Пособие по атакам и защите для Microsoft Entra

Эта публикация представляет собой сборник различных распространённых сценариев атак на Microsoft Entra и способов их смягчения или обнаружения. Все включённые сценарии, выводы и комментарии основаны на опыте участников, полученном в ходе их симуляций атак, практических занятий или реальных сценариев.

Это следует рассматривать как живой документ, который будет обновляться по мере развития практик и изменений в техниках атак и защиты. Мы приглашаем экспертов по идентификации или безопасности из сообщества к совместной работе над этой публикацией и внесению обновлений, отзывов, комментариев или дополнительных материалов.

Главы

• Password Spray
• Consent Grant
• Service Principals in Azure DevOps Pipelines
• Microsoft Entra Connect Sync Service Account
• Replay of Primary Refresh (PRT) and other issued tokens
• Entra ID Security Config Analyzer (EIDSCA)
• Adversary-in-the-Middle (AiTM) Attacks
• Microsoft Entra Connect Sync Application-based Authentication
• Agent Identities

Приложение:

• Overview of Identity Security Monitoring in Microsoft Cloud
• How to prevent lateral movement to Entra ID when your Active Directory has fallen

Во всех главах мы придерживаемся единого руководства по структуре главы. При чтении вы можете ожидать найти:

• Описание распространённых сценариев атак в каждом сценарии
• Обнаружение атак с использованием стека безопасности Microsoft
• Смягчение атаки и инструкции по улучшению защищённости вашей среды на основе области охвата главы
• Сопоставление сценариев атак и возможностей обнаружения с Тактиками, Техниками и Процедурами (TTP) MITRE ATT&CK Framework

Следующие разделы содержат краткое описание каждой главы в «Пособии по атакам и защите для Microsoft Entra».

Предыстория

Первоначальная идея создания «Пособия по атакам и защите для Microsoft Entra» принадлежала Thomas Naunheim. Наш первый звонок в Teams состоялся где-то осенью 2020 года, когда Thomas представил идею, и она была сразу принята.

Первая глава была посвящена атаке «Password Spray», где мы уделили особое внимание механизму обнаружения Entra ID Protection (ранее известного как Azure AD Identity Protection) для выявления атак типа «password spray». В ходе работы над первой главой мы поняли, что календарное время для завершения исследования может занять значительно больше, чем ожидалось, из-за сложности исследования и различных углов его рассмотрения. Определение области охвата, как и в любом проекте, чрезвычайно важно.

Авторы

Sami Lamppu 💬 📖

Thomas Naunheim 💬 📖

Участники и рецензенты

Joosua Santasalo 💬 📖

Markus Pitkäranta 💬 📖

Christopher Brumm 💬 📖

Derk van der Woude 💬 📖

Fabian Bader 💬 📖

Nestori Syynimaa 💬 📖

Robbe Van den Daele 💬 📖

В последних главах нам повезло привлечь к проекту других участников сообщества, таких как Joosua Santasalo, Fabian Bader и Christopher Brumm в качестве спарринг-партнёров и рецензентов.