Microsoft, platformlarına yönelik "başarılı saldırı kanıtlarını" yalanladı

İddialarla ilgili dün haber yapmıştık. Microsoft'un Microsoft 365 platformu, ABD Hazine Bakanlığı'nı gözetlemek için bilgisayar korsanları tarafından kötüye kullanıldı.

Microsoft yanıt verdi yöneticiler için bir rehber yayınlamak "Potansiyel kötü niyetli etkinliği bulmak ve azaltmak için".

Ancak, Microsoft'un bulutunun güvenliğinin ihlal edildiğini reddettiler ve şunları söylediler:

Ayrıca, bu araştırmalarda herhangi bir Microsoft ürünü veya bulut hizmeti güvenlik açığı tespit etmediğimize dair müşterilerimize güvence vermek istiyoruz.

Bununla birlikte, “hem hükümeti hem de özel sektörü hedef alan önemli ölçekte ulus-devlet faaliyeti” yapıldığını doğruladılar ve güvenlik personelini aşağıdaki belirtilere dikkat etmeleri konusunda uyardılar:

• SolarWinds Orion ürünündeki kötü amaçlı kod yoluyla izinsiz giriş. Bu, saldırganın ağda, yükseltilmiş kimlik bilgileri elde etmek için kullanabileceği bir yer edinmesine neden olur. Microsoft Defender'ın artık bu dosyalar için algılamaları var. Ayrıca bkz. SolarWinds Güvenlik Danışmanlığı.
• Bir kuruluşun güvenilir SAML belirteç imzalama sertifikasına erişim elde etmek için şirket içi bir uzlaşma yoluyla alınan yönetim izinlerini kullanan bir davetsiz misafir. Bu, yüksek ayrıcalıklı hesaplar da dahil olmak üzere, kuruluşun mevcut kullanıcılarından ve hesaplarından herhangi birinin kimliğine bürünen SAML belirteçleri oluşturmalarını sağlar.
• Herhangi bir şirket içi kaynağa (kimlik sistemi veya satıcıdan bağımsız olarak) ve ayrıca yapılandırılmış olduklarından herhangi bir bulut ortamına (satıcıdan bağımsız olarak) karşı kullanılabilen, güvenliği ihlal edilmiş bir belirteç imzalama sertifikası tarafından oluşturulan SAML belirteçlerini kullanan anormal oturum açma işlemleri sertifikaya güvenmek. SAML belirteçleri kendi güvenilir sertifikalarıyla imzalandığından, anormallikler kuruluş tarafından gözden kaçırılabilir.
• Saldırganlar, yukarıdaki teknik veya başka yollarla edinilen yüksek ayrıcalıklı hesapları kullanarak, mevcut uygulama hizmeti sorumlularına kendi kimlik bilgilerini ekleyerek, bu uygulamaya atanan izinle API'leri çağırmalarını sağlayabilir.

Microsoft, bu öğelerin her saldırıda bulunmadığını kaydetti, ancak yöneticileri, saldırılarının tamamını okumaya çağırdı. son ulus devlet siber saldırılarına ilişkin müşteri rehberliği burada.