已弃用 - Microsoft 365 用户帐户的潜在密码喷洒攻击
编辑已弃用 - Microsoft 365 用户帐户的潜在密码喷洒攻击
编辑识别出在 30 分钟内来自单个 IP 地址的大量（25 次）Microsoft 365 用户身份验证失败尝试，这可能表明存在密码喷洒攻击。攻击者可能会尝试密码喷洒攻击来获取对用户帐户的未经授权的访问权限。
规则类型: 阈值
规则索引:
- filebeat-*
- logs-o365*
严重性: 高
风险评分: 73
运行频率: 5 分钟
搜索索引范围: now-30m (日期数学格式，另请参见 额外的回溯时间)
每次执行的最大告警数: 100
参考资料: 无
标签:
- 域：云
- 数据源：Microsoft 365
- 用例：身份和访问审计
- 策略：凭据访问
版本: 208
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑此规则已弃用，取而代之的是 尝试暴力破解 Microsoft 365 用户帐户 (26f68dba-ce29-497b-8e13-b4fde1db5a2d)。
规则查询
编辑event.dataset:o365.audit and event.provider:(Exchange or AzureActiveDirectory) and event.category:authentication and
event.action:("UserLoginFailed" or "PasswordLogonInitialAuthUsingPassword")
框架: MITRE ATT&CKTM
-
策略
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：暴力破解
- ID：T1110
- 参考 URL：https://attack.mitre.org/techniques/T1110/