Incident Response22 мин четене
Компрометиран Microsoft 365 акаунт: 5-минутна процедура за изолация, форензичен чеклист и седемте настройки, които щяха да го предотвратят
Реален случай от тази година: 65-човешка консултантска компания в София, финансов контрольор одобрява MFA prompt в 10:51, в 11:14 нападателят вече е създал inbox rule за писма с IBAN/банка/плащане и в 11:17 е отворил OAuth grant за подозрително приложение Office Sync Helper с пълни Mail.ReadWrite права. 23 минути от логин до пълен достъп до пощата и OneDrive-а. На минута 27 започваме процедурата по-долу, на минута 240 акаунтът е чист, 0 лв. загуба. Покрива как разграничавате истински компромет от фалшива тревога (6 силни и 4 средни индикатора), петминутната последователност за пълна изолация с реални PowerShell команди (disable акаунт, revoke sessions, force password change, премахни MFA методи и app passwords, премахни OAuth grants и inbox rules), защо смяна на парола сама не е достатъчна (refresh token до 90 дни, access token до 60 мин, app passwords игнорират MFA, OAuth grants оцеляват пълно нулиране), 60-минутен forensic мини-преглед с източниците на данни (Sign-in Logs 30 дни, Unified Audit Log 90 дни, MailItemsAccessed за E5, OAuth grants, inbox rules, OneDrive download history, Sent items), регулаторните нотификации в България с реални срокове (24 часа към ОЕЦ по ЗКС/НИС2, 72 часа към КЗЛД по чл. 33 GDPR, физически лица по чл. 34, киберзастраховател в 24-72 часа), седемте M365 настройки спиращи 85 на сто от тези компромети (FIDO2/passkey MFA, Conditional Access с Token Protection, ограничение на user consent, Safe Links/Safe Attachments, UAL 1-годишен retention, MailItemsAccessed, alert policies за impossible travel/mass download/forwarding rules), четирите ценови сценария от 4 000-12 000 лв. за бърз catch до 350 000-2 000 000+ лв. при последващ BEC/ransomware, три нива на готовност (минимално за 0-500 лв., средно за 4 000-12 000 лв., зряло за 18 000-45 000 лв. годишно). Шест ЧЗВ за защо смяна на парола сама не помага, M365 Business Basic vs Premium, задължение за нотификация при прочитане без exfiltration, възстановяване на изтрита поща с Litigation Hold, специфики при CFO компромет, и tabletop exercise цени.
