Crie um modelo de Procedimento Operacional Padrão (POP) para resposta a incidentes de identidade comprometida.

Use este modelo SOP para criar um procedimento operacional padrão (SOP) reutilizável para incidentes de identidade comprometidos. Substitua cada marcador pelos valores específicos da organização antes de publicar ou fazer upload do SOP.

Pré-requisitos

Antes de personalizar ou publicar este SOP, confirme os seguintes pré-requisitos:

• Confirme quem é o proprietário do SOP e quem pode aprovar alterações para sua organização.
• Verifique se os analistas podem acessar os SigninLogs dados e quaisquer outras fontes que seu SOP referencia.
• Se você planeja carregar o SOP como um guia, examine os tipos de arquivo com suporte, os limites de tamanho e os requisitos de permissão em Personalizar respostas a incidentes para sua organização.
• Mantenha o guia focado em texto. Evite capturas de tela, grafos e formatação complexa que possam reduzir a qualidade da extração de texto.

Metadados de SOP

Registre o proprietário do SOP, escopo e fontes de dados nos seguintes campos de metadados.

• Nome:<Compromised identity incident response SOP>
• Versão:<v1.0>
• Proprietário:<Security operations team>
• Aplica-se a:<location>
• Fontes de dados primárias:SigninLogs, <Defender XDR incident data>, <Identity provider logs>, <Email telemetry>e <Endpoint telemetry>

Purpose

Use a SOP de resposta a incidentes de identidade comprometida para triagem, contenção, investigação, remediação e prevenção de incidentes que indiquem identidade comprometida. Personalize o escopo, os pontos de decisão e os caminhos de escalonamento para que os analistas possam responder consistentemente durante incidentes que afetam <User>, <Group>ou <Business unit>.

Gatilhos (quando invocar este POP)

Invoce a SOP de resposta a incidentes de identidade comprometida quando um incidente, alerta ou relatório de usuário sugerir que uma identidade pode estar comprometida.

• Exemplos de alerta incluem Impossible travel, Unfamiliar sign-in properties, Password spray, MFA fatiguee Suspicious inbox forwarding rules.
• Ative o procedimento padrão de resposta a incidentes de identidade comprometida quando <User> reportar solicitações inesperadas de MFA, notificações suspeitas de login ou alterações de conta que não fizeram.
• Invoce a SOP de resposta a incidentes de identidade comprometida quando analistas observarem logins bem-sucedidos em locais incomuns, endereços IP arriscados ou aplicações desconhecidas.

Fase de triagem

Comece com verificações rápidas que confirmam se a atividade de entrada é esperada ou suspeita.

Validar atividade de login

Revise os eventos recentes de entrada na conta da identidade afetada. Substitua o filtro de usuário antes de executar a consulta.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where TimeGenerated > ago(48h)
| project TimeGenerated, IPAddress, Location, AppDisplayName, AuthenticationRequirement, ConditionalAccessStatus, ClientAppUsed

1. Compare os horários de entrada, endereços IP, locais e aplicativos com a linha do tempo do incidente.
2. Destaque todos os logins bem-sucedidos que o usuário ou o gestor não conseguem explicar.
3. Registre o primeiro evento suspeito, o evento suspeito mais recente e as contas ou aplicativos envolvidos.

Revisar indicadores de comprometimento de credenciais

Use uma exibição de resumo para determinar se a conta mostra um padrão de falhas repetidas seguidas de acesso bem-sucedido.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where TimeGenerated >= ago(7d)
| summarize
    Failures = countif(ResultType != 0),
    Successes = countif(ResultType == 0)
    by IPAddress, bin(TimeGenerated, 1h)

1. Procure por sequências de logins malsucedidos, seguidas por um ou mais logins bem-sucedidos.
2. Observe se o mesmo endereço IP, local ou aplicativo aparece em vários buckets de tempo.
3. Registre se o padrão está alinhado com pulverização de senha, preenchimento de credencial, roubo de token ou outra técnica suspeita.

Validar com o usuário

Valide a atividade suspeita diretamente com o usuário afetado antes de decidir as próximas ações.

1. Contate <User> por um canal aprovado.
2. Pergunte se eles reconhecem os logons, as localizações, os dispositivos, os aplicativos e as solicitações de MFA.
3. Pergunte se eles aprovaram recentemente uma solicitação de MFA, inseriram credenciais em um prompt, compartilharam um dispositivo ou viajaram.
4. Capture a resposta do usuário no registro de incidentes.

Fase de contenção

Contenha o risco antes de concluir a investigação completa, mas aplique a lógica de aprovação específica da organização primeiro.

Validar a identidade

1. Verifique se a identidade é uma entidade de serviço ou outra identidade não humana (NHI). Em caso afirmativo, suspenda as ações diretas de desativação da conta e notifique <Service owner> antes de rotacionar segredos, revogar o acesso ou desativar a identidade.
2. Verifique se a identidade é uma conta de emergência. Se for, notifique <Identity team lead> e <Incident commander> antes de agir e nunca desabilite a conta sem autorização explícita.
3. Verifique se o usuário afetado é a liderança sênior, um assistente executivo ou outro perfil de alta confidencialidade. Em caso afirmativo, notifique <Incident commander> e <Communications lead> antes de entrar em contato com o usuário ou tomar medidas disruptivas.

Conter a identidade

Use as ações a seguir para conter a identidade comprometida, preservando as evidências e minimizando a interrupção do negócio.

1. Revogue as sessões ativas e os tokens de atualização para <user@company.com>.
2. Forçar a redefinição de senha ou a rotação do segredo, de acordo com o tipo de identidade.
3. Desative a conta temporariamente se o risco permanecer ativo e a aprovação da empresa permitir.
4. Bloqueie endereços IP mal-intencionados conhecidos, dispositivos, aplicativos ou tokens quando suas ferramentas derem suporte a essas ações.
5. Preservar evidências, incluindo IDs de incidente, alertas, capturas de tela de logon ou exportações, e declarações de usuários.

Fase de investigação

Use a fase de investigação para identificar o provável ponto de entrada, validar lacunas de controle e definir o raio da explosão.

Executar a análise da causa raiz

Use os logins bem-sucedidos para identificar onde o invasor obteve acesso e qual caminho de aplicativo ele utilizou.

SigninLogs
| where UserPrincipalName =~ "<user@company.com>"
| where ResultType == 0
| order by TimeGenerated asc
| take 10

1. Identifique a primeira entrada bem-sucedida confirmada que parece mal-intencionada.
2. Compare esse login com o horário do alerta, o depoimento do usuário e quaisquer indicadores de phishing ou ataques de força bruta a senhas.
3. Documente a causa raiz suspeita, como phishing, reutilização de senhas, atividade de adversário no meio (AIM), roubo de token ou fadiga de MFA.

Avalie a MFA

Revise o status e o comportamento do MFA para determinar se os controles de autenticação falharam ou foram ignorados.

1. Determine se a autenticação multifator (MFA) estava habilitada para <user@company.com> no momento do incidente.
2. Verifique se o invasor cumpriu a MFA, a contornou ou cadastrou um novo método de autenticação.
3. Identificar lacunas no Acesso Condicional, pontos fortes de autenticação, proteção de token ou controles de registro.
4. Registre se você precisa redefinir os métodos de MFA ou revisar as alterações recentes na MFA.

Analisar o raio e o impacto da explosão

Avalie o escopo do acesso e o possível impacto no negócio antes de encerrar a investigação.

1. Examine as evidências de incidentes para acesso a emails, arquivos, ferramentas de colaboração, recursos de nuvem ou funções privilegiadas.
2. Verifique se há regras suspeitas de caixa de entrada, regras de encaminhamento, concessões de consentimento, acesso à caixa de correio, movimentação lateral ou escalonamento de privilégios.
3. Identifique contas, dispositivos, aplicativos e cargas de trabalho relacionadas que a identidade comprometida acessou.
4. Estimar o impacto nos negócios, a exposição de dados e os requisitos de relatórios regulatórios ou legais.

Fase de correção

Conclua as ações que removem a persistência do invasor e retornem a identidade a um estado confiável.

Remediar e recuperar

1. Redefina a senha, altere os segredos e exija um novo login para todas as sessões ativas.
2. Remova regras de caixa de entrada mal-intencionadas, regras de encaminhamento, consentimento do aplicativo OAuth ou métodos de autenticação não autorizados.
3. Restaure as configurações de MFA aprovadas e registre novamente os métodos de autenticação, se necessário.
4. Verifique ou reinstale o sistema operacional dos dispositivos afetados se houver suspeita de comprometimento do ponto de extremidade.
5. Examine as atribuições de função, as associações de grupo e as permissões de aplicativo e remova o acesso não autorizado.
6. Atualize o registro do incidente com ações concluídas, responsáveis, registros de data e hora e evidências.

Fase de prevenção

Use lições do incidente para reduzir a probabilidade de recorrência.

Prevenir a recorrência

1. Imponha a MFA resistente a phishing, políticas de Acesso Condicional mais fortes e controles de risco de entrada quando disponível.
2. Desabilite a autenticação herdada e remova contas de serviço, aplicativos ou credenciais não utilizados.
3. Aprimore as detecções de logins incomuns, abuso de MFA, abuso de token, viagens impossíveis e atividades de consentimento.
4. Forneça orientações direcionadas de conscientização para o usuário a <User>, <Team> ou <Business unit> se phishing ou reutilização de senha tiverem contribuído para o incidente.
5. Examine este SOP após o incidente e atualize os espaços reservados, os caminhos de escalonamento e os limites da sua organização.

Conteúdo relacionado

• Personalize as respostas a incidentes da sua organização
• Triagem e investigação de incidentes com respostas guiadas do Microsoft Copilot no Microsoft Defender
• Manuais de classificação de alertas