- Gestolen inloggegevens zorgen voor initiële toegang bij meer dan 80% van de inbreuken op ondernemingen (Verizon DBIR). Tegenstander-in-het-midden-aanvallen hebben die kloof vergroot, niet verkleind.
- AiTM-proxyaanvallen geven uw inloggegevens en MFA-uitdaging door aan de echte inlogservice, leggen het sessietoken vast en retourneren een normale succesvolle login. TOTP en pushmeldingen bieden geen bescherming.
- FIDO2-wachtwoorden en hardwarebeveiligingssleutels stoppen AiTM-aanvallen omdat de cryptografische uitdaging gebonden is aan de exacte oorsprong-URL. Een phishing-domein krijgt een andere uitdaging en kan niets ondertekenen.
- Pass-the-cookie-aanvallen spelen gestolen sessietokens opnieuw af zonder dat er inloggegevens vereist zijn. Beleid voor de levensduur van tokens, naleving van het apparaat met voorwaardelijke toegang en CAE zijn de primaire controles.
- MFA-vermoeidheidsaanvallen verzenden pushmeldingen snel achter elkaar totdat een gebruiker er een goedkeurt om ze te laten stoppen. Nummermatching voorkomt dit: de gebruiker moet een nummer typen dat op het inlogscherm wordt weergegeven, dus automatisch tikken doet niets.
- Credential-verdediging vereist phishing-bestendige MFA op geprivilegieerde accounts, voorwaardelijke toegang met apparaatcompliance, korte tokenlevensduur en waarschuwingen over onmogelijke reizen en voor het eerst geziene apparaataanmeldingen.
Inloggegevens zijn de belangrijkste inbreukvector
De rapportage over bedrijfsinbreuken in de jaren 2010 concentreerde zich op malware: ransomwaregroepen, implantaten van natiestaten, zero-day-exploits. Aanvallers zijn sindsdien overgestapt op diefstal van inloggegevens. Het is goedkoper, sneller en moeilijker te detecteren. Een legitiem account dat zich aanmeldt via een geautoriseerde identiteitsprovider ziet eruit als een normale login voor de meeste monitoringsystemen.
De Verizon DBIR plaatst gestolen inloggegevens bij meer dan 80% van de hackgerelateerde inbreuken. Het aanbod is enorm: HaveIBeenPwned indexeert meer dan 13 miljard geschonden accounts uit honderden historische inbreuken. Stuffingtools testen deze op schaal met verzoekbeperking en IP-rotatie om snelheidsbeperking te voorkomen.
MFA stopt het opvullen van inloggegevens en de meeste geautomatiseerde aanvallen. Aanvallers pasten zich aan. Een subset richt zich nu op de authenticatiesessie in plaats van op de inloggegevens, en TOTP of pushmeldingen bieden geen bescherming tegen deze aanvallen.
Zes bypass-methoden
Credential-aanvallen verschillen afhankelijk van waarop ze zich richten en hoe ze slagen. Een controle die het opvullen van referenties stopt, kan niets doen tegen diefstal van sessietokens.
Wat elk MFA-type eigenlijk tegenhoudt
De MFA-factorkeuze bepaalt het aanvalsoppervlak. SMS OTP en pushmeldingen voorkomen het opvullen van inloggegevens. Geen van beide stopt een realtime AiTM-aanval. Als u weet waar de bescherming van elke factor eindigt, weet u welke u eerst moet upgraden.
* FIDO2 stopt AiTM bij authenticatie, maar beschermt sessietokens niet na een legitieme login. Apparaatcompliance en CAE zijn vereist voor de beveiliging na authenticatiesessies.
Wat FIDO2 anders maakt
TOTP-codes, pushgoedkeuringen en sms-berichten delen allemaal één eigenschap: ze kunnen worden doorgestuurd. De gebruiker voltooit de uitdaging en de proxy geeft deze door. De sessie wordt geopend. De proxy neemt de cookie.
FIDO2 werkt anders. De privésleutel bevindt zich op het apparaat en verlaat deze nooit. De browser ondertekent een uitdaging die de aanvragende oorsprong-URL bevat. Een phishing-domein op login-microsoft-365.com krijgt een uitdaging met dat domein. De browser vergelijkt het met de geregistreerde oorsprong, login.microsoft.com, en weigert te ondertekenen. De proxy krijgt niets door te sturen.
NIST SP 800-63B classificeert FIDO2 precies om deze reden als phishing-bestendig. Zowel CISA als NCSC raden het aan voor hoogwaardige accounts.
Een gebruiker die herhaalde pushverzoeken ontvangt, kan er een goedkeuren om de ruis te stoppen. De gegevens van de Microsoft laten zien dat het matchen van nummers de goedkeuringspercentages tijdens pushbombardementen met meer dan 99% verlaagt. Als u push MFA gebruikt, is dit een gratis configuratiewijziging die vrijwel alle succesvolle MFA-vermoeidheidsaanvallen verwijdert.
Verdedigen tegen sessielaagaanvallen
Diefstal van sessietokens vindt plaats na authenticatie. De bedieningselementen die hier van belang zijn, hebben betrekking op de levensduur van tokens en apparaatbinding, niet op de login zelf.
Levensduurbeleid voor tokens
Toegangstokens met een lange levensduur geven een aanvaller de tijd om een gestolen sessie te gebruiken. Het Entra ID-tokenlevensduurbeleid verkleint dat venster voor gevoelige applicaties, maar kortere sessies betekenen frequentere herauthenticatie. Continuous Access Evaluation (CAE) lost beide op voor ondersteunde apps: het trekt tokens in bijna realtime in wanneer Entra ID een risicogebeurtenis detecteert, zoals een onmogelijke reisaanmelding of een gemeld compromis.
Apparaatbinding via voorwaardelijke toegang
Voorwaardelijke toegang met apparaatcompatibiliteit controleert of het oorspronkelijke apparaat van de sessie is ingeschreven en beheerd. Een aanvaller die een gestolen token van een onbeheerde machine opnieuw afspeelt, slaagt niet voor de nalevingscontrole en wordt geblokkeerd. Gestolen tokens werken niet meer tegen applicaties die dit beleid afdwingen.
Controle op tokenafwijkingen
Onmogelijke reiswaarschuwingen vangen aanmeldingen op van locaties die fysiek incompatibel zijn. Een gebruiker die zich om 09:00 uur in Amsterdam heeft aangemeld, kan niet ook om 09:15 uur vanuit Moskou inloggen. Entra ID Identity Protection en Microsoft Sentinel brengen deze detecties beide naar voren. Verbind ze met geautomatiseerde antwoorden: sessie-intrekking, gedwongen herauthenticatie of een waarschuwing aan het beveiligingsteam.
Begin met bevoorrechte accounts
Phishing-bestendige MFA levert de hoogste waarde op de accounts met de meeste toegang. Administratieve accounts, verhoogde serviceaccounts, financieel personeel en bestuursleden vormen een klein deel van uw gebruikers, maar zijn verantwoordelijk voor het grootste deel van de schade die een succesvolle inloggegevensaanval kan aanrichten.
Het uitrollen van FIDO2 in een grote organisatie kost tijd: apparaatdistributie, gebruikerstraining, uitrol van beleid. De twintig rekeningen die er het meest toe doen, kunnen binnen enkele dagen worden afgehandeld. Begin met beleid voor voorwaardelijke toegang dat phishing-bestendige authenticatie vereist voor toegang tot geprivilegieerde rollen, en PIM om te voorkomen dat beheerdersrollen permanent actief blijven.
TOTP-beveiligde beheerdersaccounts zijn het prijsdoel in AiTM-campagnes. De referentie, de MFA-code en het sessietoken stromen allemaal via dezelfde proxy. FIDO2 doorbreekt die keten: de sleutel verlaat het apparaat nooit, de handtekening komt nooit overeen met een phishing-domein.
Zeven controles die nu moeten worden geïmplementeerd
- Schakel nummermatching in op alle push MFA: een gratis Authenticator-instelling die push-bombardementen stopt.
- Blokkeer oudere authenticatieprotocollen: SMTP AUTH, POP3, IMAP en oudere Office-clients omzeilen MFA en zijn het meest voorkomende pad voor het opvullen van inloggegevens.
- Phishing-bestendige MFA afdwingen voor bevoorrechte accounts: Beleid voor de verificatiesterkte van voorwaardelijke toegang kan tegenwoordig FIDO2 vereisen voor beheerdersrollen.
- Entra ID-identiteitsbescherming inschakelen: realtime risicoscores voor aanmeldingen, detectie van gelekte inloggegevens via HIBP en geautomatiseerd reactiebeleid.
- Configureer continue toegangscontrole: het trekt Microsoft 365-tokens in bijna realtime in wanneer Entra ID een risicogebeurtenis detecteert.
- Toestemming voor OAuth-applicatie beperken: stel het toestemmingsbeleid voor de hele tenant in Entra ID in om te voorkomen dat gebruikers niet-geverifieerde apps van derden goedkeuren.
- Monitor onmogelijke reizen en aanmeldingen voor nieuwe apparaten: configureer waarschuwingsregels zodat afwijkende sessiepatronen onmiddellijke meldingen of automatische intrekking activeren.