Caça a Abuso de Tokens SSO de SaaS

Visão Geral

Adversários estão cada vez mais contornando o MFA não ao derrotá-lo, mas ao roubar os artefatos emitidos após uma autenticação bem-sucedida — cookies de sessão, tokens de acesso/atualização OAuth e Tokens de Atualização Primários (PRTs). Com um token roubado, um atacante reproduz a sessão existente ("pass-the-cookie" / replay de token), herdando o estado autenticado da vítima em SaaS federado sem nunca solicitar credenciais ou MFA. Os relatórios M-Trends da Mandiant e os dados de incidentes da Microsoft/Okta destacam o roubo de tokens como uma técnica dominante de movimento lateral na nuvem, mapeada para o MITRE ATT&CK T1550.001 Use Alternate Authentication Material: Application Access Token.

A detecção depende da correlação de telemetria de identidade em vez de observar logins falhos. No Microsoft Entra ID, as tabelas principais são SigninLogs (interativo), AADNonInteractiveUserSignInLogs (onde cookies/tokens de atualização reproduzidos geralmente aparecem) e AADServicePrincipalSignInLogs. O Entra agora expõe identificadores vinculáveis — SessionId e UniqueTokenIdentifier — que permitem a um caçador unir todos os artefatos derivados de um evento de autenticação raiz e identificar uma única sessão sendo usada de múltiplos IPs, ASNs ou impressões digitais de dispositivos. No Okta, o System Log contém eventos authentication.sso, policy.evaluate_sign_on e user.session.start com um contexto de deviceToken/sessão; o mesmo token de sessão aparecendo de IPs/user-agents divergentes é a pista. O Okta Identity Threat Protection (ITP) pode sinalizar nativamente "suspeita de sequestro de sessão".

Esta habilidade fornece uma caça baseada em hipóteses: crie uma linha de base do comportamento normal da sessão, em seguida, procure por viagens impossíveis dentro de uma única sessão, reutilização de token de atualização, uso de token de infraestrutura anômala (ASNs de hospedagem/VPS) e padrões de acesso a SaaS inconsistentes com o dispositivo do usuário. Fonte: MITRE ATT&CK T1550.001; documentação do log de entrada do Microsoft Entra ID; referência do Okta System Log; Mandiant M-Trends.

Quando Usar

• Caça a ameaças para bypass de MFA via tokens/cookies roubados em Entra ID e SaaS
• Investigação de um alerta de viagem impossível, concessão OAuth anômala ou reutilização de token
• Validação da cobertura de detecção para T1550.001 após um incidente de phishing/AiTM
• Construção de detecções Sentinel/Splunk/Okta para replay de token de sessão
• Caça pós-incidente para escopo de movimento lateral de SaaS a partir de uma identidade comprometida

Pré-requisitos

• Logs de entrada do Entra ID fluindo para um armazenamento consultável (Microsoft Sentinel / Log Analytics):

  # Confirm the diagnostic settings export SigninLogs + non-interactive logs to a workspace
  az monitor diagnostic-settings list --resource \
    /providers/Microsoft.aadiam/diagnosticSettings -o table
  

• Acesso ao Okta System Log via API ou ingestão de SIEM:

  curl -s -H "Authorization: SSWS $OKTA_API_TOKEN" \
    "https://<org>.okta.com/api/v1/logs?filter=eventType eq \"user.session.start\"&since=2026-06-01T00:00:00Z"
  

• Uma fonte de enriquecimento de IP (classificação GeoIP + ASN/provedor de hospedagem)
• Acesso de leitura ao SIEM (KQL para Sentinel, SPL para Splunk)
• Python 3.9+ para o script auxiliar (requests para a API Okta)

Objetivos

• Criar uma linha de base do comportamento normal da sessão por usuário (IPs, ASNs, dispositivos, aplicativos SaaS)
• Correlacionar artefatos de entrada do Entra por SessionId / UniqueTokenIdentifier
• Detectar uma única sessão usada de múltiplos IPs/ASNs (replay de token)
• Detectar viagens impossíveis dentro de uma única sessão autenticada
• Detectar reutilização de token de atualização e concessões OAuth anômalas
• Caçar no Okta System Log por tokens de sessão reutilizados em diferentes contextos
• Produzir descobertas e alimentar padrões confirmados em detecções permanentes

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Correlacionar artefatos de entrada do Entra por sessão

Junte entradas interativas, não interativas e de SP para uma sessão para ver a cadeia completa.

union SigninLogs, AADNonInteractiveUserSignInLogs

…