Conceito e funcionamento
Logs de sign-in podem incluir sessões interativas e não interativas, usuário, aplicação, resultado, IP, dispositivo e Conditional Access conforme configuração e licença. O resultado de login não descreve todas as ações executadas posteriormente por tokens. Tenant, app ID e correlation ID são relevantes para evitar confusão entre identidades.
Como investigar e correlacionar
Identifique tenant e tipo de sign-in, a conta envolvida, aplicativo, resultado, MFA e política aplicada quando presentes. Cruze com auditoria de diretório e atividade posterior do serviço. Investigue VPN, proxies e localidade, confirmando com o usuário por canal seguro e sem solicitar códigos de autenticação.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um usuário corporativo aparece autenticado em dois países na mesma hora, mas utiliza VPN e dispositivo gerenciado.
Procedimento orientado
Inspecione tenant, sign-in type, application, IP, Conditional Access, MFA e registros de sessão; valide contexto pelo canal oficial.
Resultado esperado
A saída separa geolocalização inferida de evidência de acesso e recomenda investigação adicional apenas quando comportamento sustenta risco.
Cuidados adicionais
Resultado de MFA não revela automaticamente se o usuário legítimo controlava o token ou a sessão.
Limitações e interpretações incorretas
Geolocalização baseada em IP é imprecisa; um sign-in suspeito não prova tomada de conta. Licenças e retenção alteram histórico disponível. Sessões ou tokens já emitidos podem sobreviver a algumas mudanças de credencial.
Checklist de validação
- Conferir tenant e tipo de login
- Identificar aplicação e resultado
- Validar CA/MFA quando disponível
- Investigar ações após autenticação
Referências técnicas
Guias para aprofundar
- auditoria identidades cloud — aguardando publicação editorial