Расследование кражи сессий AiTM в Microsoft 365: практическое руководство для SOC

20-минутный разбор логов реального вторжения типа «злоумышленник в центре управления безопасностью», разработанный для аналитиков SOC. Комплект AiTM перехватил сеанс Microsoft 365, успешно прошедший многофакторную аутентификацию (MFA), во время экстренного восстановления после MFA. Злоумышленник воспроизвел его 21 час спустя через 17 резидентных прокси, получил доступ к каталогу с помощью скрипта и искал сотрудников отделов заработной платы, кадров и финансов. Мы подробно рассматриваем каждый этап, начиная с логов входа в Entra, журналов активности Microsoft Graph и заканчивая Defender for Identity, а затем показываем, как искать уязвимость. Вы узнаете: • Как фишинг с использованием обратного прокси крадет сессии после успешной многофакторной аутентификации и какие методы ему противостоят • Признаки перехвата при входе в систему: несоответствие браузера и ОС, время перенаправления • Почему группировка по SessionId выявляет повторное воспроизведение, которое не обнаруживается при анализе по IP-адресу • Как читать 60-терминированный поисковый запрос Graph $search злоумышленника и размер ответа • Как объединение токенов доказывает использование инструмента: токены из входа в Firefox 151, потраченные Firefox 131 и axios • Разрыв в гибридной идентификации, который сохранил пароль действительным после сброса в локальной сети • Шесть поисков KQL, когда каждый из них срабатывает, и сценарий реагирования на кражу токенов Главы 0:00 Введение 0:37 1 · Как работает AiTM 2:24 2 · День 0: первоначальный доступ 5:45 3 · Ожидание и повторное воспроизведение 8:12 4 · Graph разведка 11:01 5 · Отпечаток инструмента 13:01 6 · Сдерживание и возвращение 15:03 7 · Шесть поисков 17:37 8 · Реагирование и защита 19:11 9 · Итоги Перед развертыванием проверяйте каждый запрос на соответствие схеме вашей рабочей области. Этот случай очищен: клиенты, пользователи, IP-адреса и идентификаторы удалены. Поля журнала, коды ошибок и запросы злоумышленников воспроизводятся в том виде, в котором они были записаны. Сначала посмотрите 3-минутное пояснение:    • How Attacker in the Middle Works   Fluency Security · fluencysecurity.com #AiTM #SOC #ThreatHunting #KQL #Microsoft365