Сценарии обхода условного доступа: понимание и предотвращение современных угроз идентификации

By Mirko Peters · 2026-04-26

Условный доступ — это первая линия защиты, которая определяет, кто может войти в вашу среду Microsoft 365 или Azure и при каких условиях. Каждый раз, когда кто-то входит в систему или пытается получить доступ к ресурсам, политики условного доступа решают, пустить ли его, запросить дополнительную проверку или заблокировать. Это руководство поможет вам понять, как реальные злоумышленники обходят эти

Automatically translated with AI from the original post. Read the English original

Условный доступ — это первая линия защиты, которая определяет, кто может войти в вашу среду Microsoft 365 или Azure и при каких условиях. Каждый раз, когда кто-то входит в систему или пытается получить доступ к ресурсам, политики условного доступа решают, пустить ли его, запросить дополнительную проверку или заблокировать. Это руководство поможет вам понять, как реальные злоумышленники обходят эти политики, — порой такими способами, которых вы не ожидаете.

Вы познакомитесь с полной картиной угроз, включая распространённые ошибки конфигурации, хитроумные приёмы атакующих и продвинутые техники, такие как эксплуатация гибридной идентификации. Речь пойдёт не только о теории: вы также получите практические советы по обнаружению и защите. Если вы отвечаете за облачную идентификацию, эта статья покажет, где обычно появляются слабые места и как их закрыть, пока кто-то не проскользнул внутрь.

Введение в риски обхода условного доступа и ландшафт угроз

Условный доступ — это основной механизм контроля Microsoft, который защищает облачные учётные записи и важные бизнес-данные. По своей сути он позволяет создавать правила — политики, — определяющие, кому разрешено подключаться, откуда, с каких устройств и с какими проверками безопасности (например, MFA или соответствующим требованиям устройством).

Основная цель проста: доступ должны получать только нужные люди при нужных обстоятельствах. Но злоумышленники тоже это понимают. Обход условного доступа происходит, когда кому-то удаётся обойти эти политики. Иногда это техническая уязвимость, а иногда — рискованное решение, например исключение критически важных ресурсов из проверок.

Эти риски не являются чисто теоретическими. Злоумышленники активно ищут забытые исключения, неправильно настроенные политики и доверительные отношения в области идентификации, которыми можно злоупотребить. В мире Microsoft Entra ID (ранее Azure AD) обход доступа может привести к взломам, утечкам данных и постоянным скрытым точкам входа, если не закрыть всё надёжно.

Выявление и устранение таких путей обхода важнее, чем когда-либо. Вы защищаетесь не только от подбора паролей, но и от злоумышленников, которые используют федеративные доверительные отношения, устаревшие сервисы и пробелы между локальной инфраструктурой и облаком. Понимание современного ландшафта рисков поможет вам сохранить условный доступ действительно условным, а ваши средства защиты — на шаг впереди.

Как злоумышленники получают учётные данные и используют вредоносную активность в браузере

1. Фишинг и социальная инженерия: Злоумышленники часто начинают с простых фишинговых писем или поддельных страниц входа, чтобы украсть учётные данные пользователя. Будь то убедительное сообщение или обычная ссылка «Сбросьте пароль», фишинг по-прежнему остаётся самым простым способом проникновения.
2. Password spray и атаки перебором: Иногда злоумышленники просто перебирают распространённые пароли по множеству учётных записей в надежде на слабое звено. Такой метод проверяет много учётных записей, делая лишь несколько попыток на каждую, чтобы не вызвать блокировки и остаться незамеченным.
3. Перехват сеанса через вредоносные браузеры: Продвинутые злоумышленники заражают браузер пользователя расширениями или вредоносным ПО. Встроившись таким образом, они отслеживают сеансы аутентификации, а затем крадут токены безопасности прямо из браузера. Это позволяет обойти MFA и условный доступ, выглядя для серверной части Microsoft как законный пользователь.
4. Кража токенов и фишинг согласия: Вместо традиционных паролей некоторые кампании используют фишинг согласия OAuth, чтобы пользователь авторизовал вредоносное приложение. Такие приложения получают токены предоставления разрешений, которые часто проходят мимо условного доступа и MFA, — и дают злоумышленникам постоянный доступ без необходимости знать ваш пароль.
5. Злоупотребление доверительными отношениями: Эксплуатация гостевого доступа, B2B-совместной работы или устаревших настроек федеративной идентификации даёт злоумышленникам мгновенную легитимность. Если ваши политики недостаточно полно охватывают гостевых пользователей, атакующие могут использовать эти допущения доверия и пройти мимо барьера доступа.
6. Credential Stuffing из утечек данных: злоумышленники берут имена пользователей и пароли из старых утечек и пробуют их для входа в облачные учетные записи Microsoft, рассчитывая на повторное использование паролей. Если добавить к этому плохо поддерживаемую архитектуру условного доступа, этот метод становится опасным очень быстро.

Злоумышленники комбинируют методы для максимального результата. Компрометация учетной записи администратора через фишинг в сочетании с кражей токенов браузера может означать полный обход условного доступа, особенно в средах, где накопились исключения, устаревшие политики или чрезмерное доверие.

Распространенные ошибки конфигурации, открывающие путь к обходу условного доступа

Политики условного доступа настолько надежны, насколько надежна их самая слабая конфигурация. Сама технология прочная, но между проектированием безупречных правил и их поддержанием в таком состоянии большая разница. Большинство сценариев обхода начинаются не с эффектной уязвимости нулевого дня, а с банальной ошибки конфигурации, упущенной области действия или дрейфа устройств.

Во многих средах пробелы возникают со временем. К политикам добавляются исключения, устаревшие группы остаются вне требований MFA, а устройства считаются управляемыми, хотя на самом деле их регулярно не проверяют. Злоумышленники действуют именно в таких неоднозначных зонах, проскальзывая туда, где применение правил непоследовательно.

Одни из самых рискованных ситуаций связаны с тем, что слишком many учетных записей, приложений или устройств «временно» освобождаются от правил, а о закрытии брешей потом забывают. Опасно также считать, что соответствие требованиям устройства равно его безопасности. Неуправляемые или неправильно зарегистрированные устройства могут стать троянскими конями, незаметно обходя ваши правила изнутри.

Чтобы понять, как именно возникают эти бреши и почему злоумышленники их любят, стоит присмотреться к типичным промахам в области действия политик, исключениях, обеспечении MFA и управлении устройствами. Подробнее о поиске невидимых пробелов в безопасности читайте в нашем разборе проблем доверия и дрейфа политик. В следующих разделах подробно рассматриваются эти распространенные ошибки и то, что делает их привлекательными для противника.

Ошибки конфигурации MFA и риски обхода области действия

1. Слишком широкие исключения из политик: учетные записи, группы или приложения, исключенные из принудительного применения MFA, создают незаметные пробелы. Злоумышленники целенаправленно атакуют эти исключения, которые часто остаются незамеченными при аудитах.
2. Непоследовательное применение MFA: политики, ограниченные определенными приложениями, платформами или местоположениями входа, пропускают пользователей, работающих за пределами этих рамок. Злоумышленники используют такие негибкие настройки, чтобы получить доступ без запроса MFA.
3. Устаревшая аутентификация, оставленная включенной: старые протоколы (например, IMAP, POP или SMTP) могут обходить современный условный доступ, позволяя атакующему подключиться только с паролем. Такие точки входа становятся магнитом для атак перебором.
4. Временные или аварийные учетные записи обхода: учетные записи администраторов «break glass» и временные исключения часто забывают после окончания кризиса. Такие учетные записи становятся приоритетными целями, пока их снова не заблокируют должным образом.

Практические решения для закрытия этих пробелов без ущерба для пользовательского опыта смотрите в рекомендациях из этого руководства по безопасности M365.

Уязвимости соответствия требованиям и регистрации устройств в сценариях обхода

• Незарегистрированные устройства: устройства, не зарегистрированные в Intune или корпоративном портале, зачастую могут обходить проверки доступа на основе устройств, открывая доступ к важным системам.
• Дрейф соответствия требованиям: даже зарегистрированные устройства могут перестать соответствовать политикам из-за устаревшего антивируса, отсутствующих обновлений или шифрования, но по-прежнему считаться «безопасными» по устаревшим политикам.
• Обходные пути регистрации устройств: злоумышленники находят изощренные способы подменить или обойти регистрацию устройств, особенно если старые методы остаются включенными. Гибридные конфигурации и неполное развертывание Intune расширяют поверхность атаки.
• Отсутствие непрерывного мониторинга: политики, которые проверяют соответствие требованиям только при входе, а не динамически в ходе сеанса, оставляют пространство для изменений и компрометации после предоставления доступа. Подробнее о мониторинге состояния соответствия в реальном времени читайте в этом материале о Defender for Cloud.

Задокументированные и новые техники обхода условного доступа в реальных условиях

Обход политик условного доступа — не просто академическая проблема: реальные злоумышленники и специалисты по безопасности каждый день проверяют эти системы в боевой среде. Некоторые методы подробно задокументированы, а другие появляются вместе с новыми функциями или по мере того, как облачные среды становятся сложнее.

Две наиболее опасные категории — исключения для ресурсов или сервисов и злоупотребление потоками аутентификации. Исключения, будь то для устаревших протоколов, облачных API или малозаметных приложений, могут непреднамеренно стать для атакующих универсальными ключами, полностью обходящими ваши лучшие политики. В то же время слабые места в потоках аутентификации, например в согласии OAuth или в плохо контролируемых кодах авторизации, позволяют противникам проникнуть внутрь, не проходя все контрольные точки.

Этот ландшафт постоянно меняется по мере того, как Microsoft обновляет функции, а злоумышленники находят новые лазейки. Чтобы защита была не только хорошей на бумаге, но и выдерживала реальные условия, важно следить как за классическими, так и за новейшими эксплойтами. Давайте рассмотрим наиболее значимые стратегии, которые вам стоит распознавать и от которых стоит защищаться.

Обход исключений для ресурсов и известные публичные методы

1. Исключения для конечных точек устаревшей аутентификации: если оставить вне условного доступа такие конечные точки, как POP3, IMAP или SMTP AUTH, атакующие получат лёгкие мишени. Эти устаревшие службы часто не поддерживают MFA, поэтому злоумышленники могут выполнять перебор паролей, не активируя современные средства защиты.
2. Исключения для Graph API и приложений: условный доступ обычно нацелен на основные пользовательские приложения, но иногда критически важные серверные API (например, Graph API) по недосмотру остаются в исключениях. Атакующие используют эти пробелы, чтобы получать данные или повышать привилегии. Подробнее о атаках на API через согласие можно узнать здесь.
3. Неинтерактивные учётные записи служб: системные или автоматизированные учётные записи, которые полностью исключены из условного доступа, создают обходные точки входа и часто обходят MFA и проверки устройств.

Регулярный пересмотр исключений в политиках и сокращение числа исключений — один из самых быстрых способов закрыть эти известные риски.

Злоупотребление потоками аутентификации и перехват кодов авторизации

1. Эксплуатация предоставления согласия OAuth2: атакующие используют фишинг, чтобы убедить пользователей предоставить разрешения вредоносным приложениям через потоки согласия OAuth, часто без проверки условного доступа и MFA. Постоянный доступ сохраняется даже после сброса учётных данных. Подробнее читайте в этом подробном разборе атаки через согласие.
2. Повторное использование кода авторизации: перехватывая или перехватывая коды авторизации OAuth, противники могут получить токены доступа вне отслеживаемого потока, обходя решения условного доступа, принятые на этапе выдачи.
3. Повторное использование токенов и атаки воспроизведения: украденные токены из скомпрометированных браузеров или плохо спроектированных приложений могут быть использованы повторно, особенно если сроки их действия слишком длинные, что позволяет получать доступ без повторной аутентификации и проверок.

Понимание этих потоков помогает держать защиту надёжной на каждом этапе передачи управления, а не только на экранах входа или согласия.

Продвинутый обход условного доступа: расширения браузера и риски гибридной среды

Теперь перейдём к более сложным атакам. По мере того как средства контроля облачного доступа ужесточаются, ужесточаются и методы, которые используют злоумышленники. Речь о расширениях браузера, незаметно собирающих токены, или об атакующих, которые эксплуатируют стыки между локальной Active Directory и облачной Microsoft Entra ID.

Современные злоумышленники уже не просто подбирают пароли: они используют сценарии, где контекст устройства, identity и сеанса не применяются согласованно. Неконтролируемые плагины браузера могут незаметно выводить токены доступа, а гибридные среды создают пробелы в принудительном применении политик (особенно если используются ADFS или устаревшие настройки федерации).

В кросс-платформенных и гибридных средах у атакующих больше возможностей для проникновения: слабые настройки присоединения или синхронизации, неполное соответствие требованиям для устройств, цепочки доверия, которые защищены неравномерно. Защита организации в таком ландшафте — это больше, чем правка одной настройки. Нужен целостный подход, основанный на модели нулевого доверия, ведь границы идентификации и сеанса можно размыть реальными, хитро спланированными атаками. Теперь разберём, как эти риски реализуются и что службам безопасности нужно распознавать (и быстро устранять) в собственных средах.

Вредоносные расширения браузера и беспрепятственное выполнение доступа

• Кража токенов через расширения: Вредоносные расширения браузера перехватывают файлы cookie аутентификации или токены OAuth во время входа пользователей, позволяя атакующим повторно использовать действующие сеансы из любой точки.
• Скрытый обход MFA: Расширения работают после того, как пользователь прошёл многофакторную аутентификацию, поэтому атакующие наследуют «предварительно одобренный» сеанс, обходят все условные политики доступа и зачастую остаются незамеченными.
• Автоматические вызовы API: Некоторое вредоносное ПО использует расширения для автоматизации действий непосредственно в браузере, выводя данные или пересылая письма, и при этом никогда не запускает стандартные механизмы контроля доступа.
• Сложности обнаружения: Такие атаки трудно выявить с помощью традиционного журналирования, ведь всё выглядит как настоящая активность пользователя с соответствующего требованиям устройства.

Техники обхода в гибридной идентификации и Global Secure Access

1. Эксплуатация мостов ADFS: Устаревшая федерация, например ADFS, иногда не применяет обновления облачных политик. Атакующие, проходящие через такой мост, могут избежать обязательных условных политик доступа, особенно если правила токенов синхронизированы недостаточно жёстко.
2. Цепочки доверия B2B и между клиентами: Внешние пользователи или партнёры, приглашённые через Azure AD B2B, могут обойти более строгие политики, если гостевые или федеративные учётные записи не соответствуют тем же требованиям. Атакующие используют такие «доверенные» отношения для горизонтального перемещения.
3. Обход для неуправляемых устройств: В гибридных средах пробелы в регистрации устройств, расхождение соответствия в Intune или допущения о «доверенной» ОС могут открыть путь для неуправляемых конечных точек.
4. Проблемы доверия к устройствам разных платформ: Политики, которые проверяют только соответствие для Windows, могут по ошибке разрешить доступ с macOS, мобильных устройств или из смешанных сред, у каждой из которых свои особенности и уязвимости. Подробнее о единой защите по модели нулевого доверия см. этот материал о Zero Trust by Design.

Обнаружение, снижение рисков и устранение последствий атак обхода

Знать об угрозах — это половина дела. Вторая половина — создавать и поддерживать надёжную защиту, которая выявляет, останавливает и отслеживает попытки обхода, желательно задолго до того, как атакующие доберутся до важных данных. Дело не только во включении одной настройки, а в постоянной бдительности и дисциплинированном управлении политиками.

Эффективное обнаружение опирается на сочетание аналитики безопасности, детального журналирования и чёткого понимания того, как должен выглядеть трафик в вашей организации. Интеграция SIEM-систем, использование встроенных возможностей Microsoft 365 и сопоставление с такими фреймворками, как MITRE ATT&CK, помогут выявлять новые и меняющиеся тактики до того, как они причинят ущерб.

Что касается снижения рисков, организациям нужен гибкий, постоянно развивающийся подход к укреплению политик: регулярно пересматривать области действия, исключения и требования к доверию устройств, а там, где возможно, автоматизировать процессы, чтобы исключить рутинные ручные проверки. Устранение последствий — это не разовое исправление, а внедрение таких механизмов контроля, при которых рискованные изменения помечаются и оцениваются до того, как станут слабыми местами для атакующих.

Далее в разделах вы найдёте практические чек-листы и стратегии поиска угроз, которые помогут сделать ваши условные политики доступа не только надёжными сегодня, но и устойчивыми к угрозам завтрашнего дня.

Снижение рисков, укрепление политик и защита конфиденциальных данных

1. Регулярный аудит политик: Планируйте частые проверки областей действия и исключений условных политик доступа. Выявляйте устаревшие правила и слишком широкие исключения, которые со временем появились в конфигурации.
2. Единообразное применение MFA: Не довольствуйтесь частичным внедрением. Применяйте многофакторную аутентификацию везде, где она поддерживается, особенно для учётных записей администраторов и сторонних интеграций.
3. Минимизируйте исключения и контролируйте их: Любое исключение (для пользователя, приложения или устройства) должно быть минимальным, ограниченным по времени и активно отслеживаться на предмет злоупотреблений и отклонений. Принцип «настроил и забыл» здесь не работает.
4. Отдавайте приоритет соответствию устройств: Предоставляйте доступ только устройствам, которые соответствуют действующим стандартам соответствия. Используйте автоматизированные инструменты, чтобы состояние защиты оставалось актуальным, и не полагайтесь только на первоначальную регистрацию.
5. Политики предотвращения утечки данных (DLP): Дополняйте механизмы контроля доступа продуманными стратегиями DLP, чтобы ограничить раскрытие конфиденциальной информации, особенно в средах по умолчанию и совместной работы.
6. Баланс между безопасностью и удобством: Избегайте крайностей. Добивайтесь стабильного принципа «наименьших привилегий» и адаптивного внедрения политик. Практические рекомендации по планированию см. в этом обсуждении свободы пользователя и Zero Trust.

Поиск угроз и обнаружение с помощью Graph API и покрытие MITRE ATT&CK

• Используйте журналы Microsoft Graph API: Применяйте Graph API для получения журналов аутентификации, согласий и оценки политик, чтобы проактивно анализировать их и выявлять нетипичные или обойдённые события.
• Интеграция с SIEM (Microsoft Sentinel, Splunk и др.): Направляйте журналы идентификации, аутентификации и условного доступа в вашу SIEM-систему для корреляции, оповещений и криминалистического анализа.
• Сопоставление с тактиками MITRE ATT&CK: Согласуйте правила обнаружения и запросы мониторинга с фреймворком MITRE, охватывая такие техники, как первоначальный доступ, кража токенов и горизонтальное перемещение, для структурированного плана реагирования.
• Аудит действий пользователей с Purview: Аудит Microsoft Purview обеспечивает отслеживание действий пользователей во всём клиенте. Если вы работаете с регулируемыми или высокорисковыми данными, переходите на премиальные уровни для более длительного хранения и более полных сигналов.

Дополнительные исследования, литература и таблица задокументированных методов обхода

Чтобы опережать методы обхода, нужно постоянно учиться и тестировать решения в реальных условиях. Официальная документация Microsoft хорошо подходит в качестве основы, но ленты киберразведки, блоги по безопасности и публичные исследования постоянно находят новые пути обхода. Подборку материалов о проблемах доверия и дрейфа политик можно найти в этом подробном обсуждении избыточных исключений и скрытого дрейфа.

Ниже кратко перечислены некоторые из самых заметных обходов, зафиксированных в реальной практике, с источниками для дальнейшего изучения:

• Злоупотребление выдачей согласия OAuth: Злоумышленники закрепляются в системе через авторизацию вредоносного приложения. (Подробнее о том, как это работает)
• Пробелы в устаревшей аутентификации: Исключённые протоколы IMAP и POP ведут к обходу MFA и риску атак распыления паролей (password spray).
• Эксплуатация доверия B2B и между клиентами: Несогласованность политик для гостевых пользователей открывает новые риски горизонтального перемещения.
• Повтор токенов ADFS и гибридной среды: Локальные ions или неверно настроенная облачная синхронизация могут приводить к дрейфу применения политик.

Для более глубокого изучения и непрерывного профессионального развития следите за блогами Microsoft по безопасности, отчётами об инцидентах и новыми исследованиями, в которых документируются новые пути обхода по мере развития угроз.

Заключение и стратегические выводы для защиты от обхода условного доступа

Опережать обход условного доступа на шаг — задача не одной политики или настройки, а мышления, бдительности и дисциплины. Злоумышленники постоянно придумывают новые способы, ища очередное забытое исключение или незамеченную цепочку доверия.

Лучшая защита основана на эшелонированной защите (defense-in-depth). Это означает многоуровневый контроль доступа, никогда не полагаться на один фактор и регулярно пересматривать области действия политик и состояние устройств. Адаптивные политики, надёжный мониторинг и быстрая реакция на новые угрозы помогают сохранять устойчивость среды по мере изменения методов атак.

Регулярно пересматривайте стратегии, своевременно закрывайте «временные» исключения и следите за новыми исследованиями и рекомендациями. Если относиться к условному доступу как к живому слою безопасности, который требует регулярной настройки, можно ставить злоумышленникам реальные препятствия, а не просто замедлять их.