Segnali di identità contro lo spraying delle password e gli attacchi alle credenziali

Gli attacchi contro le identità sono tra i modelli più comuni nelle operazioni IT quotidiane. Il password spraying, il credential stuffing e i tentativi di accesso automatizzati contro gli account cloud generano segnali che possono essere rilevanti anche per un feed perimetrale.

Cybora può considerare i ripetuti accessi al cloud non riusciti come un segnale aggiuntivo quando la stessa fonte appare in più ambienti indipendenti. Questo segnale è prezioso, ma sensibile. Un singolo accesso non riuscito è rumore; la stessa fonte in più ambienti indipendenti può essere un modello di campagna.

Perché i segnali di identità possono essere forti

Un singolo accesso fallito non è ancora un indicatore affidabile. Ripetuti tentativi falliti dalla stessa infrastruttura in più ambienti del cliente possono, tuttavia, indicare attacchi automatizzati.

I modelli tipici includono:

• spruzzatura di password contro molti account
• tentativi di credential stuffing con perdite note
• tentativi di accesso da infrastrutture sospette
• colpi ripetuti in ambienti indipendenti

Quando tali segnali si sovrappongono ad altre fonti o modelli di comportamento, possono aumentare la fiducia di un indicatore.

Dal singolo evento allo schema di campagna

La differenza sta nella ripetizione e nell’indipendenza. Un accesso non riuscito in un tenant può avere molte cause innocue. Ma se la stessa fonte produce modelli di accesso non riusciti simili in più ambienti indipendenti, un evento locale diventa un segnale più forte.

Questa logica aiuta a separare lo spraying delle password e il riempimento delle credenziali dai normali errori degli utenti. Non sostituisce la valutazione dei danni collaterali, poiché le origini di accesso possono spesso passare attraverso NAT, proxy, VPN o l’infrastruttura del provider.

Perché è necessaria particolare cautela

I segnali di identità comportano un elevato rischio di danni collaterali. Un IP può appartenere a un servizio VPN, a un provider di telefonia mobile, a un gateway NAT di grandi dimensioni, a un proxy o a una connessione di viaggio legittima. Una gestione eccessivamente aggressiva potrebbe influenzare gli utenti reali.

Cybora dovrebbe quindi trattare tali segnali in modo conservativo:

• più ambienti indipendenti invece di eventi una tantum
• comportamento ripetuto invece di un singolo tentativo fallito
• ulteriori prove da altre fonti
• valutazione cauta di VPN, proxy e IP condivisi
• nessuna divulgazione pubblica delle soglie interne

Ruolo nel feed

I segnali di identità sono un elemento fondamentale nella correlazione dei segnali, non l’unico motivo del blocco. Possono rafforzare un indicatore quando esistono prove aggiuntive. Per le infrastrutture poco chiare o che comportano gravi danni collaterali, la moderazione rimane più importante della massima copertura.