Microsoft сообщила корпоративным клиентам, что им не стоит беспокоиться, если злоумышленники пытаются сканировать URL‑адреса в OneDrive, используя продвинутые методы.
URL‑адреса в OneDrive и SharePoint зачастую содержат основные имена пользователей (User Principal Names, UPN), — которые позволяют выявить учётные данные конкретного человека. Эта информация может быть использована в таких атаках, как фишинг, перебор паролей, подстановка учётных данных или социальная инженерия. Поскольку сведения о подобных «проверках» URL‑адресов не отражаются в журналах входа в систему или в Microsoft Purview, службы безопасности не могут обнаружить факт такого сканирования — механизмы оповещения для подобных случаев также отсутствуют. Тем не менее, Microsoft классифицирует этот метод сбора имён пользователей как «риск низкого уровня», поскольку он носит пассивный характер и сам по себе не позволяет обойти аутентификацию. Даже если имя пользователя будет раскрыто, это не даст доступа к его учётной записи — при условии, что в организации приняты стандартные надёжные меры безопасности. Именно поэтому Microsoft рекомендует внедрять такие защитные механизмы, как многофакторная аутентификация и условный доступ.
При этом, если кто‑то неоднократно пытается получить доступ к несуществующему ресурсу в SharePoint или OneDrive, система ограничивает доступ и выдает ошибку HTTPS 429 («слишком много запросов»). Это препятствует действиям злоумышленников, пытающихся перебирать URL‑адреса OneDrive для выявления UPN.
Если же злоумышленнику всё‑таки удалось получить имя пользователя и он предпринимает попытку фишинга, лучшей защитой, по мнению Microsoft, станет заблаговременное обучение сотрудников. Кроме того, для защиты от подстановки учетных данных компания рекомендует использовать Entra MFA, а против социальной инженерии — политики условного доступа (Entra Conditional Access) и контроля рисков при входе в систему. «Выявление имен пользователей в OneDrive — это разведывательный метод с низким уровнем риска, однако полученные таким образом данные могут быть использованы для проведения более опасных атак. Организациям следует снижать эти сопутствующие риски с помощью надёжного управления учётными записями, защиты от фишинга и повышения осведомлённости пользователей», — подчёркивают в компании.
В мае сообщалось, что злоумышленник, атакующий производственные среды Microsoft 365 и Azure, похищает данные с помощью атак, использующих уязвимости в легитимных приложениях и функциях администрирования. Он использовал методы социальной инженерии для атаки на пользователей с привилегированными ролями, таких как IT‑персонал или члены высшего руководства, и получения их учётных данных Microsoft Entra ID для доступа к данным в приложениях Microsoft 365. Вероятно, он злоупотребил процедурой самостоятельного сброса пароля (SSPR), в рамках которой он инициирует сброс пароля для учётной записи целевого сотрудника, а затем обманом заставляет жертву подтвердить запросы многофакторной аутентификации (MFA).
Источник: habr.com