Focus sur l'analyse des tentatives de contournement de l'authentification¶
1. Objectif du cours¶
Identifier et analyser les tentatives de contournement de l'authentification (MFA fatigue, usurpation de session, compromission post-authentification). Présenter une méthodologie de vérification et les outils utiles pour détecter ces attaques.
2. Notions et définitions essentielles¶
- MFA fatigue : bombardement massif de demandes MFA pour épuiser l'utilisateur et le pousser à accepter.
- Usurpation de session (session hijacking) : prise de contrôle d'une session authentifiée via anomalies d'identifiants (cookies, tokens) et sauts IP.
- Compromission post-authentification : accès anormal à ressources sensibles après authentification (navigation atypique, accès direct aux bases de données).
- Notifications push vs codes OTP : push = simple clic (plus vulnérable), OTP = saisie active (plus temps de réflexion).
- Spear phishing combiné au MFA : ingénierie sociale visant à tromper l'utilisateur pour valider une MFA.
3. Fonctionnement et principes¶
- MFA fatigue : l'attaquant automatise envois répétés de notifications push ; pattern temporel régulier et volume élevé (ex. 50 notifications/h) sont indicateurs.
- Usurpation de session : détection par incohérences dans tokens/session ID et sauts géographiques impossibles (ex. connexions simultanées Paris/Tokyo).
- Compromission post-authentification : indicateurs = accès direct à ressources sensibles, requêtes API automatisées juste après connexion, temps de session inhabituel.
- Méthodologie de vérification en 4 étapes : la première action recommandée est la vérification de la cohérence géographique et temporelle (géolocalisation IP) avant d'approfondir.
4. Commandes et manipulations¶
Non abordé dans ce cours.
5. Sécurité et bonnes pratiques¶
- Commencer par vérifier la cohérence géographique et temporelle des connexions (géolocalisation IP).
- Analyser le comportement post-authentification (durée de session, navigation, requêtes API).
- Corréler les événements avec d'autres alertes via outils de corrélation/ SIEM pour contextualiser la suspicion.
- Favoriser l'usage de mécanismes moins vulnérables quand possible : comprendre que les notifications push présentent un risque plus élevé que les codes OTP.
- Surveiller les patterns temporels (distribution régulière des requêtes) et le volume de notifications MFA reçues par utilisateur.
6. Points essentiels à retenir pour le TSSR¶
- 50 notifications MFA en une heure est un indicateur typique d'une attaque par MFA fatigue.
- La première vérification dans l'analyse doit être la cohérence géographique et temporelle via géolocalisation IP.
- L'usurpation de session se signale par anomalies d'identifiants (cookies/tokens) et sauts IP géographiquement impossibles.
- Les notifications push sont plus vulnérables que les codes OTP car elles exigent un simple clic.
- Un accès direct et inhabituel aux ressources sensibles (ex. bases de données) après authentification est un fort indicateur de compromission.
- Les patterns automatisés (intervalle régulier) suggèrent une attaque automatisée comme la MFA fatigue.
- Outils clefs : SIEM pour corrélation, NDR pour analyse trafic, plateformes d'identité pour surveillance des sessions, géolocalisation IP pour plausibilité géographique.
- Classifier les signaux selon phases : pré-authentification / pendant l'authentification / post-authentification pour prioriser l'analyse.
7. Tableau récapitulatif¶
| Indicateur | Type d'attaque | Phase d'apparition | Outil principal |
|---|---|---|---|
| 50 notifications MFA / h | MFA fatigue | Pendant l'authentification | SIEM (corrélation) |
| Sauts IP / cookies anormaux | Usurpation de session | Post-authentification | Plateformes d'identité |
| Distribution temporelle régulière | MFA automatisée | Pendant l'authentification | NDR (détection d'automatisation) |
| Requêtes API immédiates après login | Compromission post-auth | Post-authentification | NDR / SIEM |
8. Vérifications pratiques¶
- Compter les notifications MFA reçues par l'utilisateur sur la dernière heure (alerte si ~50).
- Vérifier la cohérence géographique et temporelle des connexions avec un outil de géolocalisation IP.
- Inspecter les identifiants de session (cookies/tokens) pour anomalies et sauts entre adresses IP.
- Rechercher des patterns temporels réguliers dans les requêtes (automatisation).
- Détecter requêtes API automatisées ou accès directs à ressources sensibles immédiatement après connexion.
- Corréler ces observations avec les logs via un SIEM et analyser le trafic avec une solution NDR.
9. Flashcards Anki¶
Qu'est-ce que la MFA fatigue ? :: Bombardement massif de demandes MFA pour épuiser l'utilisateur et le pousser à accepter. Quel indicateur chiffré signale typiquement une attaque MFA fatigue ? :: 50 notifications MFA en une heure. Quelle est la première étape de la méthodologie de vérification en 4 étapes ? :: Vérifier la cohérence géographique et temporelle (géolocalisation IP). Quels éléments détectent une usurpation de session ? :: Anomalies dans les identifiants de session (cookies/tokens) et sauts entre adresses IP. Pourquoi les notifications push sont-elles plus vulnérables que les codes OTP ? :: Elles ne nécessitent qu'un simple clic, facilitant l'acceptation par erreur ou lassitude. Quel comportement post-authentification doit alerter en priorité ? :: Accès direct et inhabituel aux ressources sensibles (p. ex. bases de données). Quel pattern temporel indique souvent une attaque automatisée ? :: Distribution temporelle régulière des requêtes avec des intervalles identiques. Quel outil corrèle les alertes et analyse le comportement historique ? :: Outils SIEM (Splunk, QRadar). Quel outil analyse le trafic réseau pour détecter des anomalies de navigation ? :: Solutions NDR (Network Detection and Response). Quel outil vérifie la plausibilité géographique des connexions ? :: Outils de géolocalisation IP.