Fuerza bruta y rociado — qué agrupación, qué umbral y qué excluir

La fuerza bruta contra una cuenta (técnica T1110 de MITRE ATT&CK) y el rociado de contraseñas (T1110.003) usan el mismo código de fallo, 50126, pero tienen forma distinta en el registro. Una regla útil se define por el campo por el que agrupa. Contar fallos por cuenta atrapa muchos intentos contra una sola. Contar cuentas distintas por origen atrapa pocos intentos contra muchas, que es lo que hace el rociado para quedarse bajo el umbral de bloqueo de cada cuenta.

dcount cuenta valores distintos. La consulta de abajo devuelve, por cada origen, cuántas cuentas distintas falló y cuántos intentos hizo en total.

SigninLogs | where ResultType == "50126" | summarize cuentas = dcount(UserPrincipalName), intentos = count() by IPAddress | order by cuentas desc

Empieza por la regla clásica, que cuenta fallos por cuenta y los ordena. La consulta toma los cinco primeros. Observa cuántos fallos tiene la primera y qué distancia hay con la segunda: esa distancia es la que permite fijar un umbral sin ruido.

Escribe el nombre de usuario sin el dominio.

SigninLogs | where ResultType == "50126" | summarize intentos = count() by UserPrincipalName | order by intentos desc | take 5

Ahora la regla horizontal. La primera consulta de la tarea 1 devuelve tres orígenes; uno de ellos es la salida de la propia oficina, donde toda la gente comparte una dirección. Las salidas de la empresa están en la tabla salidas_conocidas. Excluyéndolas, el resultado cambia.

salidas_conocidas

SigninLogs | where ResultType == "50126" | where IPAddress != "192.0.2.10" | summarize cuentas = dcount(UserPrincipalName), intentos = count() by IPAddress | order by cuentas desc

La oficina tocó diez cuentas distintas en una mañana porque se cambió una contraseña y la gente se equivocó una vez cada una. El rociado tocó once. Un umbral de «ocho cuentas distintas por origen» dispara las dos cosas; uno de «doce» no dispara ninguna.

Subir el umbral hasta librar a la oficina deja pasar el ataque, y apagar la regla deja pasar todos. La salida es decidir por separado qué se mide y qué se excluye, y dejarlo escrito: la excluida es una lista de direcciones de la empresa que alguien mantiene, no una cifra mágica.

Un rociado importa de verdad cuando alguna cuenta acepta la contraseña común. La regla que se escribe a continuación no cuenta fallos, busca el acierto desde el mismo origen que rocía. Esa fila es la que convierte un tanteo en un incidente de acceso.

SigninLogs | where IPAddress == "203.0.113.50" and ResultType == "0"