Guide MFA

Détectez les attaques MFA contre votre tenant Auth0 et intervenez, enquêtez sur les indicateurs d’attaque dans le journal du tenant et appliquez des stratégies d’atténuation.

Les attaquants peuvent exploiter et détourner les alertes d’authentification multifacteur (MFA) pour accéder à vos systèmes. Vous trouverez ci-dessous quelques vecteurs d’attaque MFA courants ainsi que des conseils pour enquêter sur ces attaques.

​

Trouver les événements de journal pertinents

Les types d’événements de journal suivants sont pertinents pour l’analyse d’une attaque MFA. Vous les trouverez dans les journaux du tenant Auth0.

Type d’événement de journal	Description
gd_auth_failed	L’authentification multifacteur a échoué. Il peut s’agir d’une défaillance du système ou d’une saisie de code incorrecte par l’utilisateur lorsqu’il utilise SMS/voix/e-mail/TOTP comme facteur MFA. Des échecs fréquents peuvent indiquer une attaque ou une mauvaise configuration de la MFA.
gd_auth_fail_email_verification	Une fréquence élevée d’événements de journal d’échec de vérification du courriel peut indiquer une activité malveillante ou une mauvaise configuration du tenant.
gd_auth_rejected, gd_send_pn et gd_send_pn_failure	Des événements push fréquents et des événements push sans réponse peuvent indiquer des attaques de MFA fatigue (T1621).
gd_otp_rate_limit_exceed	Un trop grand nombre d’échecs MFA sur une courte période peut indiquer des attaques automatisées.
gd_recovery_failed	Des échecs répétés de récupération MFA peuvent indiquer des tentatives d’attaquants visant à contourner ou à remplacer des facteurs d’authentification supplémentaires.
gd_send_sms, gd_send_sms_failure, gd_send_voice et gd_send_voice_failure	Une fréquence élevée de ces événements indique du SMS pumping ou des attaques de fraude aux appels surtaxés. Cela peut aussi indiquer des tentatives de contournement de SMS/voix comme facteur.
gd_unenroll	Le désenrôlement à grande échelle d’appareils MFA peut indiquer des campagnes réussies de prise de contrôle de comptes.

​

Stratégies d’atténuation

Voici quelques exemples de réponses aux attaques visant la MFA :

• Optez pour des options de MFA plus robustes en remplaçant la MFA par SMS/voix par OTP ou Webauthn afin d’atténuer le SMS pumping ou la fraude aux appels surtaxés.
• Renforcez la sécurité du Provider SMS/Voice en mettant en place une protection contre la fraude, comme Preventing Fraud in Verify de Twilio, lorsque vous utilisez la MFA par SMS/voix.
• Limitez les demandes répétées de codes SMS pour chaque utilisateur en activant la protection contre la fraude par SMS (SMS Fraud Protection), qui repose sur l’Exponential Backoff. Pour en savoir plus, consultez Exponential Backoff pour les SMS.
• Évitez la MFA fatigue en imposant des limites de débit aux push notifications.