如何保护 Microsoft 网络免受中间人攻击

一名办公室工作人员收到了一封看似来自供应商的电子邮件,但该邮件被隔离了,用户请求将其释放。这封邮件看起来没什么问题,因此管理员释放了这封邮件。用户点击邮件查看内容,其中包括一张附加发票。

问题就从这里开始:点击附件会打开一个网站,要求员工输入用户名和密码,员工必须输入。不幸的是,这封电子邮件没有任何合法性,它就是为这样的机会而设的钓鱼邮件。

但情况变得更糟——用户在不知情的情况下让攻击者能够更进一步,发起中间人(AiTM) 攻击,这是终极的商业电子邮件入侵,旨在获取银行或其他金融交易的权限。这些攻击不仅可以获取凭证,还可以获取令牌以绕过多因素身份验证。

AiTM 攻击十分阴险,可能造成严重后果

多个级别的安全措施均已失效,攻击者现在可以秘密渗透到网络,冒充目标并访问云端的电子邮件对话和文档。

微软在其有关该主题的博客中指出:“在被盗会话 cookie 重放攻击中,攻击者使用有效的被盗 cookie 冒充用户,从而绕过密码和 MFA 的身份验证机制。”

“在这次活动中,我们观察到攻击者在几个小时后从位于美国的 IP 地址使用被盗的 cookie 登录……此外,攻击者还生成了一个新的访问令牌,使他们能够在环境中停留更长时间。”

一旦进入系统,攻击者就可以添加新的身份验证方法来绕过已经存在的身份验证方法,通常目的是建立规则来转移某些邮件,以便邮箱用户或所有者看不到该邮件被发送。

预防 AiTM 攻击需要多种技术结合

为了防止 AiTM 攻击,Microsoft 建议使用安全默认值作为一组基准策略来改善身份安全状况。为了实现更精细的控制,您需要启用条件访问策略;实施基于风险的访问策略特别有用。

微软表示:“条件访问策略使用额外的身份驱动信号(如用户或群组成员身份、IP 位置信息和设备状态等)来评估登录请求,并对可疑登录进行强制执行。”

“组织可以通过启用合规设备、受信任的 IP 地址要求或具有适当访问控制的基于风险的策略来保护自己免受利用被盗凭证的攻击。”

投资先进的反网络钓鱼解决方案作为前线防御,特别是监控和扫描传入电子邮件和访问过的网站的解决方案。确保使用 SmartScreen 和其他阻止恶意网站的技术。

调查可疑恶意活动,寻找具有可疑特征的登录尝试,并启用规则集来寻找异常活动或其他更明显的攻击过程,以识别危险位置、恶意 ISP、异常用户代理和匿名服务的使用。

AiTM 袭击后的调查和清理

虽然微软的 AiTM 博客讨论了如何防止商业电子邮件受到攻击,但它对于如何在潜在攻击后进行调查和清理的具体说明却有些薄弱。

您希望确保将 Microsoft 365 的日志文件卸​​载到安全事件和事件管理 (SEIM) 平台,并使用交互式和非交互式登录检查 Entra 或 Azure 登录日志,并检查任何不“正常”的位置。

请注意,如果用户使用的是蜂窝连接,则可能很难正常确定位置,并且可能与您习惯的 IP 地址在地理上有所不同。可能需要一些时间才能将用户当时所做的事情与他们登录的设备联系起来。确保您采访并将日期、时间和事件与用户当时所做的事情联系起来,并进行相应记录。

然后在http://compliance.microsoft.com下载统一审计日志。从这里你可以调查攻击者做了什么,特别是如果你订阅了包含 OneDrive 和 Teams 的完整 Microsoft 365 套件。

您需要查看 Outlook、Teams、SharePoint、OneDrive、Power Automate 以及用户有权访问的任何其他公司资产中的活动。确保您获取日志并将其保存在您的 SEIM 或其他设备中,以供受感染的用户使用。

确定攻击的深度和严重程度

根据攻击的影响,启动清理过程。首先强制更改用户帐户的密码,确保已撤销所有令牌以阻止攻击者的虚假凭据。

如果攻击的后果很严重,请考虑禁用用户的主要帐户并设置新的临时帐户,同时调查入侵的程度。如果您不确定入侵的原始来源,您甚至可以考虑隔离用户的设备,并可能对工作站进行取证级备份,以便进行最佳调查。

接下来,检查所有应用程序注册、服务主体的更改、企业应用程序以及自发现入侵以来用户可能更改或影响的任何其他内容。您需要深入调查邮箱的访问和权限。Mandiant 有一个基于 PowerShell 的脚本,可以帮助您调查入侵的影响。

Mandiant 指出: “该存储库包含一个 PowerShell 模块,用于检测可能表明UNC2452和其他威胁行为者活动的工件。一些指标是‘高保真’的入侵指标,而其他工件则是所谓的‘双重用途’工件。”

“双重用途工件可能与威胁行为者的活动有关,但也可能与合法功能有关。这些都需要进行分析和验证。”

Mandiant 确实警告说,该工具“不会 100% 识别出妥协,也不会告诉您某个工件是合法的管理活动还是威胁行为者的活动。”

OneDrive 用户应该接受额外的审查

如果您的用户正在访问 Microsoft 的 OneDrive,您需要检查云存储上文件的文件日期,以查看是否有任何内容被篡改或受到恶意软件的影响。检查 Power Automate 和 Power Apps 以确定是否为相关用户设置了后漏洞利用命令和控制或自定义命令和控制。

接下来,确保用户的单点登录影响已得到限制,并且您在http://myapps.microsoft.com上查看了影响。然后,与上述消费设备一样,同样验证用户在http://admin.microsoft.com和http://entra.microsoft.com上注册或加入的所有设备是否合法。

强烈建议您根据所拥有的许可证实施Internet 安全中心设置。其中一些推荐设置无法使用最便宜的 Microsoft 365 许可证完成,并且至少需要 Microsoft 365 商业高级版订阅。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/471244.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

Excel筛选的操作教程

用Excel整理数据时,常常要用到筛选功能,很多复杂的数据经过一定条件的筛选后就变得很清晰。筛选也是Excel的一个基本功能之一,你会使用这个功能吗?不会也没关系,接着往下看,接下来就来演示一些Excel表格筛选…

爬虫补环境案例---问财网(rpc,jsdom,代理,selenium)

目录 一.环境检测 1. 什么是环境检测 2.案例讲解 二 .吐环境脚本 1. 简介 2. 基础使用方法 3.数据返回 4. 完整代理使用 5. 代理封装 6. 封装所有使用方法 jsdom补环境 1. 环境安装 2. 基本使用 3. 添加参数形式 Selenium补环境 1. 简介 2.实战案例 1. 逆向目…

JAVA:探索 EasyExcel 的技术指南

1、简述 在 Java 开发中,Excel 文件的读写操作是一项常见的需求。阿里巴巴开源的 EasyExcel 提供了一种高效、简洁的解决方案,特别是在处理大规模数据时表现尤为突出。本文将详细介绍 EasyExcel 的优缺点、应用场景,并通过实例展示其基本用法…

力扣662:二叉树的最大宽度

给你一棵二叉树的根节点 root ,返回树的 最大宽度 。 树的 最大宽度 是所有层中最大的 宽度 。 每一层的 宽度 被定义为该层最左和最右的非空节点(即,两个端点)之间的长度。将这个二叉树视作与满二叉树结构相同,两端…

Elasticsearch基本概念及使用

Elasticsearch 是一个开源的、分布式的全文搜索和分析引擎,基于 Apache Lucene 构建。它提供了快速的搜索能力,支持大规模的数据分析,广泛应用于日志分析、全文搜索、监控系统和商业智能等领域。ES操作指令是基于restAPI构建,也就…

Vue.js 项目创建流程

Vue.js 项目创建流程 以下是一个详细的步骤指南,用于在Windows系统上使用NVM(Node Version Manager)和npm创建一个新的Vue.js项目。 1. 安装Node.js指定版本 首先,使用NVM安装Node.js的20.18.0版本。 nvm install 20输出示例&…

如何判定linux系统CPU的核心架构

背景 在开发一个项目的时候,需要配置安装PyTorch环境,自己电脑以前下载过这个相关的包,但是是X86架构的,不知道复制到Linux系统后能否直接使用,于是想着去确认一下,并把自己的方法总结一下,自己下载的文件…

Vue2:组件

Vue2:组件 非单文件组件定义注册使用 单文件组件 组件是Vue中最核心的内容,在编写页面时,将整个页面视为一个个组件,再把组件拼接起来,这样每个组件之间相互独立,有自己的结构样式,使页面编写思…

408模拟卷较难题(无分类)

模拟卷特别是大题还是很有难度的,而且有些题有错,还是先把真题吃透,后面没时间的话就不整理了。 一棵树转化为二叉树,那么这棵二叉树一定为右子树为空的树 计算不同种形态,即计算6个结点的二叉树有几种形态&#xff0c…

(六)Spark大数据开发实战:豆瓣电影数据处理与分析(scala版)

目录 一、Spark 二、数据介绍 三、Spark大数据开发实战(Scala) 1、数据文件上传HDFS 2、导入模块及数据 3、数据统计与分析 ①、计算演员参演电影数 ②、依次罗列电影番位前十的演员 ③、按照番位计算演员参演电影数 ④、求每位演员所有参演电影中的最早、最晚上映…

SpringMVC学习笔记(二)

五、Rest风格编程 (一)Rest风格URL规范介绍 1、什么是restful RESTful架构,就是目前最流行的一种互联网软件架构风格。它结构清晰、符合标准、易于理解、扩展方便,所以正得到越来越多网站的采用。REST这个词,是Roy T…

PyTorch深度学习与企业级项目实战-预训练语言模型GPT

【图书推荐】《PyTorch深度学习与企业级项目实战》-CSDN博客 13个PyTorch深度学习案例简介-CSDN博客 《PyTorch深度学习与企业级项目实战(人工智能技术丛书)》(宋立桓,宋立林)【摘要 书评 试读】- 京东图书 (jd.com) PyTorch深度学习算法与…

CTF攻防世界小白刷题自学笔记13

1.fileinclude,难度:1,方向:Web 题目来源:宜兴网信办 题目描述:无 给一下题目链接:攻防世界Web方向新手模式第16题。 打开一看给了很多提示,什么language在index.php的第九行,flag在flag.php中,但事情显…

【QT常用技术讲解】优化网络链接不上导致qt、qml界面卡顿的问题

前言 qt、qml项目经常会涉及访问MySQL数据库、网络服务器,并且界面打开时的初始化过程就会涉及到链接Mysql、网络服务器获取数据,如果网络不通,卡个几十秒,会让用户觉得非常的不爽,本文从技术调研的角度讲解解决此类问…

基于OpenCV的自制Python访客识别程序

这是我用Pyqt5,基于OpenCV做的一个Python访客识别程序,它具体包括如下5个功能: 1、选择媒体菜单,可以打开本地摄像头;如果知道rtsp地址,则可以直接访问局域网内的网络串流。 2、选择播放菜单,…

SQL集合运算

集合论是SQL语言的根基。 1 集合运算 注意事项: 1)SQL能操作具有重复行的集合,可以通过可选项ALL来支持。 如果直接使用UNION或INTERSECT,结果里不会出现重复的行。如果想在结果里留下重复行,可以加上可选项ALL。写…

Gartner发布安全平台创新洞察:安全平台需具备的11项常见服务

安全和风险管理领导者的任务是管理多个安全供应商和复杂的基础设施堆栈。本研究提供了有关安全平台优势和风险的见解,并提供了为组织选择合适平台的建议。 主要发现 自适应和行为安全防御需要跨安全基础设施组件进行更多的协调,而目前孤立的异构供应商架…

基于海思soc的智能产品开发(两个图像处理来源)

【 声明:版权所有,欢迎转载,请勿用于商业用途。 联系信箱:feixiaoxing 163.com】 对于图像,大家能够想到的一般就是sensor,也就是摄像头。其实对于图像来说,还有另外一个来源,那就是…

如何使用 Web Scraper API 高效采集 Facebook 用户帖子信息

目录 前言一、什么是Web Scraper API二、Web Scraper API 的优势:三、Web Scraper API 适用场景四、实践案例目标需求视频讲解1、选择Web Scraper API2、登录注册3、进入用户控制面板4、选择API5、触发数据收集 API6、获取爬虫结果7、分析爬虫结果(1&…

微信小程序中使用离线版阿里云矢量图标

前言 阿里矢量图库提供的在线链接服务仅供平台体验和调试使用,平台不承诺服务的稳定性,企业客户需下载字体包自行发布使用并做好备份。 1.下载图标 将阿里矢量图库的图标先下载下来 解压如下 2.转换格式 贴一个地址用于转换格式:Onlin…