Добро пожаловать в нашу серию блогов из двух частей о новом усовершенствовании безопасности электронной почты Microsoft, которое теперь включено в лицензии Office 365 P1: защита токенов сеансов.
В части 1 мы объясним, что такое кража токенов сеансов, почему она становится всё более серьёзной угрозой и как организации могут от неё защититься. Мы также отметим важный шаг Microsoft по включению этой функции в лицензии P1, ранее доступной только пользователям E5 и Entra ID P2.
Затем во второй части (которая выйдет через две недели) мы сосредоточимся на практических советах по внедрению для MSP-провайдеров и покажем, как развернуть эту критически важную функцию безопасности для клиентов, используя стандартные процессы.
1. Что такое кража сессий токенов и почему ее число резко возросло?
Кража токенов сессии, также известная как кража токенов или перехват сессии , происходит, когда злоумышленники крадут токены сессии у авторизованных пользователей (часто с помощью фишинга или вредоносного ПО) и используют их для выдачи себя за этих пользователей, обходя средства аутентификации, такие как пароли и многофакторная аутентификация (MFA).
Почему это набирает популярность
MFA не помогает: как только захвачен действительный токен, MFA становится бесполезным, злоумышленники воспроизводят украденный токен, чтобы получить доступ к сервисам без дальнейшей аутентификации.
Быстрый рост использования векторов: Microsoft сообщает о росте числа атак с целью кражи токенов на 111% по сравнению с прошлым годом, при этом за год было зарегистрировано около 147,000 XNUMX инцидентов.
Сложный фишинг и вредоносных программ кампании: Злоумышленники используют такие инструменты, как Evilginx, для проксирования сеансов входа в систему, извлечения учетных данных и токенов, а также выполнения воспроизведения учетных данных, даже если включена многофакторная аутентификация.
2. Что такое защита токенов и как она работает?
Защита токенов, иногда называемая привязкой токенов, — это функция условного доступа (УД) в Microsoft Entra ID, которая криптографически привязывает токены сеанса (например, PRT или токены обновления) к конкретному устройству, на котором они были выпущены. Результат: даже если токен украден, его можно использовать только на исходном устройстве.
Основные требования и механизмы:
Привязка устройства: Токены привязаны к устройствам, подключенным/гибридно подключенным/зарегистрированным в Microsoft Entra и работающим под управлением Windows 10 или более поздней версии.
Поддерживаемые платформы/приложения (в предварительной версии): Exchange Online, SharePoint Online, синхронизация с OneDrive, клиент Teams для настольных ПК, Power BI, Microsoft Graph PowerShell, Visual Studio 2022 с брокером WAM, приложение Windows и т. д.
Настройка политики условного доступа:
Только для устройств Windows
Выберите клиентские приложения: мобильные и настольные клиенты
В разделе «Управление сеансом» включите параметр «Требовать защиту токеном для сеансов входа».
Лучшие практики развертывания:
Запустите в режиме «только отчет» для контроля совместимости
Пилот с небольшими группами
Используйте журналы входа и инструменты влияния политики для проверки статуса привязки перед ее применением.
Другие уровни защиты:
Устройство закалки: Требование управляемых/совместимых устройств через Intune + Defender для конечной точки, включение Credential Guard, защита от несанкционированного доступа, предотвращение вредоносных программ для минимизации первоначального риска кражи токенов
Правила условного доступа:
Политики входа на основе оценки риска (через Entra ID Protection) для блокировки или отзыва доступа в случае ненормального поведения или попыток обхода MFA
Сетевые средства контроля, такие как глобальный безопасный доступ (соответствующее сетевое обеспечение) или привязка IP-адресов для предотвращения повторного воспроизведения токенов из неавторизованных мест
Оценка непрерывного доступа (CAE): Отмена сеанса в режиме реального времени при обнаружении подозрительной активности, например невозможности совершить поездку или доступа к новому IP-адресу.
3. Уровни лицензирования Microsoft, поддерживающие эти меры защиты
Entra ID P1 (Microsoft 365 Business Premium, M365 E3 или автономный P1)
Требуется для функции защиты токена условного доступа в предварительной версии.
Обеспечивает принудительное использование токенов, привязанных к устройству, с помощью политик условного доступа
Входит в состав Microsoft 365 Business Premium и Microsoft 365 E3 в качестве базового варианта
Entra ID P2 или Entra Suite
Включает защиту Entra ID, которая отделена от защиты токенов.
Обеспечивает расширенную защиту личности на основе оценки рисков: политики доступа на основе оценки рисков, возможности обнаружения, расследования и устранения таких рисков, как политика оценки рисков при входе в систему и политика оценки рисков для пользователей.
Entra Suite объединяет P2 с инструментами управления сетевым доступом и идентификацией (примерно от 12 долларов США за пользователя в месяц)
Уровень лицензии
Защита токенов (CA)
Доступ на основе риска (защита личности)
Entra ID P1 (включая M365 E3 / SMB Business Premium)
✅ Да (предварительный просмотр, привязан к устройству)
❌ нет
Entra ID P2 / Entra Suite
✅ да
✅ да
4. Краткое содержание видео: изучение функции защиты токенов Microsoft. В этом видео рассматриваются следующие темы:
Что такое токены и как их можно украсть
Демонстрации фишинга и кражи токенов с помощью вредоносного ПО
Как Token Protection привязывает токены к устройству
Пошаговая настройка условного доступа для доступа к Exchange и SharePoint в Windows
Дополнительные меры, такие как Defender, соответствие требованиям Intune, политики на основе рисков, CAE и соответствующие сетевые элементы управления
5. Почему важно внедрять эти меры защиты
Останавливает атаки с повторным воспроизведением токенов: Даже если вредоносное ПО извлекает PRT или токены обновления, их невозможно воспроизвести на другом устройстве.
Нейтрализует тактику обхода МИД: Злоумышленники не могут повторно запросить MFA после кражи токена, но привязка токена восстанавливает контроль.
Обеспечение соблюдения требований: Доступ к конфиденциальным ресурсам могут получить только одобренные устройства и клиентские приложения.
Улучшенное обнаружение инцидентов: Политики, основанные на оценке рисков, и CAE обеспечивают реагирование на необычную активность в режиме реального времени.
Низкая стоимость лицензирования при высоком эффекте: Entra ID P1 по цене ~$6 за пользователя в месяц добавляет новый значительный уровень защиты.
Окончательный вердикт
Атаки с использованием токенов быстро распространяются, поскольку они обходят традиционную многофакторную аутентификацию и полностью крадут доступ. Защита токенов от Microsoft (входит в состав Entra ID P1) надежно привязывает токены к устройствам с помощью условного доступа, блокируя повторное использование токенов на неавторизованных машинах. Для полного обнаружения рисков, связанных с идентификацией, и автоматического устранения последствий, обновление до Entra ID P2 или Entra Suite включает в себя защиту идентификационных данных, условный доступ и более глубокие политики управления рисками. Вместе эти многоуровневые средства защиты значительно снижают угрозы компрометации корпоративной электронной почты (BEC) и повторного использования токенов.
Оставайтесь с нами
Через две недели мы опубликуем вторую часть этой серии , где подробно рассмотрим рекомендации по внедрению для MSP-провайдеров. Мы расскажем, как настроить защиту токенов в Entra ID P1, каких ошибок следует избегать и как сделать это стандартной частью вашей системы безопасности клиентов. Не пропустите, здесь политика встречается с практикой.
Будьте в курсе последних новостей идеи безопасности
Узнавайте и делитесь последними тенденциями, советами и передовыми методами в области кибербезопасности, а также новыми угрозами, на которые следует обратить внимание.
