Microsoft 365-Angriffe gehen über Passwörter hinaus

Microsoft 365 auf einem Telefon vor einem Microsoft-Hintergrund angezeigt Unterstützendes Bild: Microsoft 365-Anmeldung und Cloud-Identitätskontext.

Angriffe auf Microsoft 365-Identitäten waren ein weiteres großes Thema in dieser Woche. Öffentlich zugängliche Berichte beschrieben eine aggressive Passwort-Sprühkampagne, die innerhalb von zwei Wochen mehr als 81 Millionen Anmeldeversuche gegen Microsoft 365-Umgebungen erzeugte. Im gleichen Nachrichtenzyklus wurden Cisco Talos-Forschungen zu ARToken veröffentlicht, einer Phishing-as-a-Service-Plattform, die mit EvilTokens-artigen Microsoft 365-Phishing-Angriffen in Verbindung steht, sowie Berichte über die Techniken ConsentFix und ClickFix, mit denen Tokens durch gefälschte Eingabeaufforderungen und OAuth-Flows gestohlen werden können.

Die Botschaft ist einfach: Angreifer raten nicht mehr nur Passwörter. Sie greifen den gesamten Authentifizierungsprozess selbst an.

Das alte Modell ist zu schmal

Viele Organisationen betrachten die Kontosicherheit immer noch als ein Problem von Passwort plus MFA. Dieses Modell verkennt, wie moderne Microsoft 365-Einbrüche tatsächlich passieren.

Angreifer können Passwörter in großem Maßstab ausprobieren, um schwache Konten zu finden. Sie können Adversary-in-the-Middle-Phishing verwenden, um Sitzungscookies zu erfassen. Sie können Benutzer dazu verleiten, OAuth-Zustimmungen zu genehmigen. Sie können Geräte-Code-Flows missbrauchen. Sie können gefälschte Browser-Prompts oder gefälschte Support-Anweisungen verwenden, um das Opfer dazu zu bringen, den gefährlichen Teil freiwillig auszuführen.

Mit anderen Worten, der Pfad zur Kontoübernahme ist nicht mehr nur ein einzelnes Login-Feld. Es ist eine Kette von Entscheidungen in Bezug auf Identität, Browser, Zustimmung, Token und Sitzung.

Warum MFA notwendig, aber nicht ausreichend ist

MFA ist immer noch wichtig. Es blockiert enorme Mengen an Missbrauch einfacher Zugangsdaten. Aber nicht alle MFA ist gleich.

SMS-Codes, Push-Bestätigungen ohne Nummernabgleich und Einmalpasswörter können phisherisch abgegriffen oder durch Social Engineering erlangt werden. Tokensdiebstahl kann die Notwendigkeit der Wiederholung von MFA umgehen, wenn der Angreifer eine gültige Sitzung erfasst. OAuth-Missbrauch kann Zugang gewähren, ohne überhaupt ein Passwort zu stehlen.

Deshalb müssen Identitätsprogramme auf phishing-resistente MFA, bedingten Zugriff, Gerätevertrauen und kontinuierliche Sitzungsüberwachung umsteigen.

Worauf man sich konzentrieren sollte

Microsoft 365-Verteidiger sollten sich auf Kontrollen konzentrieren, die die gesamte Angriffskette unterbrechen.

Erfordern Sie phishing-resistente MFA für Administratoren, Finanzbenutzer, Führungskräfte und Risikopositionen.
Deaktivieren Sie veraltete Authentifizierung und nicht verwendete Protokolle.
Überprüfen Sie die Richtlinien für die Zustimmung von OAuth-Anwendungen.
Warnen Sie bei ungewöhnlichen Zustimmungsgewährungen, neuen Postfachregeln, verdächtigem Weiterleiten, unmöglichen Reisen und neuen Geräteanmeldungen.
Verwenden Sie bedingte Zugriffsrichtlinien, die die Geräte-Compliance, den Standort, das Risiko und das Sitzungsverhalten berücksichtigen.
Schulen Sie Benutzer zu Geräte-Code-Phishing, ClickFix-Aufforderungen und gefälschten Browseranweisungen.
Überwachen Sie Muster von Passwort-Versuchen, die auf viele Quell-IP-Adressen verteilt sind.

Die geschäftliche Erkenntnis

Microsoft 365 ist nicht nur E-Mail. Es sind Dokumente, Teams, SharePoint, Identität, Kalender, Dateien und die Historie der Geschäftsprozesse. Ein kompromittiertes Konto kann zu einem Einstiegspunkt in das Unternehmensgedächtnis werden.

Diese Woche zeigt, warum Identitätssicherheit als Disziplin für Erkennung und Reaktion behandelt werden muss und nicht nur als Anmeldeeinstellung.

Das alte Modell ist zu schmal

Warum MFA notwendig, aber nicht ausreichend ist

Worauf man sich konzentrieren sollte

Die geschäftliche Erkenntnis

Quellen