Classification des alertes pour les attaques par pulvérisation de mot de passe

  • S’applique à: Microsoft Defender XDR

Les acteurs des menaces utilisent des méthodes innovantes pour compromettre leurs environnements cibles. Un type d’attaque qui gagne du terrain est l’attaque par pulvérisation de mot de passe, où les attaquants visent à accéder à de nombreux comptes au sein d’un réseau avec un minimum d’effort. Contrairement aux attaques traditionnelles par force brute, où des acteurs malveillants essaient de nombreux mots de passe sur un seul compte, les attaques par pulvérisation de mots de passe visent à deviner le bon mot de passe pour de nombreux comptes à l’aide d’un ensemble limité de mots de passe couramment utilisés. La technique de pulvérisation de mots de passe rend l’attaque particulièrement efficace contre les organisations disposant de mots de passe faibles ou facilement devinésibles, entraînant de graves violations de données et des pertes financières pour les organisations.

Les attaquants utilisent des outils automatisés pour tenter à plusieurs reprises d’accéder à un compte ou à un système spécifique à l’aide d’une liste de mots de passe couramment utilisés. Les attaquants abusent parfois des services cloud légitimes en créant de nombreuses machines virtuelles ou conteneurs pour lancer une attaque par pulvérisation de mot de passe.

Ce playbook permet d’examiner les cas où un comportement suspect est observé comme indicateur d’une attaque par pulvérisation de mot de passe. Ce guide s’adresse aux équipes de sécurité comme le centre d’opérations de sécurité (SOC) et aux administrateurs informatiques qui examinent, gèrent/gèrent et classent les alertes. Ce guide permet de classer rapidement les alertes en tant que vrai positif (TP) ou faux positif (FP) et, dans le cas de TP, de prendre les mesures recommandées pour corriger l’attaque et atténuer les risques de sécurité.

Les résultats prévus de l’utilisation de ce guide sont les suivants :

  • Vous avez identifié les alertes associées aux tentatives de pulvérisation de mot de passe comme des activités malveillantes (TP) ou identifiées comme faux positifs (FP).

  • Vous avez pris les mesures nécessaires pour corriger l’attaque.

Étapes d’investigation

Les étapes d’investigation suivantes fournissent des conseils pour répondre à l’alerte et prendre les mesures recommandées pour protéger votre organisation contre d’autres attaques.

1. Examiner les alertes de sécurité

Passez en revue les détails de l’alerte pour les indicateurs que l’activité de connexion est suspecte.

  • Les tentatives de connexion alertées proviennent-elles d’un emplacement suspect ? Vérifiez les tentatives de connexion à partir d’emplacements autres que ceux typiques pour les comptes d’utilisateur concernés. Plusieurs tentatives de connexion d’un ou plusieurs utilisateurs sont des indicateurs utiles.

2. Examiner les activités suspectes des utilisateurs

Examinez l’activité récente de l’utilisateur concerné pour détecter les signes d’utilisation incorrecte du compte sur les services et emplacements.

  • Existe-t-il des événements inhabituels avec des propriétés inhabituelles ? Les propriétés uniques d’un utilisateur impacté, comme un isP, un pays/une région ou une ville inhabituels, peuvent indiquer des modèles de connexion suspects.

  • Y a-t-il une augmentation marquée des activités liées aux e-mails ou aux fichiers ? Les événements suspects tels que l’augmentation des tentatives d’accès à la messagerie ou d’envoi ou l’augmentation du chargement de fichiers vers SharePoint ou OneDrive pour un utilisateur impacté sont des signes à rechercher.

  • Existe-t-il plusieurs tentatives de connexion ayant échoué ? Un nombre élevé de tentatives de connexion ayant échoué à partir de différentes adresses IP et emplacements géographiques par un utilisateur concerné peut indiquer une attaque par pulvérisation de mot de passe.

  • Identifiez le FAI à l’aide de l’activité de connexion d’un utilisateur concerné. Vérifiez les activités de connexion effectuées par d’autres comptes d’utilisateur du même isp.

  • Examinez les modifications récentes dans votre environnement :

    • Modifications apportées aux applications Office 365 telles que l’autorisation Exchange Online, le transfert automatique de courrier, la redirection de courrier
    • Modifications dans PowerApps, comme la configuration de la transmission de données automatisée via PowerAutomate
    • Modifications dans les environnements Azure, telles que les modifications d’abonnement Portail Azure
    • Modifications apportées à SharePoint Online, telles que le compte d’utilisateur concerné qui accède à plusieurs sites ou fichiers avec du contenu sensible/confidentiel/d’entreprise uniquement

  • Inspectez les activités du compte concerné qui se produisent dans un court laps de temps sur plusieurs plateformes et applications. Examinez les événements d’audit pour vérifier la chronologie des activités, par exemple en comparant le temps que l’utilisateur a passé à lire ou à envoyer des e-mails avant que des ressources ne soient allouées à son compte ou à d’autres comptes.

3. Examiner les attaques de suivi possibles

Inspectez votre environnement pour détecter d’autres attaques impliquant des comptes d’utilisateur impactés , car les attaquants effectuent souvent des activités malveillantes après une attaque par pulvérisation de mot de passe réussie. Envisagez d’examiner les activités suspectes suivantes :

  • Attaques liées à l’authentification multifacteur (MFA)

    • Les attaquants utilisent la fatigue de la MFA — des demandes d’authentification répétées destinées à pousser les utilisateurs à approuver l’accès — pour contourner cette mesure de sécurité que les organisations adoptent pour protéger leurs systèmes. Recherchez plusieurs demandes MFA déclenchées par un compte d’utilisateur concerné.
    • Les attaquants peuvent procéder à une falsification de l’authentification multifacteur à l’aide d’un compte d’utilisateur impacté disposant de privilèges élevés, en désactivant la protection MFA pour d’autres comptes dans le locataire. Recherchez les activités d’administration suspectes effectuées par un utilisateur concerné.

  • Attaques par hameçonnage interne

Requêtes de chasse avancées

La chasse avancée est un outil de repérage des menaces basé sur des requêtes qui vous permet d’inspecter les événements de votre réseau et de localiser les indicateurs de menace.

Utilisez ces requêtes pour recueillir plus d’informations concernant l’alerte de détection de mot de passe et déterminer si l’activité de connexion alertée est suspecte.

Vérifiez que vous avez accès aux tables suivantes :

Utilisez cette requête pour identifier l’activité de pulvérisation de mot de passe.

IdentityLogonEvents
| where Timestamp > ago(7d)
| where ActionType == "LogonFailed"
| where isnotempty(RiskLevelDuringSignIn)
| where AccountObjectId == <Impacted User Account Object ID>
| summarize TargetCount = dcount(AccountObjectId), TargetCountry = dcount(Location), TargetIPAddress = dcount(IPAddress) by ISP
| where TargetCount >= 100
| where TargetCountry >= 5
| where TargetIPAddress >= 25

Utilisez cette requête pour identifier d’autres activités du FAI listé dans les détails des alertes.

CloudAppEvents
| where Timestamp > ago(7d)
| where AccountObjectId == <Impacted User Account Object ID>
| where ISP == <Alerted ISP>
| summarize count() by Application, ActionType, bin(Timestamp, 1h)

Utilisez cette requête pour identifier les schémas de connexion pour le compte utilisateur identifié dans l’alerte.

IdentityLogonEvents
| where Timestamp > ago(7d)
| where AccountObjectId == <Impacted User Account Object ID>
| where ISP == <Alerted ISP>
| where Application != "Active Directory"
| summarize SuccessCount = countif(ActionType == "LogonSuccess"), FailureCount = countif(ActionType == "LogonFailed") by ISP

Utilisez cette requête pour identifier les attaques de fatigue MFA. Il recherche les connexion à Microsoft Entra ID qui présentent des erreurs d’épuisement des appels MFA, qui sont des indicateurs courants de tentatives de fatigue MFA.

AADSignInEventsBeta
| where Timestamp > ago(1h)
//Error Code : 50088 : Limit on telecom MFA calls reached
//Error Code : 50074 : Strong Authentication is required.
| where ErrorCode in  ("50074","50088")
| where isnotempty(AccountObjectId)
| where isnotempty(IPAddress)
| where isnotempty(Country)
| summarize (Timestamp, ReportId) = arg_max(Timestamp, ReportId), FailureCount = count() by AccountObjectId, Country, IPAddress
| where FailureCount >= 10

Utilisez cette requête pour identifier les activités de réinitialisation MFA. La requête suivante définit les types d’actions de réinitialisation et de contournement liés à la MFA, puis corrélée la correspondance des événements cloud avec les données d’alerte pour faire apparaître des changements suspects de MFA.

let relevantActionTypes = pack_array("Disable Strong Authentication.","system.mfa.factor.deactivate", "user.mfa.factor.update", "user.mfa.factor.reset_all", "core.user_auth.mfa_bypass_attempted");
CloudAppEvents
AlertInfo
| where Timestamp > ago(1d)
| where isnotempty(AccountObjectId)
| where Application in ("Office 365","Okta")
| where ActionType in (relevantActionTypes)
| where RawEventData contains "success"
| project Timestamp, ReportId, AccountObjectId, IPAddress, ActionType

Utilisez la requête suivante pour vérifier si les exigences d’authentification forte de la MFA ont été supprimées des comptes utilisateurs dans Microsoft Entra ID, ce qui peut indiquer une falsification de MFA post-compromission :

CloudAppEvents
| where Timestamp > ago(1d)
| where ApplicationId == 11161 
| where ActionType == "Update user." 
| where isnotempty(AccountObjectId)
| where RawEventData has_all("StrongAuthenticationRequirement","[]")
| mv-expand ModifiedProperties = RawEventData.ModifiedProperties
| where ModifiedProperties.Name == "StrongAuthenticationRequirement" and ModifiedProperties.OldValue != "[]" and ModifiedProperties.NewValue == "[]"
| mv-expand ActivityObject = ActivityObjects
| where ActivityObject.Role == "Target object"
| extend TargetObjectId = tostring(ActivityObject.Id)
| project Timestamp, ReportId, AccountObjectId, ActivityObjects, TargetObjectId

Utilisez cette requête pour trouver des règles suspectes créées par le compte utilisateur identifié dans l’alerte de diffusion de mot de passe lors des sessions signalées comme suspectes dans votre enquête. Cette requête permet d’identifier l’activité post-compromission où les attaquants créent des règles de boîte de réception pour masquer ou rediriger les e-mails.

CloudAppEvents
| where AccountObjectId == <ImpactedUser>
| where Timestamp > ago(21d)
| where ActionType == "New-InboxRule"
| where RawEventData.SessionId in (suspiciousSessionIds)

Une fois que vous avez déterminé que les activités associées à cette alerte sont malveillantes, classez ces alertes comme TP et effectuez les actions suivantes pour la correction :

  1. Réinitialisez les informations d’identification du compte de l’utilisateur.
  2. Révoquez les jetons d’accès du compte compromis.
  3. Utilisez la correspondance de nombre dans Microsoft Authenticator pour atténuer les attaques de fatigue MFA.
  4. Appliquez le principe du privilège minimum. Créez des comptes avec le privilège minimal requis pour effectuer des tâches.
  5. Configurez le blocage en fonction de l’adresse IP et des domaines de l’expéditeur si les artefacts sont liés à la messagerie.
  6. Bloquez les URL ou adresses IP (sur les plateformes de protection réseau) qui ont été identifiées comme malveillantes pendant l’enquête.

Voir aussi

Conseil

Voulez-vous en savoir plus ? Collaborez avec la communauté Sécurité Microsoft dans notre communauté technique : Communauté technique Microsoft Defender XDR.

  • Dernière mise à jour :