هجمات Microsoft 365 تتجاوز كلمات المرور
تُظهر حملة رش كلمات المرور التي شملت 81 مليون محاولة، وأدوات التصيد الاحتيالي كخدمة، وسرقة رموز OAuth سبب ضرورة أن يشمل الدفاع عن الهوية كامل عملية تسجيل الدخول.
صورة داعمة: تسجيل الدخول إلى Microsoft 365 وسياق هوية السحابة.
كانت هجمات الهوية على Microsoft 365 موضوعًا رئيسيًا آخر هذا الأسبوع. وصفت التقارير العامة حملة رش كلمات مرور هجومية أدت إلى أكثر من 81 مليون محاولة تسجيل دخول ضد بيئات Microsoft 365 خلال أسبوعين. وشمل نفس دورة الأخبار أبحاث Cisco Talos عن ARToken، وهو منصة تصيد كخدمة مرتبطة بأسلوب التصيد EvilTokens لمستخدمي Microsoft 365، وتقارير عن تقنيات ConsentFix وClickFix التي يمكن أن تسرق الرموز من خلال المطالبات المزيفة وتدفقات OAuth.
الرسالة بسيطة: المهاجمون لم يعودوا يخمنون كلمات المرور فقط. إنهم يهاجمون رحلة المصادقة نفسها.
النموذج القديم ضيق جدًا
لا تزال العديد من المؤسسات تعتبر أمان الحساب كمشكلة تتعلق بكلمة المرور بالإضافة إلى المصادقة متعددة العوامل. هذا النموذج يغفل الطريقة التي تحدث بها اختراقات Microsoft 365 الحديثة فعليًا.
قد يقوم المهاجمون برش كلمات المرور على نطاق واسع للعثور على الحسابات الضعيفة. قد يستخدمون تصيّد الوسيط لالتقاط ملفات تعريف الجلسة. قد يخدعون المستخدمين للموافقة على موافقة OAuth. قد يسيئون استخدام تدفقات رمز الجهاز. قد يستخدمون نوافذ متصفح مزيفة أو تعليمات دعم مزيفة لجعل الضحية يقوم بالجزء الخطير طوعًا.
بعبارة أخرى، لم يعد مسار اختراق الحساب مجرد صندوق تسجيل دخول واحد. إنه سلسلة من قرارات الهوية والمتصفح والموافقة والرمز والجلسة.
لماذا المصادقة متعددة العوامل ضرورية ولكنها غير كافية
لا يزال المصادقة متعددة العوامل مهمة. فهي تمنع كميات هائلة من إساءة استخدام بيانات الاعتماد الأساسية. لكن ليست كل طرق المصادقة متعددة العوامل متساوية.
رموز الرسائل القصيرة، الموافقات الفورية بدون مطابقة الأرقام، وكلمات المرور لمرة واحدة يمكن أن تتعرض للاختراق أو الهندسة الاجتماعية. يمكن لسرقة الرموز تجاوز الحاجة لتكرار المصادقة متعددة العوامل إذا استطاع المهاجم الحصول على جلسة صالحة. يمكن لإساءة استخدام OAuth منح الوصول دون سرقة كلمة المرور على الإطلاق.
لهذا السبب، تحتاج برامج الهوية إلى التحرك نحو المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي، والوصول المشروط، وثقة الجهاز، والمراقبة المستمرة للجلسات.
ما الذي يجب إعطاءه الأولوية
يجب على مدافعي Microsoft 365 التركيز على الضوابط التي تعطل سلسلة الهجوم بأكملها.
- طلب المصادقة متعددة العوامل المقاومة للتصيد الاحتيالي للمسؤولين، ومستخدمي المالية، والتنفيذيين، والأدوار عالية المخاطر.
- تعطيل المصادقة القديمة والبروتوكولات غير المستخدمة.
- مراجعة سياسات موافقة تطبيقات OAuth.
- التنبيه على منح الموافقات غير المعتادة، وقواعد البريد الجديدة، وإعادة التوجيه المشبوهة، والسفر المستحيل، وتسجيلات الأجهزة الجديدة.
- استخدام سياسات الوصول الشرطي التي تأخذ في الاعتبار توافق الجهاز والموقع والمخاطر وسلوك الجلسة.
- تدريب المستخدمين على تصيّد رموز الأجهزة، ومطالبات ClickFix، وتعليمات المتصفح المزيفة.
- مراقبة أنماط رش كلمات المرور الموزعة عبر العديد من عناوين IP المصدر.
الخلاصة العملية
مايكروسوفت 365 ليست مجرد بريد إلكتروني. إنها مستندات، وTeams، وSharePoint، والهوية، والتقويمات، والملفات، وتاريخ العمليات التجارية. يمكن أن يصبح الحساب المخترق نقطة دخول إلى ذاكرة الشركة.
هذا الأسبوع يوضح لماذا يجب التعامل مع أمان الهوية كمجال للكشف والاستجابة، وليس فقط كإعداد لتسجيل الدخول.