Главная мысль
Отслеживайте множество неудачных попыток для одного аккаунта и небольшое число попыток сразу для многих аккаунтов. Не записывайте пароли в журналы. Сочетайте MFA, ограничение попыток и защищённое восстановление с планом реагирования.
Различайте методы атак
При подборе пароля для выбранного аккаунта (brute force) проверяют множество вариантов; словарные и гибридные варианты начинают с вероятных паролей и их комбинаций. При password spraying один или несколько распространённых паролей проверяют на большом числе аккаунтов, обычно делая мало попыток для каждого. Credential stuffing — это повторная проверка пар «логин-пароль» из прошлых утечек на других сервисах. Методы различаются и могут оставлять разные сигналы.
Подбор пароля · brute force
Много попыток подбора для одного аккаунта; заметен рост неудачных входов.
Массовый подбор · password spraying
Один распространённый пароль проверяют на множестве аккаунтов; лимит попыток для отдельного аккаунта может не выявить общую закономерность.
Повторная проверка украденных пар логин–пароль
Пары из утечки повторно проверяют на других сервисах; уникальные пароли и MFA снижают риск.
Ищите закономерности в журналах входа
Не ограничивайтесь числом попыток с одного IP: распределённые атаки могут идти через множество адресов, прокси или ботнет. Сопоставляйте неудачные входы сразу в нескольких аккаунтах, попытки из новых и неожиданных мест, блокировки, отклонённые запросы MFA и успешный вход после серии ошибок. Учитывайте обычный график и VPN; географическое отклонение само по себе не доказывает компрометацию.
Создайте многоуровневую защиту входа
Используйте длинные уникальные пароли, менеджер паролей и устойчивую к фишингу MFA. Применяйте ограничение частоты и адаптивные задержки; учитывайте, что жёсткую блокировку аккаунтов могут использовать для отказа в обслуживании. При необходимости добавляйте CAPTCHA или меры против ботов, но не полагайтесь только на них. Научите пользователей отклонять и сообщать о неожиданных запросах MFA.
Восстановите защиту аккаунта при подозрении на взлом
При подозрении на компрометацию смените пароль с доверенного чистого устройства; отзовите активные сессии и токены, проверьте адрес и телефон восстановления, правила пересылки, разрешения приложений и регистрацию MFA. По утверждённой процедуре временно ограничьте аккаунт, сохраните журналы и проверьте, не использовался ли тот же пароль для других затронутых аккаунтов. Смена пароля не очищает скомпрометированное устройство и не удаляет работающее на нём вредоносное ПО.
Выявляйте повышение привилегий и доступ к чужим данным
Первоначальный доступ, повышение привилегий и перемещение между системами — разные цели, которые не всегда следуют друг за другом. Злоумышленник может сразу получить привилегированный аккаунт или повысить права уже после перехода на другую систему.
Вертикальное повышение
Обычный аккаунт получает права администратора или root. Устанавливайте обновления ОС; проверяйте разрешения файлов, каталогов и задач служб, работающих с повышенными правами.
Доступ к данным другого пользователя
Пользователь получает доступ к чужому заказу, документу или профилю без смены роли. Сервер должен проверять владельца объекта и разрешение при каждом обращении.
Следы в журналах и на устройствах
Исследуйте неожиданные изменения групп администраторов и ACL, новые службы и задания, остановку защитного агента и вмешательство в привилегированные процессы. Сопоставляйте события SIEM и контекст процессов EDR с согласованными изменениями.