Classificazione degli avvisi per gli attacchi con password spray

  • Si applica a: Microsoft Defender XDR

Gli attori delle minacce usano modi innovativi per compromettere gli ambienti di destinazione. Un tipo di attacco che ottiene la trazione è l'attacco con password spray, in cui gli utenti malintenzionati mirano ad accedere a molti account all'interno di una rete con il minimo sforzo. A differenza dei tradizionali attacchi di forza bruta, in cui gli attori delle minacce provano molte password in un singolo account, gli attacchi di spray password si concentrano sull'individuazione della password corretta per molti account con un set limitato di password di uso comune. La tecnica dello spray delle password rende l'attacco particolarmente efficace contro organizzazioni con password deboli o facilmente indovinabili, causando gravi violazioni dei dati e perdite finanziarie per le organizzazioni.

Gli utenti malintenzionati usano strumenti automatizzati per tentare ripetutamente di ottenere l'accesso a un account o a un sistema specifico usando un elenco di password di uso comune. Gli utenti malintenzionati a volte abusano dei servizi cloud legittimi creando molte macchine virtuali (VM) o contenitori per avviare un attacco con password spray.

Questo playbook consente di analizzare i casi in cui viene osservato un comportamento sospetto come indicativo di un attacco con password spray. Questa guida è destinata a team di sicurezza come il Centro operazioni di sicurezza (SOC) e gli amministratori IT che esaminano, gestiscono/gestiscono e classificano gli avvisi. Questa guida consente di classificare rapidamente gli avvisi come veri positivi (TP) o falsi positivi (FP) e, nel caso del protocollo TP, intraprendere azioni consigliate per correggere l'attacco e mitigare i rischi per la sicurezza.

I risultati previsti per l'uso di questa guida sono:

  • Hai identificato gli avvisi associati ai tentativi di password spray come attività malevole (TP) o falsi positivi (FP).

  • Sono state eseguite le azioni necessarie per correggere l'attacco.

Passaggi di indagine

I passaggi di indagine seguenti forniscono indicazioni per rispondere all'avviso e intraprendere le azioni consigliate per proteggere l'organizzazione da ulteriori attacchi.

1. Esaminare gli avvisi di sicurezza

Esaminare i dettagli dell'avviso per gli indicatori che l'attività di accesso è sospetta.

  • I tentativi di accesso avvisati provengono da una posizione sospetta? Controllare i tentativi di accesso da posizioni diverse da quelle tipiche per gli account utente interessati. Più tentativi di accesso da uno o più utenti sono indicatori utili.

2. Analizzare le attività sospette degli utenti

Esaminare l'attività recente dell'utente interessato per individuare i segni di uso improprio dell'account tra servizi e località.

  • Ci sono eventi insoliti con proprietà non comuni? Le proprietà univoche per un utente interessato, ad esempio isp insolito, paese/area geografica o città, potrebbero indicare modelli di accesso sospetti.

  • Si è verificato un marcato aumento delle attività relative alla posta elettronica o ai file? Eventi sospetti come l'aumento dei tentativi di accesso alla posta elettronica o l'attività di invio o un aumento del caricamento di file in SharePoint o OneDrive per un utente interessato sono alcuni segni da cercare.

  • Sono presenti più tentativi di accesso non riusciti? Un numero elevato di tentativi di accesso non riusciti da vari indirizzi IP e posizioni geografiche da parte di un utente interessato potrebbe indicare un attacco con spray password.

  • Identificare l'ISP dall'attività di accesso di un utente interessato. Verificare la presenza di attività di accesso da parte di altri account utente dello stesso ISP.

  • Esaminare eventuali modifiche recenti nell'ambiente:

    • Modifiche nelle applicazioni Office 365 come l'autorizzazione Exchange Online, l'inoltro automatico della posta, il reindirizzamento della posta
    • Modifiche in PowerApps, come la configurazione automatizzata della trasmissione dei dati tramite PowerAutomate
    • Modifiche negli ambienti Azure, come le modifiche alla sottoscrizione nel portale di Azure
    • Modifiche a SharePoint Online, ad esempio l'account utente interessato che ottiene l'accesso a più siti o file con contenuto sensibile/riservato/solo aziendale

  • Esaminare le attività dell'account interessato che si verificano in un breve intervallo di tempo su più piattaforme e app. Controllare gli eventi per controllare la sequenza temporale delle attività, ad esempio confrontando il tempo impiegato dall'utente durante la lettura o l'invio di messaggi di posta elettronica seguito dall'allocazione delle risorse all'account dell'utente o ad altri account.

3. Analizzare possibili attacchi successivi

Controllare l'ambiente per individuare altri attacchi che coinvolgono account utente interessati , perché gli utenti malintenzionati eseguono spesso attività dannose dopo un attacco con password spray riuscito. Valutare la possibilità di analizzare le attività potenzialmente sospette seguenti:

  • Attacchi correlati all'autenticazione a più fattori (MFA)

    • Gli attaccanti utilizzano la fatica MFA—ripetuti prompt di autenticazione pensati per spingere gli utenti ad approvare l'accesso—per aggirare questa misura di sicurezza adottata dalle organizzazioni per proteggere i propri sistemi. Verificare la presenza di più richieste MFA generate da un account utente interessato.
    • Gli utenti malintenzionati potrebbero eseguire manomissioni MFA usando un account utente interessato con privilegi elevati disabilitando la protezione MFA per altri account all'interno del tenant. Verificare la presenza di attività amministrative sospette eseguite da un utente interessato.

  • Attacchi di phishing interni

Query di ricerca avanzata

La ricerca avanzata è uno strumento di ricerca delle minacce basato su query che consente di controllare gli eventi nella rete e individuare gli indicatori di minaccia.

Usa queste query per raccogliere ulteriori informazioni relative all'avviso di password spray e determinare se l'attività di accesso allertata è sospetta.

Assicurarsi di avere accesso alle tabelle seguenti:

Usare questa query per identificare l'attività di spruzzatura delle password.

IdentityLogonEvents
| where Timestamp > ago(7d)
| where ActionType == "LogonFailed"
| where isnotempty(RiskLevelDuringSignIn)
| where AccountObjectId == <Impacted User Account Object ID>
| summarize TargetCount = dcount(AccountObjectId), TargetCountry = dcount(Location), TargetIPAddress = dcount(IPAddress) by ISP
| where TargetCount >= 100
| where TargetCountry >= 5
| where TargetIPAddress >= 25

Usa questa query per identificare altre attività dell'ISP elencate nei dettagli degli allerti.

CloudAppEvents
| where Timestamp > ago(7d)
| where AccountObjectId == <Impacted User Account Object ID>
| where ISP == <Alerted ISP>
| summarize count() by Application, ActionType, bin(Timestamp, 1h)

Usa questa query per identificare i modelli di accesso per l'account utente identificato nell'avviso.

IdentityLogonEvents
| where Timestamp > ago(7d)
| where AccountObjectId == <Impacted User Account Object ID>
| where ISP == <Alerted ISP>
| where Application != "Active Directory"
| summarize SuccessCount = countif(ActionType == "LogonSuccess"), FailureCount = countif(ActionType == "LogonFailed") by ISP

Usa questa query per identificare gli attacchi di affaticamento MFA. Cerca gli accessi a Microsoft Entra ID con errori di esaurimento delle chiamate MFA che sono indicatori comuni di tentativi di affaticamento MFA.

AADSignInEventsBeta
| where Timestamp > ago(1h)
//Error Code : 50088 : Limit on telecom MFA calls reached
//Error Code : 50074 : Strong Authentication is required.
| where ErrorCode in  ("50074","50088")
| where isnotempty(AccountObjectId)
| where isnotempty(IPAddress)
| where isnotempty(Country)
| summarize (Timestamp, ReportId) = arg_max(Timestamp, ReportId), FailureCount = count() by AccountObjectId, Country, IPAddress
| where FailureCount >= 10

Usare questa query per identificare le attività di reimpostazione MFA. La seguente query definisce tipi di azione di reset e bypass relativi alla MFA, quindi correla l'abbinamento degli eventi cloud app con i dati di allarme per far emergere cambiamenti MFA sospetti.

let relevantActionTypes = pack_array("Disable Strong Authentication.","system.mfa.factor.deactivate", "user.mfa.factor.update", "user.mfa.factor.reset_all", "core.user_auth.mfa_bypass_attempted");
CloudAppEvents
AlertInfo
| where Timestamp > ago(1d)
| where isnotempty(AccountObjectId)
| where Application in ("Office 365","Okta")
| where ActionType in (relevantActionTypes)
| where RawEventData contains "success"
| project Timestamp, ReportId, AccountObjectId, IPAddress, ActionType

Usa la seguente query per verificare se i requisiti di autenticazione MFA forte sono stati rimossi dagli account utente in Microsoft Entra ID, il che può indicare manomissioni MFA post-compromessa:

CloudAppEvents
| where Timestamp > ago(1d)
| where ApplicationId == 11161 
| where ActionType == "Update user." 
| where isnotempty(AccountObjectId)
| where RawEventData has_all("StrongAuthenticationRequirement","[]")
| mv-expand ModifiedProperties = RawEventData.ModifiedProperties
| where ModifiedProperties.Name == "StrongAuthenticationRequirement" and ModifiedProperties.OldValue != "[]" and ModifiedProperties.NewValue == "[]"
| mv-expand ActivityObject = ActivityObjects
| where ActivityObject.Role == "Target object"
| extend TargetObjectId = tostring(ActivityObject.Id)
| project Timestamp, ReportId, AccountObjectId, ActivityObjects, TargetObjectId

Usa questa query per trovare regole sospette della casella di posta create dall'account utente identificato nell'avviso di spruzzatura password durante le sessioni segnalate come sospette nella tua indagine. Questa query consente di identificare l'attività post-compromissione in cui gli utenti malintenzionati creano regole di posta in arrivo per nascondere o reindirizzare la posta elettronica.

CloudAppEvents
| where AccountObjectId == <ImpactedUser>
| where Timestamp > ago(21d)
| where ActionType == "New-InboxRule"
| where RawEventData.SessionId in (suspiciousSessionIds)

Dopo aver stabilito che le attività associate a questo avviso sono dannose, classificare tali avvisi come TP ed eseguire queste azioni per la correzione:

  1. Reimpostare le credenziali dell'account dell'utente.
  2. Revocare i token di accesso dell'account compromesso.
  3. Usare la corrispondenza dei numeri in Microsoft Authenticator per attenuare gli attacchi di affaticamento MFA.
  4. Applicare il principio dei privilegi minimi. Creare account con privilegi minimi necessari per completare le attività.
  5. Configurare il blocco in base all'indirizzo IP e ai domini del mittente se gli artefatti sono correlati alla posta elettronica.
  6. Bloccare gli URL o gli indirizzi IP (nelle piattaforme di protezione di rete) identificati come dannosi durante l'indagine.

Vedere anche

Consiglio

Vuoi saperne di più? Interagisci con la community Microsoft Security nella nostra Tech Community: Microsoft Defender XDR Tech Community.

  • Last updated on