已弃用 - 潜在的 Microsoft 365 用户帐户密码喷洒
编辑已弃用 - 潜在的 Microsoft 365 用户帐户密码喷洒
编辑识别在 30 分钟内来自单个 IP 地址的大量（25 次）失败的 Microsoft 365 用户身份验证尝试，这可能是密码喷洒攻击的迹象。攻击者可能会尝试进行密码喷洒攻击以获取对用户帐户的未经授权的访问。
规则类型: 阈值
规则索引:
- filebeat-*
- logs-o365*
严重性: 高
风险评分: 73
每隔: 5m
搜索索引自: now-30m (日期数学格式，另请参见 其他回溯时间)
每次执行的最大警报数: 100
参考: 无
标签:
- 领域：云
- 数据源：Microsoft 365
- 用例：身份和访问审计
- 策略：凭据访问
版本: 208
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑此规则已被弃用，取而代之的是 尝试对 Microsoft 365 用户帐户进行暴力破解 (26f68dba-ce29-497b-8e13-b4fde1db5a2d)。
规则查询
编辑event.dataset:o365.audit and event.provider:(Exchange or AzureActiveDirectory) and event.category:authentication and
event.action:("UserLoginFailed" or "PasswordLogonInitialAuthUsingPassword")
框架: MITRE ATT&CKTM
-
策略
- 名称：凭据访问
- ID：TA0006
- 参考网址：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考网址：https://attack.mitre.org/techniques/T1110/