Əsas fikir
Giriş jurnallarında həm bir hesaba yönəlmiş çoxsaylı uğursuz cəhdləri, həm də çox hesaba yayılan azsaylı cəhdləri izləyin. Parolları jurnala yazmayın. MFA, riskə uyğun cəhd məhdudiyyətləri və qorunan bərpa prosesi ilə cavab planı qurun.
Hücum üsullarını fərqləndirin
Hesaba yönəlmiş parol təxmini (brute force) bir hesab üçün çoxsaylı parol variantlarını sınayır; lüğət və hibrid yanaşmalar ehtimal olunan parol variantlarından başlayır. Password spraying bir və ya az sayda ümumi parolu çox hesabda, adətən hər hesab üzrə az cəhdlə yoxlayır. Credential stuffing isə əvvəlki sızmadan əldə edilən istifadəçi adı və parol cütlərini başqa xidmətlərdə təkrar sınayır. Bu üsullar eyni deyil və eyni siqnalı yaratmaya bilər.
Parol təxmini · brute force
Bir hesabda çoxsaylı parol təxminləri; uğursuzluqların sürətli artımı görünə bilər.
Kütləvi parol sınağı · password spraying
Bir yayılmış parol çox hesabda sınanır; hər hesab üzrə ayrıca cəhd limiti ümumi hücum nümunəsini aşkar etməyə bilər.
Sızmış giriş məlumatlarının təkrar sınanması
Sızmış giriş cütləri başqa xidmətlərdə təkrar istifadə olunur; unikal parol və MFA təsiri azaldır.
Giriş jurnallarında nümunələri axtarın
Yalnız bir IP-dən gələn cəhd sayına baxmayın: paylanmış hücumlar çox mənbədən, proksi və ya botnetdən gələ bilər. Bir çox hesabda təkrarlanan uğursuz girişləri, yeni və gözlənilməz yerlərdən cəhdləri, bloklama hadisələrini, MFA rəddlərini və uğursuz cəhdin ardınca gələn uğurlu girişi əlaqələndirin. Normal iş və VPN istifadə nümunələrini nəzərə alın; coğrafi fərq təkbaşına hesabın ələ keçirildiyini sübut etmir.
Giriş müdafiəsini qatlarla qurun
Uzun və unikal parollar, parol meneceri və fişinqə davamlı MFA parol oğurluğunun təsirini azaldır. Giriş nöqtələrində sürət məhdudiyyəti və adaptiv gecikmə tətbiq edin; sərt hesab bloklamasının hücumçular tərəfindən xidməti dayandırmaq üçün sui-istifadə edilə biləcəyini nəzərə alın. Riskə uyğun CAPTCHA və ya bot əleyhinə tədbirlər əlavə edin, lakin bunları yeganə müdafiə saymayın. İstifadəçilərə gözlənilməz MFA sorğusunu rədd etməyi və məlumat verməyi öyrədin.
Şübhəli hesabı təhlükəsiz bərpa edin
Kompromis ehtimalı varsa, etibarlı və təmiz cihazdan parolu dəyişin; aktiv sessiyaları və tokenləri ləğv edin, bərpa e-poçtu və telefonunu, yönləndirmə qaydalarını, tətbiq icazələrini və MFA qeydiyyatını yoxlayın. Təsdiqlənmiş insident prosesinə əsasən hesabı müvəqqəti məhdudlaşdırın, jurnalları qoruyun və təsirə məruz qalmış digər hesablar üçün eyni parolun istifadə olunub-olunmadığını araşdırın. Parol dəyişikliyi ələ keçirilmiş cihazı və ya davam edən zərərli proqramı təmizləmir.
Səlahiyyət artımını və başqa hesaba çıxışı aşkarlayın
İlkin giriş, səlahiyyət artımı və sistemlər arasında hərəkət fərqli məqsədlərdir; onlar həmişə eyni ardıcıllıqla baş vermir. Hücumçu artıq səlahiyyətli hesabı ələ keçirə və ya başqa sistemə keçdikdən sonra yeni hüquqlar əldə edə bilər.
Şaquli artım
Adi hesab administrator və ya root hüquqları əldə edir. Əməliyyat sistemi yeniləmələrini tətbiq edin; yüksək səlahiyyətlə işləyən xidmətlərin fayl, qovluq və tapşırıq icazələrini yoxlayın.
Üfüqi giriş pozuntusu
İstifadəçi rolunu dəyişmədən başqa istifadəçinin sifarişinə, sənədinə və ya profilinə çıxış əldə edir. Server hər sorğuda obyektin sahibini və icazəni yoxlamalıdır.
Jurnallarda və son cihazlarda izlər
Gözlənilməz administrator qrupları, ACL dəyişiklikləri, yeni xidmətlər və planlı tapşırıqlar, təhlükəsizlik agentinin dayandırılması və yüksək səlahiyyətli proseslərə müdaxiləni araşdırın. SIEM hadisələri ilə EDR proses kontekstini təsdiqlənmiş dəyişikliklərlə müqayisə edin.