Device code phishing toimib, sest ohver logib sisse ehtsal Microsofti lehel. Seega pole ühtegi võltssisselogimist, mida märgata, ega sarnase nimega domeeni, mida blokeerida. Praktiline kaitse on voog välja lülitada kõigil, kes seda ei vaja. Microsofti enda juhis on jõuda device code flow blokeerimisel võimalikult lähedale ühtsele keelule ning seda saab teha ühe Conditional Access poliitikaga.
Milleks device code flow mõeldud on
Voog on loodud seadmetele, millel pole brauserit või kus tippimine on liiga ebamugav. RFC 8628 nimetab nutiteleriid, meediakonsoole, digitaalseid pildiraame ja printereid. Seade ise sisselogimislehte ei näita. Ta palub kasutajal avada URL teises seadmes, näiteks telefonis, ja sisestada lühike kood.
Klient saadab oma kliendi identifikaatori autoriseerimisserverile ning saab vastu väärtused device_code, user_code, verification_uri ja expires_in. Kuni kasutaja teises seadmes sisse logib, pärib klient token endpointilt device_code abil tulemust, kuni saab access tokeni, vea või korralduse jätkata ootamist.
Microsoft identity platformis on endpointid /devicecode ja /token. Microsofti dokumentatsiooni järgi on kasutajal vaikimisi sisselogimiseks 15 minutit ning refresh token väljastatakse siis, kui küsitud scope sisaldas väärtust offline_access.
Miks see phishingus toimib
Koodi küsib klient. Sisse logib aga see, kelle käes kood on. Protokoll ei nõua, et need oleksid sama inimene, ja RFC 8628 loetleb turvaaspektide hulgas "Remote Phishing'u" (jaotis 5.4).
Ründaja saab seega esineda seadmena. Ta küsib koodi, andes ette client_id (ja scope'i, mida Microsofti endpoint nõuab), ning saadab user_code'i sihtmärgile koos sobiva ettekäändega. Sihtmärk avab ehtsa kinnituslehe, logib sisse ja sisestab koodi. Ründaja klient, mis kogu aeg päringuid teeb, saab tokenid kätte.
Parool ei satu kunagi ründaja kontrollitud lehele. Seetõttu pole domeenidel ja URL-idel põhinevatel kontrollidel, näiteks meie lingikontrollil, siin midagi märgistada.
Ründaja sõltub siiski ohvrist. Sihtmärk peab sisse logima ja koodi sisestama enne, kui expires_in täis saab (vaikimisi 15 minutit), muidu lõpeb päring veaga expired_token. Isiklike kontode kasutajatel palutakse lisaks uuesti sisse logida ja küsitud õigustega nõustuda.
Koolituseks on üks kasulik tunnus. Microsoft ei toeta verification_uri_complete välja, mis on valikuline väli ja kannab koodi URL-is. Õpetada tasub just seda mustrit: "keegi saatis mulle koodi, mida Microsofti sisselogimislehele sisestada".
Device code sisselogimiste tuvastamine
Microsoft soovitab poliitikat, mis auditeerib voo olemasolevat kasutust, ja report-only režiim annab täpselt selle. Looge allpool kirjeldatud poliitika režiimis Report-only ning vaadake poliitika mõju tulemusi, et näha, keda ja mida oleks blokeeritud.
Jooksvaks jahtimiseks filtreerige Entra sign-in logidest device code sisselogimised ja grupeerige need kasutaja ja rakenduse järgi. See on praktiku juhis, siin viidatud Microsofti lehed seda ei dokumenteeri. Sisselogimine kasutajalt, kellel pole ühtegi seadet ega tööriista, mis voogu kasutaks, või rakenduselt, mida keegi nimetada ei oska, väärib vestlust. Küsige kasutajalt, millise sõnumi ta sai.
Voo blokeerimine Conditional Accessiga
Klikkide järjekord on Microsofti Conditional Access juhendis. Logige sisse vähemalt Conditional Access Administrator'ina, minge Entra ID > Conditional Access > Policies ja looge uus poliitika. Lisage kõik kasutajad ja All resources. Valikus Conditions > Authentication Flows seadke Configure väärtusele Yes ja valige Device code flow. Valikus Grant valige Block access ning seadke Enable policy väärtusele Report-only. Lülitage poliitika olekusse On pärast tulemuste läbivaatamist.
Sama leht käsitleb ka authentication transfer'i blokeerimist, mis lubab kasutajal sisselogimise arvutist mobiilseadmesse üle tuua. See kasutab sama Authentication Flows tingimust, seega otsustage selle üle samal istungil.
Microsofti nõuanne on lubada voogu ainult hästi dokumenteeritud ja kaitstud kasutusjuhtudel, näiteks vanade tööriistade puhul, mida ei saa uuendada.
Selle jaoks, mis peab alles jääma, looge eraldi erandirühm nimega, mis ütleb, milleks see on. Märkige iga liikme kohta omanik ja põhjus ning auditeerige nimekirja regulaarselt, nagu Microsoft soovitab. Hoidke erandite hulgas ka hädapääsukontod (break-glass), et poliitika vale seadistuse korral end välja ei lukustaks.
Lisaks märgib Microsoft, et service principal'ite tehtud kutseid kasutajatele suunatud poliitikad ei blokeeri, ning soovitab skriptides või koodis kasutatavad teenusekontod asendada managed identity'tega.
Kui code phish on juba õnnestunud
Eeldage, et ründaja käes on tokenid, mitte ainult parool. Refresh tokeniga saab hankida uusi access tokeneid, seega tühistage kõigepealt kasutaja sessioonid ja alles seejärel lähtestage parool. See on praktiku juhis, mitte eespool viidatud allikatest.
Seejärel vaadake üle kontoga seotud enterprise application'id ja consent grant'id ning eemaldage need, mida te ei tunne. Kontrollige postkasti reeglite suhtes, mida te ise loonud pole, eriti edasisuunamis- ja kustutamisreeglite osas.
Laiendage jahti ühest kasutajast kaugemale, käivitades eespool nimetatud device code filtri teistel kontodel ja otsides sama rakendust. Kui ohustatud võib olla rohkem kui üks konto, järgige korralikku reageerimisprotsessi. Meie intsidentidele reageerimise meeskond saab seda koos teiega läbi viia ning meie blogis leiate intsidentidele reageerimise ja phishingu juhiseid koolituse jaoks.
Kust alustada
- Koostage nimekiri kõigist seadmetest, skriptidest ja tööriistadest, mis võivad koodiga sisse logida: printerid, teleriid, IoT-seadmed, käsurea tööriistad. Küsige iga omanikult, kas see seda teeb.
- Looge Conditional Access poliitika, kus on valitud Device code flow, kõik kasutajad on haardes ja break-glass kontod on välja jäetud, režiimis Report-only. Otsustage samal ajal ka authentication transfer'i tingimuse üle.
- Vaadake läbi report-only tulemused ja logides olevad device code sisselogimised. Parandage või kaotage iga õigustatud kasutus ning pange alles jääv nimelisse erandirühma koos omanikuga.
- Lülitage poliitika olekusse On ja pange erandirühma audit kalendrisse.
- Kirjutage üles reageerimise sammud (sessioonide tühistamine, enterprise application'ite ja consent grant'ide ülevaatus, postkasti reeglite kontroll). Öelge töötajatele, et kood, mida nad ise ei küsinud ja mis tuleb seadmest, mida nad käes ei hoia, on phishingukatse.
