किसी यूजर account पर एक नए देश से गतिविधि दिख रही है पर कोई नाकाम MFA prompt नहीं है। आप जांच कैसे करते हैं?

password पर हमले के बजाय चोरी हुए session token या बीच में बैठे किसी adversary proxy का शक करें। sign in log निकालें और session ID, device ID, user agent और IP की प्रतिष्ठा को उस यूजर के baseline से मिलाएं। दोबारा चलाया गया token आमतौर पर किसी मौजूदा session ID को नए address से आते हुए दिखाता है। refresh token रद्द करें, दोबारा authentication करवाएं, फिर inbox rule, रजिस्टर की गई MFA method और OAuth application की सहमतियां देखें।

नए भूगोल के साथ कोई नाकाम MFA न होना, यह अंदाजे गए password के बजाय चुराए गए session की तरफ इशारा करता है, इसलिए मैं सीधे sign in telemetry पर जाता हूं। मैं session identifier और device identifier को यूजर के इतिहास से मिलाता हूं: अगर वही session ID किसी नए address से अलग user agent के साथ दिखती है, तो वह दोबारा चलाया गया token है, कोई नया login नहीं। मैं देखता हूं कि conditional access का मूल्यांकन हुआ भी था या नहीं, और यह भी कि असली sign in किसी ऐसे proxy पैटर्न से आया था या नहीं जो बीच में बैठे phishing kit से मेल खाता हो। यहां रोकथाम का क्रम मायने रखता है। password reset करने से मौजूदा refresh token नहीं मरता, इसलिए मैं पहले session और refresh token रद्द करता हूं, फिर reset करता हूं, फिर managed device पर दोबारा authentication अनिवार्य करता हूं। उसके बाद मैं persistence ढूंढता हूं: नए inbox rule, जोड़ी गई OAuth सहमतियां, नई रजिस्टर हुई MFA method, mailbox delegation। जिस मामले पर मैंने काम किया, वहां हमलावर ने ऐसा rule जोड़ा था जो invoice शब्द वाली हर चीज एक archive folder में डाल देता था, और उसी से business email compromise की मंशा उजागर हुई।