RUNBOOK Identificação e contenção de envio de phishing/spam via Entra ID

De wikiti
Ir para navegação Ir para pesquisar


Identificar usuário enviando phishing/spam no Entra ID

Versão: 1.1

Data: 13/05/2025

Autor: reginaldo.lopes@unesp.br

Conformidade: Art. 10,11 e 13 Política de Segurança Cibernética

Objetivo

Detectar, analisar e conter envio anômalo de e-mails (phishing ou spam) por contas comprometidas no Entra ID/Microsoft 365.

Alerta automático

A Microsoft envia alerta quando um usuário envia mais de 10 mil e-mails em 24h.

Acesso Inicial

Passo 1: Acessar 

https://security.microsoft.com/

Passo 2: Vá em Email e Colaboração > Gerenciador.

Coleta de Evidências para justificar o bloqueio do usuário

Passo 1: Verifique o assunto dos e-mails enviados.

Passo 2: Verifique a quantidade de e-mails enviados.

Passo 3: Liste os destinatários principais.

Passo 4: Exporte os dados do rastreamento de mensagens para anexar no registro do incidente.

Passo 5: Verificar senha vazada haveibeenpwned

Investigação

Investigação Entra ID

Passo 1: Acessar 

https://entra.microsoft.com/#home

Passo 2: Confirir

  • Entradas (logins) suspeitos (IP, localização, horário).
  • Dispositivos conectados.
  • Atividades recentes no Exchange.

Investigação Exchange

Passo 1: Acessar 

https://admin.cloud.microsoft/exchange?ref=/homepage#/messagetrace

Passo 2: Fluxo de e-mail > Rastreamento de mensagem > Consulta padrão > Iniciar um rastreamento.

Passo 3: Faça uma busca usando a conta afetada como Remetente.

Passo 3.1: Filtre por intervalo (últimas 24h, 48h, etc.).

Passo 3.2: Exporte os resultados.

Passo 4: Um aviso será enviado no e-mail quando o relatório estiver pronto. Realize o passo 2 e acesse Relatórios para baixar.

Ações de Contenção

Possivelmente o usuário tem a senha comprometida, ou seja, o atacante pode acessar o GSREDES, Google, Microsoft, etc.

  • Redefinir senha do usuário no Azure AD imediatamente.
  • Revogar sessões ativas no Azure.
  • Redefinir senha do usuário no Google (se aplicável).
  • Revogar sessões ativas no Google (se aplicável).
  • Solicitar redefinição em sistemas internos via https://auth.unesp.br/contato.

Notificação

  • Notificar a security.<unidade>@unesp.br imediatamente com relatório e evidências.
  • Registrar o incidente.

Modelo de notificação

Título: Envio massivo de e-mails por conta comprometida (fulano@unesp.br)

Prezados,

O usuário fulano@unesp.br enviou cerca de 10460 e-mails em 24h para destinatários aleatórios. Foram detectados acessos de IPs de países diversos no Microsoft 365.

Data do Incidente: Date / Time

Responsável pela análise: fulano@unesp.br

Evidências: - Logs de envio (Exchange) - Logs de login (Entra ID)

Ações realizadas pelo GTICC: - Redefinição de senha no Entra ID - Revogação de sessões no Entra ID. Não foram detectados logins suspeitos no Google.

As seguintes ações devem ser realizadas pela unidade, conforme previsto na PORTARIA UNESP Nº 12, DE 05 DE FEVEREIRO DE 2025:

Ativar MFA (autenticação multifator). (Art. 28, incisos I e IV – exigência de autenticação e princípio do menor privilégio)

Trocar senha (Central de Acessos). (Art. 28, inciso VII – correção de exposições indevidas e prevenção de acessos não autorizados)

Orientar o usuário sobre phishing, senha forte e boas práticas. (Art. 29 – ações educativas para conscientização de usuários sobre riscos de segurança)

Monitorar a conta nos próximos dias para tentativas de acesso suspeitas. (Art. 32 – identificação e verificação contínua de ameaças; Art. 35 – detecção de sinais de roubo de identidade)

Disponível em “https://wiki-ti.unesp.br/index.php?title=RUNBOOK_Identificação_e_contenção_de_envio_de_phishing/spam_via_Entra_ID&oldid=964”