Classificação de alerta para ataques de pulverização de senhas

  • Aplica-se a: Microsoft Defender XDR

Os atores de ameaças utilizam formas inovadoras de comprometer os seus ambientes de destino. Um tipo de ataque a ganhar força é o ataque de spray de palavra-passe, em que os atacantes têm como objetivo aceder a muitas contas numa rede com um esforço mínimo. Ao contrário dos ataques de força bruta tradicionais, em que os atores de ameaças experimentam muitas palavras-passe numa única conta, os ataques por spray de palavra-passe focam-se em adivinhar a palavra-passe correta para muitas contas com um conjunto limitado de palavras-passe frequentemente utilizadas. A técnica de pulverização de senhas torna o ataque particularmente eficaz contra organizações com senhas fracas ou facilmente adivinháveis, levando a graves vazamentos de dados e prejuízos financeiros para as organizações.

Os atacantes utilizam ferramentas automatizadas para tentar repetidamente obter acesso a uma conta ou sistema específico através de uma lista de palavras-passe frequentemente utilizadas. Por vezes, os atacantes abusam de serviços cloud legítimos ao criar muitas máquinas virtuais (VMs) ou contentores para iniciar um ataque de spray de palavra-passe.

Este manual de procedimentos ajuda a investigar casos em que o comportamento suspeito é observado como indicativo de um ataque por spray de palavra-passe. Este guia destina-se a equipas de segurança como o centro de operações de segurança (SOC) e os administradores de TI que analisam, processam/gerem e classificam os alertas. Este guia ajuda a classificar rapidamente os alertas como verdadeiros positivos (TP) ou falsos positivos (FP) e, no caso do TP, tomar medidas recomendadas para remediar o ataque e mitigar os riscos de segurança.

Os resultados pretendidos da utilização deste guia são:

  • Você identificou os alertas associados a tentativas de pulverização de senha como atividades maliciosas (TP) ou falsos positivos (FP).

  • Tomou as ações necessárias para remediar o ataque.

Passos de investigação

As etapas de investigação a seguir fornecem diretrizes para responder ao alerta e tomar as ações recomendadas para proteger sua organização contra novos ataques.

1. Investigar os alertas de segurança

Examine os detalhes do alerta para obter indicadores de que a atividade de entrada é suspeita.

  • As tentativas de entrada sinalizadas vêm de um local suspeito? Verifique as tentativas de início de sessão a partir de localizações que não as típicas das contas de utilizador afetadas. Várias tentativas de início de sessão de um ou muitos utilizadores são indicadores úteis.

2. Investigar atividades suspeitas de utilizadores

Examine a atividade recente do usuário afetado em busca de sinais de uso indevido de conta em serviços e locais.

  • Existem eventos invulgares com propriedades incomuns? As propriedades exclusivas de um utilizador afetado, como ISP, país/região ou cidade invulgares, podem indicar padrões de início de sessão suspeitos.

  • Existe um aumento acentuado nas atividades relacionadas com o e-mail ou ficheiro? Eventos suspeitos, como tentativas aumentadas no acesso ao correio ou atividade de envio ou um aumento no carregamento de ficheiros para o SharePoint ou OneDrive para um utilizador afetado, são alguns sinais a procurar.

  • Há várias tentativas de login sem sucesso? Um número elevado de tentativas de login malsucedidas por um usuário afetado, a partir de vários IPs e localizações geográficas, pode indicar um ataque de pulverização de senhas.

  • Identifique o ISP a partir da atividade de entrada de um usuário afetado. Verifique se há atividades de login de outras contas de usuário do mesmo ISP.

  • Inspecione quaisquer modificações recentes no seu ambiente:

    • Alterações em aplicativos do Office 365, como permissões do Exchange Online, encaminhamento automático de email e redirecionamento de email
    • Modificações no PowerApps, como a configuração de transmissão de dados automatizada através do PowerAutomate
    • Modificações em ambientes do Azure, como alterações na assinatura no portal do Azure
    • Alterações no SharePoint Online, como a conta de usuário afetada passar a ter acesso a vários sites ou arquivos com conteúdo sensível/confidencial/exclusivo da empresa

  • Inspecione as atividades da conta afetada que ocorrem num curto espaço de tempo em várias plataformas e aplicações. Audite eventos para verificar a linha do tempo das atividades, como comparar o tempo que o usuário passou lendo ou enviando e-mails antes de alocar recursos para a conta do usuário ou para outras contas.

3. Investigar possíveis ataques de seguimento

Inspecione o seu ambiente quanto a outros ataques que envolvam contas de utilizador afetadas , uma vez que os atacantes realizam frequentemente atividades maliciosas após um ataque de spray de palavra-passe com êxito. Considere investigar as seguintes atividades possivelmente suspeitas:

  • Ataques relacionados com a autenticação multifator (MFA)

    • Os atacantes usam fadiga de MFA — prompts repetidos de autenticação destinados a pressionar os usuários a aprovar o acesso — para contornar essa medida de segurança que as organizações adotam para proteger seus sistemas. Verifique se existem vários pedidos de MFA gerados por uma conta de utilizador afetada.
    • Os atacantes podem manipular a MFA usando uma conta de usuário afetada com privilégios elevados, desativando a proteção de MFA para outras contas no locatário. Verifique se existem atividades de administrador suspeitas executadas por um utilizador afetado.

  • Ataques de phishing internos

Consultas de busca avançada

A investigação avançada é uma ferramenta de investigação de ameaças baseada em consultas que lhe permite inspecionar eventos na sua rede e localizar indicadores de ameaças.

Use essas consultas para reunir mais informações relacionadas ao alerta de spray de senha e determinar se a atividade de login alertada é suspeita.

Certifique-se de que tem acesso às seguintes tabelas:

Utilize essa consulta para identificar a atividade de pulverização de senha.

IdentityLogonEvents
| where Timestamp > ago(7d)
| where ActionType == "LogonFailed"
| where isnotempty(RiskLevelDuringSignIn)
| where AccountObjectId == <Impacted User Account Object ID>
| summarize TargetCount = dcount(AccountObjectId), TargetCountry = dcount(Location), TargetIPAddress = dcount(IPAddress) by ISP
| where TargetCount >= 100
| where TargetCountry >= 5
| where TargetIPAddress >= 25

Use esta consulta para identificar outras atividades do provedor listado nos detalhes do alerta.

CloudAppEvents
| where Timestamp > ago(7d)
| where AccountObjectId == <Impacted User Account Object ID>
| where ISP == <Alerted ISP>
| summarize count() by Application, ActionType, bin(Timestamp, 1h)

Use esta consulta para identificar padrões de login para a conta de usuário identificada no alerta.

IdentityLogonEvents
| where Timestamp > ago(7d)
| where AccountObjectId == <Impacted User Account Object ID>
| where ISP == <Alerted ISP>
| where Application != "Active Directory"
| summarize SuccessCount = countif(ActionType == "LogonSuccess"), FailureCount = countif(ActionType == "LogonFailed") by ISP

Use essa consulta para identificar ataques de fadiga de MFA. Ele procura por logins do Microsoft Entra ID com erros de esgotamento de chamadas de MFA, que são indicadores comuns de tentativas de fadiga de MFA.

AADSignInEventsBeta
| where Timestamp > ago(1h)
//Error Code : 50088 : Limit on telecom MFA calls reached
//Error Code : 50074 : Strong Authentication is required.
| where ErrorCode in  ("50074","50088")
| where isnotempty(AccountObjectId)
| where isnotempty(IPAddress)
| where isnotempty(Country)
| summarize (Timestamp, ReportId) = arg_max(Timestamp, ReportId), FailureCount = count() by AccountObjectId, Country, IPAddress
| where FailureCount >= 10

Use esta consulta para identificar as atividades de redefinição de MFA. A consulta a seguir define tipos de ações de reset e bypass relacionados ao MFA, depois correlaciona eventos de aplicativos na nuvem com dados de alerta para revelar mudanças suspeitas no MFA.

let relevantActionTypes = pack_array("Disable Strong Authentication.","system.mfa.factor.deactivate", "user.mfa.factor.update", "user.mfa.factor.reset_all", "core.user_auth.mfa_bypass_attempted");
CloudAppEvents
AlertInfo
| where Timestamp > ago(1d)
| where isnotempty(AccountObjectId)
| where Application in ("Office 365","Okta")
| where ActionType in (relevantActionTypes)
| where RawEventData contains "success"
| project Timestamp, ReportId, AccountObjectId, IPAddress, ActionType

Use a consulta a seguir para verificar se os requisitos de autenticação forte de MFA foram removidos das contas de usuário no Microsoft Entra ID, o que pode indicar manipulação de MFA pós-compromisso:

CloudAppEvents
| where Timestamp > ago(1d)
| where ApplicationId == 11161 
| where ActionType == "Update user." 
| where isnotempty(AccountObjectId)
| where RawEventData has_all("StrongAuthenticationRequirement","[]")
| mv-expand ModifiedProperties = RawEventData.ModifiedProperties
| where ModifiedProperties.Name == "StrongAuthenticationRequirement" and ModifiedProperties.OldValue != "[]" and ModifiedProperties.NewValue == "[]"
| mv-expand ActivityObject = ActivityObjects
| where ActivityObject.Role == "Target object"
| extend TargetObjectId = tostring(ActivityObject.Id)
| project Timestamp, ReportId, AccountObjectId, ActivityObjects, TargetObjectId

Use esta consulta para encontrar regras suspeitas da caixa de entrada criadas pela conta de usuário identificada no alerta de spray de senha durante sessões sinalizadas como suspeitas na sua investigação. Essa consulta ajuda a identificar a atividade pós-comprometimento em que os invasores criam regras de caixa de entrada para ocultar ou redirecionar emails.

CloudAppEvents
| where AccountObjectId == <ImpactedUser>
| where Timestamp > ago(21d)
| where ActionType == "New-InboxRule"
| where RawEventData.SessionId in (suspiciousSessionIds)

Depois de determinar que as atividades associadas a este alerta são maliciosas, classifique esses alertas como TP e efetue estas ações para remediação:

  1. Reponha as credenciais da conta do utilizador.
  2. Revogar tokens de acesso da conta comprometida.
  3. Utilize a correspondência de números no Microsoft Authenticator para mitigar os ataques de fadiga da MFA.
  4. Aplique o princípio do menor privilégio. Crie contas com o privilégio mínimo necessário para concluir tarefas.
  5. Configure o bloqueio com base no endereço IP e nos domínios do remetente se os artefactos estiverem relacionados com o e-mail.
  6. Bloquear URLs ou endereços IP (nas plataformas de proteção de rede) que foram identificados como maliciosos durante a investigação.

Confira também

Dica

Você deseja aprender mais? Participe da comunidade de Segurança da Microsoft em nossa Tech Community: Tech Community do Microsoft Defender XDR.

  • Last updated on