Een oud account met wachtwoord 123456, een gestolen inlog, password spraying bij honderden organisaties: een aantal van de grootste incidenten van oktober 2026 had geen zero-day nodig. Alleen een geldige inlog. Deze gids laat zien welke inlogsignalen het bewaken waard zijn en uit welke logs ze komen.
Wat er gebeurde
In Denemarken kwamen aanvallers bij het nationale CPR-register via een oud account met het wachtwoord 123456. Bij ASOS ging het mis met een gestolen inlog. De ransomwaregroep SafePay trof meer dan 600 organisaties, grotendeels via gestolen wachtwoorden en brute force (overzicht van CM-Alliance).
Geen van deze aanvallen had een onbekend lek nodig. Ze hadden een geldige inlog nodig en elke inlog laat een spoor achter bij je identity provider.
Vijf inlogsignalen die een melding waard zijn
- Password spraying. Eén bron probeert een paar veelgebruikte wachtwoorden op veel accounts, net onder de lockout-grens. De ingebouwde detectie telt op hoeveel verschillende accounts één IP faalt.
- Brute force op één account. Veel mislukte pogingen op hetzelfde account. Kijk bij een melding of er daarna een geslaagde inlog volgde, want daar gaat het om.
- MFA-moeheid. Een reeks pushmeldingen naar één gebruiker, tot die er eentje goedkeurt. LogPulse meldt herhaald mislukte MFA-pogingen op één account.
- MFA uitgezet of een beheerdersrol toegekend. Eenmaal binnen verzwakken aanvallers vaak het account of geven ze het beheerrechten. Beide zijn ingebouwde detecties op de auditlogs.
- Legacy authenticatie. Oude protocollen zoals IMAP, POP3 of SMTP met basic auth slaan MFA helemaal over. LogPulse meldt zulke inlogs in Entra ID; ze zijn het weten waard, ook als ze onschuldig zijn.
Context: wie logt er in en vanaf waar?
Een mislukte inlog is ruis. Een mislukte inlog vanaf een adres dat op een threat feed staat, is dat niet. LogPulse verrijkt inlogevents met zijn IOC-feeds en verhoogt de risicoscore van de gebruiker of het IP. Zo valt een aanval vanaf bekende aanvalsinfrastructuur op tussen gebruikers die hun wachtwoord vergeten zijn.
De retro-hunt zoekt bekende aanvals-IP’s 30 dagen terug. Een nieuwe indicator kan je dus ook een inlogpoging van weken geleden laten zien.
Welke logs je nodig hebt
- Microsoft Entra ID en Microsoft 365: koppel de tenant onder Sources, Cloud en kies de inlog- en auditlogs. Er hoeft niets geïnstalleerd te worden.
- Okta: koppel de organisatie onder Sources, Cloud.
- Servers: de LogPulse-agent verzamelt sshd en sudo uit
/var/log/auth.logof/var/log/secureen het Windows Security-log van je domain controllers.
Wat LogPulse niet vervangt
LogPulse vervangt geen MFA, wachtwoordmanager of EDR. Het laat zien wanneer die maatregelen op de proef worden gesteld en of er een faalde. Onder de meldplicht van de Cyberbeveiligingswet heb je die gegevens ook nodig om binnen 72 uur te melden wat er gebeurd is.
Het gratis plan bevat deze detecties en vraagt geen creditcard. Bekijk het hele plaatje op de pagina Threat intelligence.