Microsoft Entra ID - Playbook di attacco e difesa

Questa pubblicazione è una raccolta di vari scenari di attacco comuni su Microsoft Entra e di come possono essere mitigati o rilevati. Tutti gli scenari, le intuizioni e i commenti inclusi si basano sulle esperienze dei contributori durante le loro simulazioni di attacco, attività pratiche o scenari reali.

Dovrebbe essere considerato un documento vivo, che verrà aggiornato man mano che le pratiche progrediscono e le tecniche di attacco e difesa cambiano. Invitiamo esperti di identità o sicurezza della community a collaborare a questa pubblicazione e a contribuire con aggiornamenti, feedback, commenti o ulteriori aggiunte.

Capitoli

• Password Spray
• Consent Grant
• Service Principals in Azure DevOps Pipelines
• Microsoft Entra Connect Sync Service Account
• Replay of Primary Refresh (PRT) and other issued tokens
• Entra ID Security Config Analyzer (EIDSCA)
• Adversary-in-the-Middle (AiTM) Attacks
• Microsoft Entra Connect Sync Application-based Authentication

Appendice:

• Panoramica del monitoraggio della sicurezza delle identità nel cloud Microsoft
• Come prevenire il movimento laterale verso Entra ID quando il tuo Active Directory è stato compromesso

In tutti i capitoli, seguiamo le stesse linee guida sulla struttura del capitolo. Durante la lettura, ti aspetterai di trovare:

• Descrizione degli scenari di attacco comuni in ogni scenario
• Rilevamento degli attacchi sfruttando lo stack di sicurezza Microsoft
• Mitigazione dell'attacco e istruzioni su come migliorare la postura di sicurezza del tuo ambiente in base all'ambito del capitolo
• Correlazione degli scenari di attacco e delle capacità di rilevamento a Tattiche, Tecniche e Procedure (TTP) del MITRE ATT&CK Framework

Le sezioni seguenti contengono una breve descrizione di ogni capitolo che puoi trovare nel 'Playbook di attacco e difesa Entra ID'.

Contesto

L'idea iniziale per creare il 'Azure AD Attack & Defense Playbook' è venuta da Thomas Naunheim. La nostra prima chiamata su Teams è avvenuta nell'autunno del 2020, quando Thomas ha presentato l'idea ed è stata accolta immediatamente.

Il primo capitolo riguardava l'attacco 'Password Spray', in cui ci siamo concentrati molto sul meccanismo di rilevamento di Entra ID Protection (precedentemente noto come Azure AD Identity Protection) per rilevare attacchi di tipo 'password spray'. Durante il primo capitolo abbiamo imparato che il tempo di calendario per finalizzare la ricerca potrebbe richiedere molto più tempo del previsto a causa della complessità della ricerca e dei diversi punti di vista sulla ricerca. La definizione dell'ambito, come in qualsiasi tipo di lavoro di progetto, è estremamente importante.

Autori

Sami Lamppu 💬 📖

Thomas Naunheim 💬 📖

Contributori e revisori

Joosua Santasalo 💬 📖

Markus Pitkäranta 💬 📖

Christopher Brumm 💬 📖

Fabian Bader 💬 📖

Nestori Syynimaa 💬 📖

Robbe Van den Daele 💬 📖

Con gli ultimi capitoli abbiamo avuto la fortuna di avere altri membri della community coinvolti nel progetto, come Joosua Santasalo, Fabian Bader e Christopher Brumm, come partner di confronto e revisori.