Copilot a cassé votre détection des menaces internes, et MITRE en a écrit la preuve

MITRE ATT&CK publie une analytique de détection, AN1380, pour les adversaires qui minent SharePoint à la recherche de documents internes utiles. Elle indique :

« Des comptes privilégiés ou rarement utilisés effectuant un accès en masse à des fichiers ou métadonnées SharePoint sur une courte fenêtre de temps, ce qui indique une possible collecte scriptée de documents internes sensibles. »

C'est aussi ce que fait Microsoft 365 Copilot lorsque quelqu'un lui demande de résumer les négociations contractuelles du trimestre dernier.

Même comportement, même télémétrie. L'un est la technique T1213.002, données provenant de dépôts d'information : SharePoint. L'autre est un employé sous licence qui fait son travail.

Aucune violation nécessaire

Chaque technique d'ATT&CK suppose un adversaire qui a d'abord dû pénétrer quelque part. HAFNIUM, Ke3chang et Chimera sont des groupes d'espionnage soutenus par des États que MITRE suit nommément, et les trois figurent dans les exemples de procédure de cette technique. HAFNIUM a détourné des identifiants compromis pour exfiltrer des données SharePoint. Ke3chang a utilisé un outil d'énumération conçu sur mesure appelé spwebmember. Chimera a collecté des documents après avoir établi un accès. Chacun d'eux avait besoin d'un moyen d'entrer.

Copilot n'a besoin de rien de tout cela. Aucun CVE, aucun jeton volé, aucun outil sur une machine, aucune violation de politique. Personne dans la chaîne n'a d'intention malveillante, et le consentement a été accordé il y a des années par celui ou celle qui a configuré l'héritage sur un site qui n'a plus de propriétaire aujourd'hui.

Une technique créée en février 2020 n'a pas changé. Ce qui a changé, c'est le dénominateur. L'accès en masse à un dépôt impliquait autrefois un script, et un script impliquait autrefois quelqu'un qui n'aurait pas dû être là. Désormais, chaque utilisateur sous licence produit ce même schéma plusieurs fois par jour, simplement en tapant une question en anglais.

La reconnaissance de Scattered Spider est désormais un prompt

MITRE consigne que, pendant la campagne C0027, Scattered Spider a accédé aux environnements SharePoint des victimes « pour rechercher des informations d'inscription VPN et MFA, des instructions du service d'assistance et des guides pour les nouvelles recrues. » Cette reconnaissance constitue le travail préparatoire avant un appel d'ingénierie sociale au service d'assistance.

Accéder à ces informations nécessitait autrefois qu'un attaquant compromette le réseau. C'est désormais à la portée de quiconque peut s'authentifier en tant qu'employé et poser la question : « quelle est notre procédure lorsqu'une personne doit réinscrire son MFA ? »

La version intrusion laissait des traces telles que des fichiers consultés, des systèmes sondés et des artefacts sur disque. La version IA laisse une question que n'importe quelle nouvelle recrue pourrait poser.

Il existe deux options, et la plupart des équipes en ont déjà choisi une par accident

L'usage de l'IA est si répandu que les équipes IT ou SecOps seraient submergées par des alertes sur des prompts pouvant relever de la reconnaissance. Cela ne leur laisse que deux mauvaises options :

Recalibrer la détection. Relever le seuil, ou exclure le principal de service de l'agent. La couverture de T1213.002 tombe discrètement à zéro, et la technique fonctionne toujours aussi bien qu'avant.

Ou ne rien changer. Les analystes trient l'activité IA toute la journée, la lassitude face aux alertes fait ce qu'elle fait, et la détection meurt de toute façon.

La plupart des organisations ont choisi la première option sans vraiment le décider. Quelqu'un a mis le bruit en sourdine pendant une semaine chargée, et rien n'a été consigné. Auditez dès aujourd'hui votre couverture par rapport à ATT&CK, et cette cellule est probablement encore verte.

L'écart d'attribution refait surface six mois plus tard, dans un dossier RH

Le journal d'audit indique que le compte d'un utilisateur a accédé au modèle de rémunération. L'utilisateur affirme ne jamais l'avoir ouvert. Les deux peuvent être vrais. L'agent a fait apparaître deux lignes de ce document au sein du résumé d'autre chose.

Enquêtez maintenant là-dessus. C'est l'intention qui distingue une menace interne d'un accident, et l'intention est précisément ce que le journal ne peut plus établir. L'analyse comportementale rend cela plus difficile, car ces références de base supposent un rythme humain, et ce même compte émet désormais des rafales à vitesse machine. La normalité s'élargit pour tout le monde, ce qui laisse davantage de place à un comportement humain anormal pour passer inaperçu.

Vous avez sans doute déjà déployé Copilot, alors commencez par ce qu'il a déjà atteint

La plupart des recommandations existantes supposent que vous ne l'avez pas encore activé. Voici trois questions à poser une fois que c'est fait :

À quoi les identités peuvent-elles réellement accéder en ce moment ? Pas les permissions sur le papier, mais le chemin effectif : groupes imbriqués, permissions de site héritées, liens de partage qui ont survécu à leurs projets, comptes invités que personne n'a revus depuis leur intégration.

À quoi l'activité pilotée par l'IA a-t-elle touché au cours des 90 derniers jours ? Vous avez besoin de l'historique avant d'avoir besoin de la politique.

Quelles détections traitent encore l'accès en masse à un dépôt comme une preuve d'adversaire ? Trouvez-les, et cette fois, décidez-le délibérément.

Netwrix 1Secure couvre les deux premières. Il détecte et classe les données sensibles à travers les dépôts cloud et sur site, cartographie quelles identités peuvent y accéder et par quels chemins, et surveille l'accès piloté par l'IA au regard de cette cartographie. La troisième question n'a pas de réponse défendable tant que vous ne pouvez pas répondre aux deux premières.

Copilot n'est pas le problème. Il fait exactement ce que Microsoft a annoncé qu'il ferait, avec les permissions que votre organisation a approuvées. Le problème, c'est que votre logique de détection encode l'hypothèse que ce schéma signifie un adversaire, une hypothèse qui a discrètement cessé d'être vraie, et personne n'a su qu'il fallait ouvrir un ticket pour la revoir.