AlertControl voor systeembeheerders: alle Microsoft 365-logboeken op één tijdlijn
AlertControl voor Microsoft 365 leest via Microsoft Graph en de Office 365 Management Activity API de aanmeldingen, de Entra-audit log, de unified audit log, meldingen en incidenten uit Defender, risicodetecties en DLP-meldingen uit. Alles komt op één tijdlijn, met per gebeurtenis een ernst en alle details in een overzichtelijke weergave. De app gebruikt alleen application permissions met leesrechten.
Bijgewerkt op 2 november 2026
| Bron | Wat je ziet (bewaartermijn in AlertControl) |
|---|---|
| Sign-ins (Entra ID) | Interactieve aanmeldingen met resultaat, foutcode, land, apparaat en Conditional Access per beleid (tot 30 dagen; Entra ID P1) |
| Audit Log (Entra ID) | Wijzigingen aan gebruikers, groepen, rollen en apps, met oude en nieuwe waarde (tot 30 dagen) |
| Events (unified audit log) | Exchange, SharePoint, OneDrive en Entra: inbox-regels, mailboxrechten, delen, downloads (tot 7 dagen) |
| Security Alerts en Incidents | Meldingen uit Microsoft Defender XDR en Entra ID Protection, met bewijs en MITRE-technieken |
| Risk Detections en Risky Users | Risicodetecties en risicogebruikers uit Entra ID Protection (Entra ID P2) |
| Gebruikers & MFA | Geregistreerde methoden, laatste interactieve en niet-interactieve aanmelding, laatste wachtwoordwijziging |
| DLP | Overeenkomsten met DLP-beleid in Microsoft Purview (tot 7 dagen) |
Hoe de ernst wordt bepaald
Meldingen en incidenten houden de ernst van Microsoft. Voor aanmeldingen geldt: gelukt in het thuisland is informatief, mislukt is medium, gelukt vanuit het buitenland of tien keer mislukt binnen vier uur is hoog. Onderbroken aanmeldingen, zoals een MFA-vraag of "Aangemeld blijven?", tellen niet als mislukt. Voor de Audit Log en Events gelden regels per activiteit, bijvoorbeeld een nieuwe inbox-regel of een rolwijziging; acties van systeemaccounts krijgen een lagere ernst.
Details per gebeurtenis
Klik op een rij of tijdlijnitem voor een ingedeelde weergave: bij een aanmelding het resultaat met foutcode en reden, locatie met land, apparaat, risico en een tabel met elk Conditional Access-beleid en zijn resultaat. Bij een melding het bewijs en de MITRE-technieken, bij de Audit Log de oude en nieuwe waarden. Alle velden zijn doorzoekbaar en als JSON te kopiëren.
Rechten en beveiliging
De app gebruikt één multi-tenant app-registratie met alleen leesrechten, zoals AuditLog.Read.All, SecurityAlert.Read.All en ActivityFeed.Read. Tenantdata wordt alleen getoond aan gebruikers met een passende rol in de wids-claim van Microsoft; per tabel gelden dezelfde rollen als in Microsoft zelf. Sessies duren maximaal 8 uur en rollen worden elk kwartier opnieuw gecontroleerd.
Veelgestelde vragen
Microsoft Graph v1.0 en de Office 365 Management Activity API, met application permissions die alleen lezen, onder meer AuditLog.Read.All, Directory.Read.All, SecurityAlert.Read.All, SecurityIncident.Read.All, IdentityRiskEvent.Read.All, ActivityFeed.Read en ActivityFeed.ReadDlp.
Ja, voor de Events en DLP. AlertControl zet het abonnement op de Management Activity API zelf aan bij het eerste bezoek; de eerste gegevens komen binnen 12 uur.
De gegevens worden opgehaald als je het dashboard opent en 5 minuten bewaard; met Vernieuwen haal je ze direct opnieuw op. Microsoft zelf heeft enige vertraging, vooral bij de unified audit log.
Zelf zien wat er in je Microsoft 365 gebeurt?
Probeer AlertControl 30 dagen gratis. Je logt in met je Microsoft-account en geeft eenmalig alleen-lezen toestemming.