Guide MFA - Auth0 Docs

Les attaquants peuvent exploiter et détourner les alertes d’ (MFA) pour accéder à vos systèmes. Vous trouverez ci-dessous quelques vecteurs d’attaque MFA courants ainsi que des conseils pour enquêter sur ces attaques.

Trouver les événements de journal pertinents

Les types d’événements de journal suivants sont pertinents pour l’analyse d’une attaque MFA. Vous les trouverez dans les journaux du tenant Auth0.

Type d’événement de journal	Description
`gd_auth_failed`	L’authentification multifacteur a échoué. Il peut s’agir d’une défaillance du système ou d’une saisie de code incorrecte par l’utilisateur lorsqu’il utilise SMS/voix/e-mail/TOTP comme facteur MFA. Des échecs fréquents peuvent indiquer une attaque ou une mauvaise configuration de la MFA.
`gd_auth_fail_email_verification`	Une fréquence élevée d’événements de journal d’échec de vérification du courriel peut indiquer une activité malveillante ou une mauvaise configuration du tenant.
`gd_auth_rejected`, `gd_send_pn` et `gd_send_pn_failure`	Des événements push fréquents et des événements push sans réponse peuvent indiquer des attaques de MFA fatigue (T1621).
`gd_otp_rate_limit_exceed`	Un trop grand nombre d’échecs MFA sur une courte période peut indiquer des attaques automatisées.
`gd_recovery_failed`	Des échecs répétés de récupération MFA peuvent indiquer des tentatives d’attaquants visant à contourner ou à remplacer des facteurs d’authentification supplémentaires.
`gd_send_sms`, `gd_send_sms_failure`, `gd_send_voice` et `gd_send_voice_failure`	Une fréquence élevée de ces événements indique du SMS pumping ou des attaques de fraude aux appels surtaxés. Cela peut aussi indiquer des tentatives de contournement de SMS/voix comme facteur.
`gd_unenroll`	Le désenrôlement à grande échelle d’appareils MFA peut indiquer des campagnes réussies de prise de contrôle de comptes.

Stratégies d’atténuation

Voici quelques exemples de réponses aux attaques visant la MFA :

Optez pour des options de MFA plus robustes en remplaçant la MFA par SMS/voix par OTP ou Webauthn afin d’atténuer le SMS pumping ou la fraude aux appels surtaxés.
Renforcez la sécurité du Provider SMS/Voice en mettant en place une protection contre la fraude, comme Preventing Fraud in Verify de Twilio, lorsque vous utilisez la MFA par SMS/voix.
Évitez la MFA fatigue en imposant des limites de débit aux push notifications.