Un compte utilisateur montre de l'activité depuis un nouveau pays mais il n'y a aucune demande de MFA échouée. Comment enquêtez-vous ?

Suspectez des jetons de session volés ou un proxy d'adversaire au milieu plutôt qu'une attaque sur le mot de passe. Sortez les journaux de connexion et comparez les identifiants de session, les identifiants d'appareil, les agents utilisateur et la réputation des IP à la base de référence de cet utilisateur. Un jeton rejoué montre en général un identifiant de session existant qui arrive depuis une nouvelle adresse. Révoquez les jetons de rafraîchissement, forcez une réauthentification, puis passez en revue les règles de boîte mail, les méthodes MFA enregistrées et les consentements d'applications OAuth.

Aucun échec de MFA avec une nouvelle géographie pointe vers une session volée plutôt qu'un mot de passe deviné, donc je vais droit à la télémétrie de connexion. Je compare l'identifiant de session et l'identifiant d'appareil à l'historique de l'utilisateur : si le même identifiant de session apparaît depuis une nouvelle adresse avec un agent utilisateur différent, c'est un jeton rejoué, pas une nouvelle connexion. Je vérifie si l'accès conditionnel a seulement été évalué, et si la connexion d'origine est passée par un motif de proxy cohérent avec un kit de phishing d'adversaire au milieu. L'ordre de confinement compte ici. Réinitialiser le mot de passe ne tue pas un jeton de rafraîchissement existant, donc je révoque d'abord les sessions et les jetons de rafraîchissement, puis je réinitialise, puis j'exige une réauthentification sur les appareils gérés. Ensuite je chasse la persistance : nouvelles règles de boîte mail, consentements OAuth ajoutés, méthodes MFA nouvellement enregistrées, délégation de boîte. Dans le cas que j'ai traité, l'attaquant avait ajouté une règle qui classait tout ce qui contenait le mot facture dans un dossier d'archive, ce qui a trahi le motif de fraude au courriel professionnel.