Tak wygląda ARRAC
w produkcji.
Zanonimizowane incydenty z rzeczywistych środowisk Microsoft 365. To właśnie takie zagrożenia ARRAC ma neutralizować i tak wygląda efekt jego działania. Żadnych reżyserowanych dem. Żadnych hipotetycznych scenariuszy.
Kradzież tokenu sesji powstrzymana.
Kancelaria prawna, 47 użytkowników.
Dane logowania starszego partnera zostały przejęte w ataku phishingowym typu Adversary-in-the-Middle. Atakujący zdobył ważny token sesji mimo włączonego MFA to technika, która całkowicie omija klasyczne uwierzytelnianie, przechwytując cookie sesji po poprawnym przejściu wyzwania MFA.
W ciągu kilku sekund od pierwszego działania atakującego (utworzenia reguł przekazywania poczty w celu eksfiltracji korespondencji z klientami) ARRAC skorelował anomalny wzorzec logowania nowy odcisk urządzenia, nietypową geolokalizację, natychmiastowe utworzenie reguł skrzynki i unieważnił sesję.
Atakujący dysponował skradzionym tokenem przez 23 minuty, zanim jego pierwsze działanie uruchomiło detekcję ARRAC. Od wykrycia do powstrzymania: 4 sekundy. Zero otwartych plików, zero przekazanych wiadomości. Reguły skrzynki zostały utworzone, ale nigdy nie zadziałały zostały usunięte przed pierwszym przekazaniem wiadomości.
Zgoda dla złośliwej aplikacji cofnięta.
Biuro rachunkowe, 31 użytkowników.
Młodszy pracownik otrzymał wiadomość phishingową podszywającą się pod znaną usługę podpisu dokumentów. Po kliknięciu wyświetliła się wyglądająca autentycznie strona zgody Microsoft z prośbą o uprawnienia Mail.ReadWrite oraz Files.ReadWrite.All w praktyce oznaczało to przyznanie podmiotowi trzeciemu trwałego dostępu do odczytu i zapisu każdej wiadomości i każdego pliku w tenancie.
ARRAC wykrył zdarzenie zgody OAuth w czasie rzeczywistym, zidentyfikował niezweryfikowanego wydawcę, ocenił ryzyko zakresu uprawnień jako krytyczne i cofnął zgodę w ciągu 3 sekund zanim złośliwa aplikacja zdążyła wykonać choć jedno wywołanie API w celu odczytu lub eksfiltracji danych.
Bez ARRAC byłoby to ciche, trwałe naruszenie nieprzerwany dostęp do odczytu i zapisu poczty oraz plików wszystkich 31 użytkowników, aż do ręcznego wykrycia zgody, potencjalnie po tygodniach lub miesiącach.
Ruch boczny zatrzymany
o 2:17 w nocy. Logistyka, 94 użytkowników.
Atakujący przejął zwykłe konto użytkownika metodą credential stuffing użytkownik wykorzystał ponownie hasło ujawnione w naruszeniu u innego dostawcy. O 2:17 w nocy we wtorek atakujący rozpoczął fazę rozpoznania przed wdrożeniem ransomware: odpytywał członkostwa w grupach Active Directory, próbował zidentyfikować konta uprzywilejowane i sondował dostęp do poświadczeń Global Admin.
To typowy wzorzec poprzedzający większość współczesnych ataków ransomware atakujący zdobywa przyczółek na koncie o niskich uprawnieniach, a następnie eskaluje uprawnienia przed uruchomieniem ładunku. ARRAC rozpoznał ten wzorzec (MITRE T1078, T1484) i odizolował konto o 2:17, zanim ktokolwiek zdążył się obudzić i zobaczyć alert.
Inżynier dyżurny otrzymał automatyczne powiadomienie o 2:18. Zanim przeanalizował incydent o 7:30, atakujący był zablokowany od ponad 5 godzin. Zaszyfrowano zero systemów. Ubezpieczyciel cybernetyczny firmy przyjął niezmienialny dziennik audytu ARRAC jako dowód powstrzymania ataku.
Uśpione konto Global Admin wykryte.
MSP obsługujący 8 tenantów klientów.
MSP korzystający z ARRAC w 8 tenantach klientów. Pracownik jednego z tych klientów odszedł z organizacji. Zespół IT klienta przeprowadził standardowy proces offboardingu wyłączył konto Microsoft 365, odebrał dostęp do poczty i usunął licencje. Przeoczyli jedno: konto wciąż miało przypisaną rolę Global Administrator w Entra ID.
Przez 6 dni były pracownik zachowywał pełny dostęp administracyjny do całego tenanta każdego użytkownika, każdego ustawienia, każdej danej z poświadczeniami, nad którymi organizacja nie miała już kontroli. Codzienny audyt tożsamości ARRAC oznaczył uśpione konto uprzywilejowane i wyświetlił je w konsoli MSP jako ustalenie o wysokim priorytecie.
MSP usunął problem w ciągu godziny od powiadomienia. Do naruszenia nie doszło, ale 6-dniowe okno ekspozycji to realne, mierzalne ryzyko takie, które ręczne procesy IT rutynowo przeoczają i o które ubezpieczyciele cybernetyczni pytają coraz częściej.
Wszystkie studia przypadków są zanonimizowane. Branża, wielkość organizacji i dane czasowe są prawdziwe; informacje identyfikujące zostały usunięte. Czasy odzwierciedlają rzeczywiste zdarzenia systemowe zapisane w niezmienialnym dzienniku audytu ARRAC. Indywidualne wyniki zależą od konfiguracji środowiska, ustawień poziomu autonomii i charakteru incydentu. W skali całej platformy ARRAC utrzymuje benchmark ≤30 sekund powstrzymania nowych zagrożeń i ≤5 sekund dla znanych wzorców zagrożeń, przy zmierzonej średniej 12,3 sekundy w działających tenantach.
Te zagrożenia są obecne także
w Twoim środowisku.
Podłącz Microsoft 365, a ARRAC zacznie wykrywać zagrożenia w Twoim rzeczywistym tenancie nie w reżyserowanym demo. W kilka minut zobaczysz swój faktyczny wynik postawy bezpieczeństwa i aktywne zagrożenia.