2-768x84.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2-1536x167.png 1536w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-2-585x64.png 585w\" sizes=\"(max-width: 1744px) 100vw, 1744px\" \/><\/p>\n<p>Selecteer vervolgens de gewenste time ranges:<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2664\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-3.png\" alt=\"\" width=\"731\" height=\"631\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-3.png 731w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-3-300x259.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-3-585x505.png 585w\" sizes=\"(max-width: 731px) 100vw, 731px\" \/><\/p>\n<p>Met als resultaat:<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2665\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-4.png\" alt=\"\" width=\"543\" height=\"215\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-4.png 543w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-4-300x119.png 300w\" sizes=\"(max-width: 543px) 100vw, 543px\" \/><\/p>\n<hr \/>\n<p>Om de query&#8217;s te weergeven in een aantal blokken, zoals hieronder aangegeven:<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2666\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5.png\" alt=\"\" width=\"1864\" height=\"491\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5.png 1864w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5-300x79.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5-1024x270.png 1024w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5-768x202.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5-1536x405.png 1536w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-5-585x154.png 585w\" sizes=\"(max-width: 1864px) 100vw, 1864px\" \/><\/p>\n<ol>\n<li>klik op<strong> Add<\/strong> in het dashboard -&gt; <strong>Add query<\/strong><\/li>\n<li>Als <strong>TimeRange<\/strong> selecteer de <strong>T<\/strong><strong>imeRange parameter<\/strong> ( hiermee kijkt de query naar de waarde ingesteld in de eerder aangemaakte parameter.<\/li>\n<li>Om drie blokken naast elkaar in een visuele weergave te weergeven, selecteer <strong>style<\/strong> en configureer vervolgens <strong>percent width<\/strong>\u00a0 op 33%.<\/li>\n<li>Gebruik de query in de workspace logs query venster<\/li>\n<\/ol>\n<\/div>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2667\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-6.png\" alt=\"\" width=\"1052\" height=\"415\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-6.png 1052w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-6-300x118.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-6-1024x404.png 1024w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-6-768x303.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-6-585x231.png 585w\" sizes=\"(max-width: 1052px) 100vw, 1052px\" \/><\/p>\n<\/div>\n<hr \/>\n<h3>Visuele map<\/h3>\n<p>De data weergeven in een visuele map is mogelijk via de map weergave:<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2668\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-7.png\" alt=\"\" width=\"920\" height=\"570\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-7.png 920w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-7-300x186.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-7-768x476.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-7-585x362.png 585w\" sizes=\"(max-width: 920px) 100vw, 920px\" \/><\/p>\n<p>Voor de correcte weergave:<\/p>\n<ul>\n<li>Configureer de size op Full<\/li>\n<li>Visualization op Map ( Preview)<\/li>\n<\/ul>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2671\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-10.png\" alt=\"\" width=\"978\" height=\"286\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-10.png 978w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-10-300x88.png 300w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-10-768x225.png 768w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-10-585x171.png 585w\" sizes=\"(max-width: 978px) 100vw, 978px\" \/><\/p>\n<p>Voor de juiste mapping zijn er een aantal map settings vereist. Onderstaand een voorbeeld van map weergave, uiteraard zijn er hierin verschillende mogelijkheden en opties beschikbaar voor de weergave en styling.<\/p>\n<p><strong>Map settings:<\/strong><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2669\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-8.png\" alt=\"\" width=\"366\" height=\"738\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-8.png 366w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-8-149x300.png 149w\" sizes=\"(max-width: 366px) 100vw, 366px\" \/><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-2670\" src=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-9.png\" alt=\"\" width=\"368\" height=\"180\" srcset=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-9.png 368w, https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/sentinel-connector-9-300x147.png 300w\" sizes=\"(max-width: 368px) 100vw, 368px\" \/><\/p>\n<\/div>\n<hr \/>\n<div class=\"azc-grid-root\" role=\"presentation\">\n<h3>Bronnen:<\/h3>\n<p><strong>Microsoft:<\/strong> https:\/\/azure.microsoft.com\/nl-nl\/blog\/introducing-microsoft-azure-sentinel-intelligent-security-analytics-for-your-entire-enterprise\/<\/p>\n<p><strong>Medium.com\/@derkvanderwoude:<\/strong> https:\/\/medium.com\/@derkvanderwoude\/brute-force-vs-password-spray-attack-in-azure-sentinel-a3369afa3df2<\/p>\n<p><strong>Microsoft:<\/strong> https:\/\/docs.microsoft.com\/nl-nl\/azure\/sentinel\/connect-data-sources<\/p>\n<p><strong>Medium:<\/strong> https:\/\/medium.com\/@CTM360\/beware-of-password-spraying-3147aa20367f<\/p>\n<\/div>\n<p>&nbsp;<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Azure Sentinel is een cloud-native Security Information Event Management-oplossing, ook wel bekend als een SIEM-oplossing. Azure Sentinel is cloud-native ontwikkeld op het schaalbare Azure platform en maakt gebruik van meerdere bestaande Azure services. In dit blog een toelichting over de&#8230;<\/p>\n","protected":false},"author":1,"featured_media":2703,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[189],"tags":[208],"table_tags":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v22.5 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Inzicht in Brute-force &amp; Password spray attack via Azure Sentinel<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Inzicht in Brute-force &amp; Password spray attack via Azure Sentinel\" \/>\n<meta property=\"og:description\" content=\"Azure Sentinel is een cloud-native Security Information Event Management-oplossing, ook wel bekend als een SIEM-oplossing. Azure Sentinel is cloud-native ontwikkeld op het schaalbare Azure platform en maakt gebruik van meerdere bestaande Azure services. In dit blog een toelichting over de...\" \/>\n<meta property=\"og:url\" content=\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/\" \/>\n<meta property=\"og:site_name\" content=\"Jeffrey Appel - Microsoft Security blog\" \/>\n<meta property=\"article:published_time\" content=\"2020-09-10T20:03:08+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2021-10-02T22:53:02+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1763\" \/>\n\t<meta property=\"og:image:height\" content=\"869\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Jeffrey\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Jeffrey\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"6 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/\",\"url\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/\",\"name\":\"Inzicht in Brute-force & Password spray attack via Azure Sentinel\",\"isPartOf\":{\"@id\":\"https:\/\/jeffreyappel.nl\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png\",\"datePublished\":\"2020-09-10T20:03:08+00:00\",\"dateModified\":\"2021-10-02T22:53:02+00:00\",\"author\":{\"@id\":\"https:\/\/jeffreyappel.nl\/#\/schema\/person\/ebdd80b67674ad29968ad249abc89c42\"},\"breadcrumb\":{\"@id\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#primaryimage\",\"url\":\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png\",\"contentUrl\":\"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png\",\"width\":1763,\"height\":869},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\/\/jeffreyappel.nl\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Inzicht in Brute-force &#038; Password spray attack via Azure Sentinel\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/jeffreyappel.nl\/#website\",\"url\":\"https:\/\/jeffreyappel.nl\/\",\"name\":\"Jeffrey Appel - Microsoft Security blog\",\"description\":\"\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/jeffreyappel.nl\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Person\",\"@id\":\"https:\/\/jeffreyappel.nl\/#\/schema\/person\/ebdd80b67674ad29968ad249abc89c42\",\"name\":\"Jeffrey\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/jeffreyappel.nl\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/37bbb7acc360ea70a60f26ca4548d940?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/37bbb7acc360ea70a60f26ca4548d940?s=96&d=mm&r=g\",\"caption\":\"Jeffrey\"},\"url\":\"https:\/\/jeffreyappel.nl\/author\/contact\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Inzicht in Brute-force & Password spray attack via Azure Sentinel","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/","og_locale":"en_US","og_type":"article","og_title":"Inzicht in Brute-force & Password spray attack via Azure Sentinel","og_description":"Azure Sentinel is een cloud-native Security Information Event Management-oplossing, ook wel bekend als een SIEM-oplossing. Azure Sentinel is cloud-native ontwikkeld op het schaalbare Azure platform en maakt gebruik van meerdere bestaande Azure services. In dit blog een toelichting over de...","og_url":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/","og_site_name":"Jeffrey Appel - Microsoft Security blog","article_published_time":"2020-09-10T20:03:08+00:00","article_modified_time":"2021-10-02T22:53:02+00:00","og_image":[{"width":1763,"height":869,"url":"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png","type":"image\/png"}],"author":"Jeffrey","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Jeffrey","Est. reading time":"6 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/","url":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/","name":"Inzicht in Brute-force & Password spray attack via Azure Sentinel","isPartOf":{"@id":"https:\/\/jeffreyappel.nl\/#website"},"primaryImageOfPage":{"@id":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#primaryimage"},"image":{"@id":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#primaryimage"},"thumbnailUrl":"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png","datePublished":"2020-09-10T20:03:08+00:00","dateModified":"2021-10-02T22:53:02+00:00","author":{"@id":"https:\/\/jeffreyappel.nl\/#\/schema\/person\/ebdd80b67674ad29968ad249abc89c42"},"breadcrumb":{"@id":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#primaryimage","url":"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png","contentUrl":"https:\/\/jeffreyappel.nl\/wp-content\/uploads\/2020\/08\/AZsentinel-inzicht.png","width":1763,"height":869},{"@type":"BreadcrumbList","@id":"https:\/\/jeffreyappel.nl\/inzicht-in-brute-force-password-spray-attack-via-azure-sentinel\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/jeffreyappel.nl\/"},{"@type":"ListItem","position":2,"name":"Inzicht in Brute-force &#038; Password spray attack via Azure Sentinel"}]},{"@type":"WebSite","@id":"https:\/\/jeffreyappel.nl\/#website","url":"https:\/\/jeffreyappel.nl\/","name":"Jeffrey Appel - Microsoft Security blog","description":"","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/jeffreyappel.nl\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Person","@id":"https:\/\/jeffreyappel.nl\/#\/schema\/person\/ebdd80b67674ad29968ad249abc89c42","name":"Jeffrey","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/jeffreyappel.nl\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/37bbb7acc360ea70a60f26ca4548d940?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/37bbb7acc360ea70a60f26ca4548d940?s=96&d=mm&r=g","caption":"Jeffrey"},"url":"https:\/\/jeffreyappel.nl\/author\/contact\/"}]}},"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/posts\/2657"}],"collection":[{"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/comments?post=2657"}],"version-history":[{"count":0,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/posts\/2657\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/media\/2703"}],"wp:attachment":[{"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/media?parent=2657"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/categories?post=2657"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/tags?post=2657"},{"taxonomy":"table_tags","embeddable":true,"href":"https:\/\/jeffreyappel.nl\/wp-json\/wp\/v2\/table_tags?post=2657"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}