MFA reicht nicht mehr aus: Device Code Phishing stiehlt Berechtigungen und hält Zugriff

In den letzten Jahren haben viele Organisationen die Multi-Faktor-Authentifizierung (MFA) als die stärkste Barriere gegen die Rechenschaftspflicht betrachtet. Allerdings haben sich die Angreifer entwickelt und nutzen jetzt die legitime Berechtigung fließt selbst zu erhalten persistenten Zugriff ohne die Notwendigkeit, Passwörter zu stehlen: eine Modalität, die erfordert Umdenken, was "beschützt" bedeutet.

Ein beunruhigendes Beispiel ist das sogenannte Device Code Phishing, bei dem das Opfer keine Anmeldeinformationen an eine betrügerische Website liefert, sondern akzeptiert - über eine Microsoft-Seite oder einen anderen legitimen Anbieter - einen Code oder eine Einwilligung, die Token des Zugangs zum Angreifer aussendet. Das Ergebnis ist ein Konto, das begangen wird, obwohl Authentifizierung und MFA rechtmäßig abgeschlossen wurden weil das, was begangen wurde, nicht Anmeldeinformationen, sondern Autorisierung einer schädlichen Anwendung gewährt.

Diese Art von Angriff nutzt eine technische Wahrheit: Die Mail- und Cloud-Systeme verlassen sich auf Token und Anwendungskonsens sowie Passwörter. Daher können traditionelle Verteidigungen konzentriert auf die Erkennung von Login mit gestohlenen Passwörtern oder Sperrung von verdächtigen PIs möglicherweise aus dem Datum sein. Angriffe, die legitime Genehmigungsflüsse verwenden, umgehen oft Regeln, die klassische Phishing-Muster oder MFA Bypass suchen und kann langfristigen Zugriff erhalten, wenn der Missbrauch von Token nicht erkannt wird.

Die operativen Auswirkungen sind beträchtlich. Die SOC- und IR-Teams werden erwischt, um Streusignale zu untersuchen, nachdem der Angreifer bereits Regeln für die Weiterleitung, die Delegierung des Zugangs oder die Erstellung sensibler Informationen festgelegt hat. Dies erhöht die Wahrscheinlichkeit von Datenverlust und die Komplexität der Abhilfe, zusätzlich zu feuern repetitive manuelle Workloads, die Ressourcen ausschöpfen.

Um diese Taktik voranzutreiben, müssen technische Maßnahmen, verhaltensbasierte Erkennung und Automatisierung kombiniert werden. Technisch gesehen Beschränken Sie die Zustimmung der Bewerbung, überprüfen Sie die Berechtigungen von OAuth regelmäßig und implementieren Sie die Conditional Access Policy sind wesentliche Schritte; Microsoft dokumentiert den Fluss von Device Code und seine Risiken in seinem Leitfaden für Entwickler und Administratoren, die überprüft werden sollten: https: / / learn.microsoft.com / en-us / azure / active-directory / entwickeln / v2-oauth2-device-code.

In der Erkennung ist es entscheidend, vom statischen Indikator zur Analyse von Anomalien zu bewegen: konzentrieren Sie sich auf Änderungen des Kontoverhaltens - Versandspitzen, Erstellung von Reshipment-Regeln, Erteilung von Genehmigungen für externe Anwendungen, oder Zugriff von geographischen oder atypischen Geräten -. Die Intelligenz, die das normale Verhalten von Benutzern und Anwendungen modelliert, ermöglicht es, frühe Signale zu identifizieren, die Signatur-basierte Systeme nicht sehen, und automatisieren Sie die Antworten (Aufrufen von Einwilligungen, Kraft-Revalidierungen, Block-Anwendungen) reduziert die Belichtungszeit.

Nicht alles ist Technologie: Die Schulung muss aktualisiert werden, um es den Nutzern zu ermöglichen, legitime Zulassungsanträge im Hinblick auf sozialtechnische Versuche zu identifizieren, die "die Einführung eines Codes" oder "die Autorisierung einer App" anweisen. Lehren, um Anwendungsnamen, Entwickler-IDs und Berechtigungskontexte zu überprüfen, können viele erste Vorfälle verhindern. Um den Umfang und die Auswirkungen von E-Mail-Betrug zu verstehen, können Sicherheitsteams Warnungen und öffentliche Empfehlungen zu Business Email Commitments, wie die von CISA: https: / / www.cisa.gov / uscert / ncas / alerts / aa20-283a.

Die Einführung von phishing-resistenten Authentifizierungsverfahren, wie FIDO2-Tasten und Richtlinien, die den Einsatz von Langzeit-Token minimieren, hilft, die Reibung für Angreifer zu erhöhen. Auch die Integration der Verhaltenserkennung mit automatisierten Playbooks in die Sicherheitsplattform reduziert die Betriebsbelastung des SOC und beschleunigt die Eindämmung: Automatisierung verhindert, dass Analysten von "Casing-Benachrichtigungen" und ermöglicht es ihnen, zu handeln, bevor ungerechter Zugriff zu einem Datenleck wird.

Für Teams, die diese Taktiken vertiefen und praktische Fälle sehen wollen, gibt es Veranstaltungen und Webinare, in denen Experten aktuelle Angriffe und operative Lösungen analysieren; die Teilnahme an Sitzungen mit technischer und operativer Vision hilft, allgemeine Empfehlungen in Regeln, Warnungen und Automatisierung, die für ihre Umwelt spezifisch sind, zu übersetzen. Parallel dazu sollten die Organisationen regelmäßige Audits von zugelassenen Anwendungen durchführen, Alarme für Konfigurationsänderungen an kritischen Konten einrichten und Antwortübungen gegen OAuth Missbrauchsszenarien ausführen.

Kurz gesagt, MFA bleibt wertvoll, ist aber nicht mehr eine absolute Garantie gegen die Verpflichtung der Konten: moderne Verteidigung erfordert Kontrolle, wer Genehmigungen erhält, Überwachung, wie diese Genehmigungen verwendet werden, und Automatisierung verhaltensbasierte Forschung und Vermittlung. Die Annahme von restriktiven Einwilligungsrichtlinien, phishing-resistente Authentifizierung, anomalybasierte Erkennung und eine konfigurierbare automatisierte Reaktion sind die Säulen, um das Risiko von Device Code Phishing und ähnlichen Angriffen zu reduzieren.