› › ›

Azure 用户的多因素身份验证已禁用

Azure 用户的多因素身份验证已禁用编辑

识别何时为 Azure 用户帐户禁用了多因素身份验证 (MFA)。攻击者可能会禁用用户帐户的 MFA，以降低帐户的身份验证要求。

规则类型：查询

规则索引:

严重程度：中等

风险评分: 47

运行频率：5 分钟

搜索的索引范围：now-25m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考：无

标签:

版本: 105

规则作者:

规则许可证：Elastic 许可证 v2

分类和分析

调查 Azure 用户的多因素身份验证已禁用

多因素身份验证是在登录过程中提示用户提供另一种形式的身份证明，例如手机上的代码或指纹扫描。

如果您仅使用密码对用户进行身份验证，则会留下一个不安全的攻击向量。如果密码强度较弱或已在其他地方泄露，攻击者可能会利用它来获取访问权限。当您需要第二种身份验证形式时，安全性会提高，因为这种附加因素不是攻击者容易获取或复制的。

有关在 Azure AD 中使用 MFA 的更多信息，请访问官方文档。

此规则识别 Azure 用户帐户的 MFA 何时被停用。此修改会削弱帐户安全性，并可能导致帐户和其他资产遭到入侵。

可能的调查步骤

误报分析

响应和修复

根据分类结果启动事件响应流程。
在调查和响应期间禁用或限制该帐户。
确定事件的可能影响并确定优先级；以下操作可以帮助您了解情况
确定该帐户在云环境中的角色。
评估受影响的服务和服务器的关键程度。
与您的 IT 团队合作，最大限度地减少对用户的影响。
确定攻击者是否正在横向移动并入侵其他帐户、服务器或服务。
确定与此活动相关的任何监管或法律后果。
调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有遭到入侵的帐户。根据需要重置密码或删除 API 密钥，以撤销攻击者对环境的访问权限。在执行这些操作期间，与您的 IT 团队合作，最大限度地减少对业务运营的影响。
为用户重新激活多因素身份验证。
查看分配给相关用户的权限，以确保遵循最小权限原则。
实施Microsoft 提供的安全默认值。
确定攻击者最初利用的攻击途径，并采取行动防止通过同一途径再次感染。
使用事件响应数据更新日志记录和审核策略，以缩短平均检测时间 (MTTD) 和平均响应时间 (MTTR)。

要与此规则兼容，需要使用 Azure Fleet 集成、Filebeat 模块或结构类似的数据。

event.dataset:azure.auditlogs and azure.auditlogs.operation_name:"Disable Strong Authentication" and event.outcome:(Success or success)

框架：MITRE ATT&CK^TM