Выявление подставных IT-сотрудников в Defender

Introduction

Microsoft предупреждает организации о растущей угрозе: фальшивые удалённые IT-сотрудники используют украденные или поддельные личности, чтобы устроиться на работу и получить легитимный доступ к корпоративным системам. Для команд безопасности, управляющих Microsoft 365, Defender и SaaS-интеграциями, это важно, потому что атака начинается в обычных HR-процессах и может быстро перерасти в инцидент безопасности identity и данных.

What’s new

В последнем руководстве Microsoft объясняется, как защитники могут выявлять такую активность на всём протяжении жизненного цикла найма; Jasper Sleet приводится как известный пример этой тактики.

Pre-recruitment detection in Workday

Microsoft наблюдала подозрительное использование endpoint’ов Workday Recruiting Web Service, доступных через внешние карьерные сайты. Ключевые признаки включают:

• Повторяющийся доступ к API endpoint’ам hrrecruiting/*
• Вызовы API, связанных с подачей заявки, резюме и анкетами
• Несколько внешних учётных записей с одинаковым повторяющимся шаблоном доступа
• Активность, исходящая из известной инфраструктуры threat actor’ов

С помощью коннектора Microsoft Defender for Cloud Apps для Workday организации могут отслеживать эти API-вызовы, выявлять внешние учётные записи и сопоставлять активность с threat intelligence.

Recruiting phase investigation

Во время собеседований и обработки документов защитникам следует коррелировать дополнительные сигналы, такие как:

• Подозрительные email-переписки с командами по найму
• Внешние сообщения Teams с рискованных IP-адресов или учётных записей
• Активность в Zoom или Cisco Webex через коннекторы Defender for Cloud Apps
• Активность DocuSign, связанная с offer letter, из подозрительных источников

Это помогает командам безопасности и HR раньше помечать мошеннических кандидатов.

Post-hire identity and SaaS monitoring

После найма риск возрастает, поскольку злоумышленник получает легитимную учётную запись. Microsoft наблюдала случаи, когда входы новых сотрудников в Workday и изменения payroll выполнялись из известной вредоносной инфраструктуры. После onboarding защитникам следует отслеживать:

• Оповещения impossible travel для учётных записей новых сотрудников
• Доступ через анонимные proxy или из необычных местоположений
• Активность поиска и скачивания в Teams, SharePoint, OneDrive и Exchange Online
• Необычные шаблоны доступа к данным в первые недели или месяцы работы

Why this matters for IT admins

Это не только HR-проблема. Мошеннический сотрудник может обойти многие традиционные средства периметровой защиты, потому что получает действительные учётные данные и одобренный доступ. Командам безопасности нужна видимость across HR-систем, Entra ID, Microsoft 365 и сторонних инструментов совместной работы, чтобы выявить такое поведение как можно раньше.

Recommended next steps

• Проверьте телеметрию Workday API на предмет повторяющейся активности hrrecruiting/*
• Включите и проверьте коннекторы Defender for Cloud Apps для Workday, Zoom, Webex и DocuSign, где это применимо
• Ищите подозрительные коммуникации с участием кандидатов и внешних учётных записей
• Внимательно отслеживайте identity новых сотрудников на предмет impossible travel, использования proxy и аномального доступа к Microsoft 365
• Координируйте расследования HR и безопасности по подозрительным событиям onboarding

Организациям с программами удалённого найма следует рассматривать процессы рекрутинга как часть своей поверхности identity-атак и включать их в стратегии threat hunting и detection.