Microsoft presenta una función de vista previa para bloquear aplicaciones OAuth maliciosas

Los actores de amenazas están incorporando cada vez más aplicaciones OAuth maliciosas en sus campañas para penetrar sistemas y aplicaciones basados ​​en la nube. Para abordar este creciente problema, Microsoft está ampliando su oferta de detección y respuesta avanzada (XDR) para incluir capacidades de interrupción automática de ataques que pueden desactivar automáticamente aplicaciones OAuth maliciosas.

OAuth (Estándar de autenticación abierto) permite inicios de sesión automatizados en aplicaciones y sistemas a través de tokens API. La autenticación OAuth proporciona una forma segura de autenticar a los usuarios y proteger sus datos al permitir inicios de sesión automatizados en aplicaciones y sistemas a través de tokens API. OAuth permite a los usuarios acceder a varias cuentas sin tener que ingresar credenciales cada vez que inician sesión.

Sin embargo, también se abusa de ellos. En diciembre, Microsoft Threat Intelligence descubrió varios ataques que comprometían las cuentas de los usuarios de los servicios en la nube de Microsoft, permitiéndoles crear, modificar y otorgar amplios derechos de acceso. Los atacantes pudieron conservar el acceso a las aplicaciones incluso después de perder el acceso a la cuenta que piratearon originalmente. Con este acceso, los actores de amenazas pudieron lanzar ataques de phishing y de rociado de contraseñas en cuentas de usuarios que carecían de una autenticación sólida. Con privilegios elevados, los atacantes podrían lanzar campañas de spam utilizando los recursos y nombres de dominio de las víctimas o establecer persistencia en el entorno de la víctima.

“Una vez que a una aplicación OAuth se le otorga permiso de inicio de sesión, puede hacer muchas cosas. Y si das permiso a una aplicación OAuth maliciosa, puede iniciar sesión como tú y actuar en el sistema como si fueras tú, y detener esa actividad maliciosa es realmente importante”, dice Sherrod DeGrippo, director de inteligencia de amenazas de Microsoft. estrategia.

La semana pasada el servicio de almacenamiento en línea Dropbox advirtió que un atacante tenía Acceso a las credenciales de cliente para su servicio Dropbox Sign y aconsejó a los profesionales de seguridad que rotaran sus claves y tokens API y OAuth.

Ampliación de funciones del Defender XDR

El año pasado, Microsoft agregó métodos de relleno de credenciales y contraseñas a Defender. Según DeGrippo, Defender XDR ahora detiene muchos ataques de ransomware y BEC en tres minutos.

La última característica, que Microsoft presentará esta semana en la conferencia RSA en San Francisco, California, se centra en mitigar los ataques a aplicaciones basadas en SaaS que utilizan aplicaciones OAuth maliciosas. Microsoft escribió en una publicación anunciando la característica que Defender «Attack Disruption ahora no solo detiene los ataques a aplicaciones OAuth, sino que también puede interrumpir significativamente escenarios adicionales que involucran a un usuario comprometido, como: «Por ejemplo, credenciales filtradas, relleno y conjeturas», dijo la compañía.

Microsoft también ha agregado protección nativa para tecnología operativa (OT) y sistemas de control industrial (ICS) en Defender XDR. Microsoft dice que los defensores ahora pueden detectar y responder a amenazas en todos los sistemas OT y analizar el estado de seguridad de su sistema de control industrial a través del portal Defender XDR.

A medida que los atacantes utilizan la IA para acelerar la velocidad de sus ataques, los funcionarios de Microsoft dicen que la IA es necesaria para mantenerse al día. Según Forrester Research, el tiempo promedio para detectar, responder, remediar y recuperarse de un ataque es de 63 días. Y según un análisis reciente de Microsoft, los atacantes inician el movimiento lateral dentro de una organización en cinco minutos, mientras que pueden completar una cadena de ataque completa en dos horas.

«La IA se está aprovechando en gran medida, no sólo dentro de nuestra capacidad de detección, sino también dentro de esa capacidad de interrupción», afirma DeGrippo. «Como todo lo que hacemos, queremos ser más rápidos que un actor de amenazas, y la IA es una de esas cosas que te da el poder de la velocidad».