Copilot ha rotto il tuo rilevamento delle minacce interne, e MITRE ne ha scritto la prova

MITRE ATT&CK pubblica un'analitica di rilevamento, AN1380, per gli avversari che effettuano il mining di SharePoint alla ricerca di documenti interni utili. Recita:

"Account privilegiati o usati raramente che effettuano un accesso massivo a file o metadati di SharePoint in una breve finestra temporale, il che indica una possibile raccolta scriptata di documenti interni sensibili."

Questa è anche la descrizione di ciò che fa Microsoft 365 Copilot quando qualcuno gli chiede di riassumere le trattative contrattuali dello scorso trimestre.

Stesso comportamento, stessa telemetria. Uno è la tecnica T1213.002, dati da repository informativi: SharePoint. L'altro è un dipendente con licenza che sta facendo il proprio lavoro.

Nessuna violazione necessaria

Ogni tecnica in ATT&CK presuppone un avversario che ha dovuto prima entrare da qualche parte. HAFNIUM, Ke3chang e Chimera sono gruppi di spionaggio sponsorizzati da stati che MITRE traccia per nome, e tutti e tre compaiono negli esempi procedurali di questa tecnica. HAFNIUM ha abusato di credenziali compromesse per esfiltrare dati di SharePoint. Ke3chang ha utilizzato uno strumento di enumerazione creato appositamente chiamato spwebmember. Chimera ha raccolto documenti dopo aver stabilito l'accesso. Ognuno di loro aveva bisogno di un modo per entrare.

Copilot non ha bisogno di nulla di tutto ciò. Nessun CVE, nessun token rubato, nessuno strumento su un host, nessuna violazione delle policy. Nessuno nella catena intende fare del male, e il consenso è stato concesso anni fa da chiunque abbia configurato l'ereditarietà su un sito che ormai non ha più un proprietario.

Una tecnica creata nel febbraio 2020 non è cambiata. Ciò che è cambiato è il denominatore. L'accesso massivo a un repository una volta implicava uno script, e uno script una volta implicava qualcuno che non avrebbe dovuto essere lì. Ora ogni utente con licenza produce quello stesso pattern più volte al giorno semplicemente digitando una domanda in inglese.

La ricognizione di Scattered Spider ora è un prompt

MITRE registra che, durante la campagna C0027, Scattered Spider ha avuto accesso agli ambienti SharePoint delle vittime "per cercare informazioni sull'iscrizione a VPN e MFA, istruzioni dell'helpdesk e guide per i nuovi assunti." Quella ricognizione è il lavoro preparatorio prima di una telefonata di social engineering all'helpdesk.

Raggiungere queste informazioni una volta richiedeva che un attaccante violasse la rete. Ora è disponibile per chiunque possa autenticarsi come dipendente e porre la domanda: "qual è la nostra procedura quando qualcuno deve reiscriversi all'MFA?"

La versione dell'intrusione lasciava tracce come file consultati, sistemi sondati e artefatti su disco. La versione IA lascia una domanda che qualsiasi nuovo assunto potrebbe porre.

Ci sono due opzioni, e la maggior parte dei team ne ha già scelta una per caso

L'uso dell'IA è così diffuso che i team IT o SecOps sarebbero sommersi da avvisi su prompt che potrebbero essere ricognizione. Questo lascia loro due cattive opzioni:

Ritarare il rilevamento. Alzare la soglia, oppure escludere il service principal dell'agente. La copertura per T1213.002 va silenziosamente a zero, e la tecnica funziona comunque bene come sempre.

Oppure lasciare tutto com'è. Gli analisti fanno il triage dell'attività IA tutto il giorno, l'alert fatigue fa quello che l'alert fatigue fa, e il rilevamento muore comunque.

La maggior parte delle organizzazioni ha scelto la prima opzione senza deciderlo davvero. Qualcuno ha silenziato il rumore durante una settimana intensa e non è stato scritto nulla. Verifica oggi la tua copertura rispetto ad ATT&CK, ed è probabile che quella cella sia ancora verde.

Il gap di attribuzione emerge sei mesi dopo, in un caso HR

Il log di audit dice che l'account di un utente ha avuto accesso al modello retributivo. L'utente dice di non averlo mai aperto. Entrambe le cose possono essere vere. L'agente ha mostrato due righe di quel documento all'interno del riepilogo di qualcos'altro.

Ora indaga su questo. L'intento è ciò che separa una minaccia interna da un incidente accidentale, ed è proprio l'intento che il log non può più stabilire. L'analisi comportamentale rende tutto più difficile, perché quelle baseline presuppongono un ritmo umano, e lo stesso account ora emette raffiche a velocità di macchina. Il concetto di normalità si allarga per tutti, lasciando più spazio perché un comportamento umano anomalo passi inosservato.

Probabilmente hai già distribuito Copilot, quindi inizia da ciò che ha già raggiunto

La maggior parte delle linee guida esistenti presuppone che tu non l'abbia ancora attivato. Ecco tre domande da porsi una volta che l'hai fatto:

A cosa possono effettivamente accedere le identità in questo momento? Non i permessi sulla carta, ma il percorso effettivo: gruppi annidati, permessi di sito ereditati, link di condivisione sopravvissuti ai loro progetti, account guest che nessuno ha rivisto dall'onboarding.

Cosa ha toccato l'attività guidata dall'IA negli ultimi 90 giorni? Ti serve il registro prima di aver bisogno della policy.

Quali rilevamenti trattano ancora l'accesso massivo a un repository come prova di un avversario? Trovali, e questa volta decidi in modo deliberato.

Netwrix 1Secure copre le prime due. Individua e classifica i dati sensibili nei repository cloud e on-premises, mappa quali identità possono raggiungerli e attraverso quali percorsi, e monitora l'accesso guidato dall'IA rispetto a questo quadro. La terza domanda non ha una risposta difendibile finché non sai rispondere alle prime due.

Copilot non è il problema. Sta facendo esattamente ciò che Microsoft ha detto che avrebbe fatto, con i permessi che la tua organizzazione ha approvato. Il problema è che la tua logica di rilevamento codifica il presupposto che questo pattern significhi un avversario, un presupposto che ha smesso di essere vero in silenzio, e nessuno ha saputo che doveva aprire un ticket per rivederlo.