Moment de sécurité
Un compte Microsoft 365 a été compromis.
Voici votre première heure.
Voici la liste de vérification de la première heure que nous utilisons dans de vrais incidents quand un compte Microsoft 365 est compromis. Réinitialiser le mot de passe ne suffit pas : les attaquants gardent leur accès grâce aux jetons, aux applications OAuth et aux règles de boîte de réception. Gratuite à suivre, sans inscription.
Obtenir de l’aide en cas d’incident maintenant (en anglais) Voir la liste de vérification
Intrusion en cours? Appelez ThreeShield : 1-403-538-5053
La première heure
1. Révoquez les sessions et les jetons d’actualisation, pas seulement le mot de passe
Réinitialisez le mot de passe, puis révoquez immédiatement toutes les sessions actives et tous les jetons d’actualisation de l’utilisateur dans Entra ID. Les attaquants qui ont hameçonné un témoin de session restent connectés malgré la réinitialisation du mot de passe. Faites les deux, dans cet ordre, avant toute autre chose.
2. Examinez les autorisations des applications OAuth
Vérifiez les applications auxquelles l’utilisateur a donné son consentement, en cherchant tout ce qui a été accordé récemment, surtout les applications ayant des autorisations de lecture ou d’envoi de courriels ou d’accès hors ligne. Une autorisation OAuth malveillante survit aux réinitialisations de mot de passe et à l’AMF. Révoquez tout ce que vous ne reconnaissez pas et notez l’identifiant de l’application pour votre chronologie.
3. Cherchez les règles de boîte de réception et le transfert
Cherchez les règles qui transfèrent le courrier à l’externe, ou qui déplacent les réponses mentionnant « facture », « paiement » ou « virement » vers les Abonnements RSS ou les Éléments supprimés. Ces règles cachent les conversations de l’attaquant au véritable utilisateur. Vérifiez à la fois les règles d’Outlook et les paramètres de transfert au niveau de la boîte aux lettres.
4. Forcez la réinscription de l’AMF
Si l’attaquant avait un accès complet au compte, supposez qu’il a enregistré sa propre application d’authentification ou son propre numéro de téléphone. Exigez que l’utilisateur réinscrive l’AMF et supprimez toutes les méthodes existantes dont vous ne pouvez pas vérifier personnellement qu’elles lui appartiennent.
5. Circonscrivez l’incident dans le journal d’audit
Extrayez le journal d’audit unifié du compte à partir de la première connexion suspecte. Qu’est-ce que l’attaquant a lu, téléchargé ou partagé? A-t-il touché à SharePoint ou à Teams? C’est ce qui détermine si vous avez un problème limité à une boîte aux lettres ou un problème d’exposition de données, et si vous avez des obligations de notification.
6. Vérifiez ce que le compte a envoyé : c’est là que se trouvent les vrais dégâts
La compromission de courriels d’affaires devient rentable avec une seule fausse facture. Cherchez dans le courrier envoyé (y compris les éléments envoyés supprimés) les messages sur des paiements, des changements de coordonnées bancaires ou des cartes-cadeaux. Si certains sont partis, appelez les destinataires par téléphone, pas par courriel, et avertissez-les avant que l’argent bouge.
Interceptez la prochaine avant qu’elle commence
Pendant qu’un attaquant est encore actif dans la boîte aux lettres, Microsoft Purview peut prendre environ quatre heures pour fournir une exportation du journal d’audit. Lavawall® a déjà ces réponses indexées; vous voyez donc ce qui s’est passé instantanément. Et il fait plus que raccourcir le nettoyage.
Des réponses au moment où vous en avez besoin
Pas d’attente de quatre heures pour une exportation. L’historique des connexions, les autorisations OAuth, les changements de méthodes d’AMF et les règles de boîte de réception sont déjà là; vous circonscrivez donc l’incident tout de suite, au lieu de regarder une barre de progression pendant que l’argent circule.
Détecte ces problèmes avant qu’ils se produisent
Lavawall surveille les techniques de persistance de la liste de vérification ci-dessus à mesure qu’elles se déroulent, et signale le compte pendant que la prise de contrôle est encore en cours.
Met en évidence les indicateurs de compromission combinés
Une seule connexion à risque peut n’être rien. Une connexion à risque, plus une nouvelle autorisation OAuth, plus une règle de boîte de réception toute fraîche : c’est une prise de contrôle. Lavawall met en corrélation les signaux faibles dans une seule alerte claire, au lieu de vous laisser relier vous-même des événements isolés.
Détermine ce qui bloque les utilisateurs
Quand des gens ne peuvent soudainement plus se connecter, Lavawall repère les applications et les autorisations OAuth à l’origine des blocages; vous corrigez donc la vraie cause au lieu de deviner.
Détection d’intrusions dans M365
Lavawall met en corrélation les connexions à risque, les nouvelles autorisations OAuth, les changements de méthodes d’AMF et la création de règles de boîte de réception (toutes les techniques de persistance de la liste de vérification ci-dessus) et vous alerte dès qu’elles se recoupent.
Phishing Reporter pour Outlook
La plupart des prises de contrôle de comptes commencent par un hameçonnage. Signalement en un clic pour chaque employé, analyse automatique et visibilité sur les autres personnes qui ont reçu la même campagne.
Formation de sensibilisation à la sécurité
Une formation courte et réaliste qui apprend aux gens à reconnaître les pages de collecte d’identifiants et les demandes d’AMF répétées jusqu’à l’épuisement qui mènent à des prises de contrôle comme celle-ci.
Vous voulez qu’un expert en sécurité chevronné s’en occupe avec vous?
ThreeShield est l’équipe CISSP/CISA qui conçoit Lavawall®. Elle assure la réponse aux incidents Microsoft 365 et le renforcement après incident : accès conditionnel, gouvernance des applications OAuth et paramètres qui empêchent la prochaine prise de contrôle. Aucun contrat de retenue pour le premier incident.
Questions fréquentes
- J’ai réinitialisé le mot de passe. L’attaquant est-il exclu?
- Pas nécessairement. La réinitialisation du mot de passe n’invalide ni les sessions actives ni les jetons d’actualisation, et elle ne change rien aux applications OAuth auxquelles l’attaquant a donné son consentement. Révoquez les sessions et les jetons, examinez les autorisations OAuth et exigez la réinscription de l’AMF avant de considérer le compte comme sain.
- Comment savoir si l’attaquant a commis une fraude de paiement à partir de la boîte aux lettres?
- Vérifiez les Éléments envoyés et les Éléments supprimés, cherchez dans le journal d’audit unifié les messages envoyés pendant la période de compromission et repérez les règles de boîte de réception cachées qui ont fait disparaître les réponses. Avertissez ensuite, par téléphone, toutes les personnes à qui le compte a écrit au sujet de changements de coordonnées bancaires ou de factures.
- Quelqu’un peut-il simplement gérer cet incident avec nous?
- Oui, c’est ThreeShield. Un seul appel, et l’équipe qui conçoit Lavawall® gère l’incident avec vous.