Detecção de Roubo de Tokens OAuth

Quando Usar

• Investigando alertas de viagens impossíveis ou uso anômalo de tokens no Microsoft Entra ID
• Respondendo a um suspeito sequestro de sessão ou ataque de "pass-the-cookie"
• Configurando defesas proativas contra roubo de tokens OAuth em um ambiente Azure/M365
• Detectando campanhas de phishing com código de dispositivo OAuth que contornam MFA
• Analisando logs de entrada para indicadores de repetição de token
• Implementando políticas de acesso condicional de Proteção de Token para vincular tokens a dispositivos

Não use para ataques de tickets Kerberos locais (pass-the-ticket, golden ticket); use técnicas de investigação específicas do Active Directory para esses cenários.

Pré-requisitos

• Licença Microsoft Entra ID P2 (necessária para detecções de risco do Identity Protection e acesso condicional)
• Função de Administrador Global ou Administrador de Segurança no centro de administração do Entra
• Licença Microsoft Defender for Cloud Apps (MDCA) para detecção de anomalias de sessão
• Acesso aos Logs de Entrada e Logs de Auditoria do Entra ID (requer Configurações de Diagnóstico configuradas para Log Analytics ou Sentinel)
• Familiaridade com fluxos de autorização OAuth 2.0 (código de autorização, código de dispositivo, credenciais de cliente)
• Microsoft Sentinel ou SIEM equivalente ingerindo logs de entrada e auditoria do Entra ID

Fluxo de Trabalho

Etapa 1: Entenda a Superfície de Ataque de Roubo de Tokens

Identifique quais tipos de tokens estão em risco e como eles são roubados:

Token Type            | Lifetime     | Theft Vector                    | Impact
----------------------|-------------|----------------------------------|------------------
Access Token          | 60-90 min   | Memory dump, proxy interception  | API access for token lifetime
Refresh Token         | Up to 90 days| Browser cookie theft, malware   | Persistent access, new access tokens
Primary Refresh Token | Session-based| Mimikatz, AADInternals, malware | Full SSO to all M365/Azure apps
Session Cookie        | Varies      | XSS, browser exploit, AitM proxy | Full session hijacking
Device Code Token     | 15 min auth | Phishing (device code flow abuse)| Attacker gets refresh token via social engineering

Técnicas de ataque comuns:

• Phishing AitM (Adversary-in-the-Middle): O atacante faz proxy da página de login legítima através de ferramentas como Evilginx2, capturando cookies de sessão e tokens após o usuário completar a MFA
• Phishing com Código de Dispositivo: O atacante gera um código de dispositivo, envia-o para a vítima por e-mail/Teams, a vítima se autentica, o atacante recebe o token
• Extração de PRT: O atacante com privilégios de administrador local em um dispositivo extrai o Primary Refresh Token (PRT) usando Mimikatz (sekurlsa::cloudap) ou AADInternals
• Roubo de Cookies do Navegador: Malware ou infostealer exfiltra cookies do navegador contendo tokens de sessão

Etapa 2: Configure a Detecção de Risco de Entrada do Entra ID

Habilite o Identity Protection para sinalizar o uso anômalo de tokens:

Entra Admin Center > Protection > Identity Protection > Risk Detections

Key risk detections for token theft:
- Anomalous Token        : Token has unusual characteristics (claim anomalies)
- Token Issuer Anomaly   : Token issued by an unusual token issuer
- Unfamiliar Sign-in     : Sign-in from a location not seen before for the user
- Impossible Travel      : Sign-ins from geographically distant locations in impossible time
- Malicious IP Address   : Sign-in from a known malicious IP
- Suspicious Browser     : Sign-in from a suspicious or attacker-controlled browser

Configure o acesso condicional baseado em risco:

Entra Admin Center > Protection > Conditional Access > New Policy

Policy Name: "Block High-Risk Sign-ins - Token Theft Protection"
Assignments:
  Users: All users (exclude break-glass accounts)
  Cloud Apps: All cloud apps
Conditions:
  Sign-in Risk: High
Grant:
  Block access

Policy Name: "Require MFA for Medium-Risk Sign-ins"
Assignments:
  Users: All users
  Cloud Apps: All cloud apps
Conditions:
  Sign-in Risk: Medium
Grant:
  Require multifactor authentication
  Require password change

Etapa 3: Habilite a Proteção de Token (Preview)

Configure a Proteção de Token para vincular tokens de sessão de entrada ao dispositivo:

Centro de Administração do Entra > Proteção > Acesso Condicional > Nova Política

Nome da Política: "Impor Proteção de Token para Sessões de Desktop"
Atribuições:
  Usuários: Todos os usuários (comece com um grupo piloto)
  Aplicativos na nuvem: Office 365 Exchange Online, Office 365 SharePoint Online
  Condições:
    Plataformas de Dispositivo: Windows
Sessão:
  Exigir proteção de token para sessões de entrada (Preview): Habilitado
Concessão:

…