Manuel de jeu d'attaque et de défense pour Microsoft Entra

Cette publication est un recueil de divers scénarios d'attaque courants sur Microsoft Entra et de la manière dont ils peuvent être atténués ou détectés. Tous les scénarios, analyses et commentaires inclus sont basés sur les expériences des contributeurs lors de leurs simulations d'attaque, de leurs exercices pratiques ou de scénarios réels.

Il doit être considéré comme un document vivant, qui sera mis à jour au fur et à mesure de l'évolution des pratiques et des changements dans les techniques d'attaque et de défense. Nous invitons les experts en identité ou en sécurité de la communauté à travailler ensemble sur cette publication et à contribuer avec des mises à jour, des retours, des commentaires ou d'autres ajouts.

Chapitres

Annexe :

Dans tous les chapitres, nous suivons la même ligne directrice concernant la structure des chapitres. Lors de la lecture, vous pouvez vous attendre à trouver :

Description des scénarios d'attaque courants dans chaque scénario
Détection des attaques en s'appuyant sur la pile de sécurité Microsoft
Atténuation de l'attaque et instructions sur la façon d'améliorer la posture de sécurité de votre environnement en fonction de la portée du chapitre
Correspondance des scénarios d'attaque et des capacités de détection avec les Tactiques, Techniques et Procédures (TTP) du MITRE ATT&CK Framework

Les sections suivantes contiennent une brève description de chaque chapitre du « Manuel de jeu d'attaque et de défense pour Microsoft Entra ».

Contexte

L'idée initiale de créer le « Manuel de jeu d'attaque et de défense pour Microsoft Entra » est venue de Thomas Naunheim. Notre premier appel Teams a eu lieu quelque part à l'automne 2020, où Thomas a présenté l'idée et elle a été immédiatement adoptée.

Le premier chapitre portait sur l'attaque « Password Spray », où nous nous sommes concentrés fortement sur le mécanisme de détection d'Entra ID Protection (anciennement connu sous le nom d'Azure AD Identity Protection) pour détecter les attaques de type « password spray ». Au cours du premier chapitre, nous avons appris que le temps calendaire nécessaire pour finaliser la recherche pouvait être considérablement plus long que prévu en raison de la complexité de la recherche et des différents angles d'approche. La délimitation du périmètre, comme dans tout type de travail de projet, est extrêmement importante.