MFAプレイブック - Auth0 Docs

攻撃者は、 (MFA) のアラートを悪用して、システムへのアクセス権を得ることがあります。以下では、代表的なMFA攻撃の手口と、その調査方法について紹介します。

注目すべきログイベントを見つける

以下のログイベントタイプは、MFA 攻撃の調査に関連するものです。これらは Auth0 テナントログで確認できます。

Log Event Type	Description
`gd_auth_failed`	多要素認証に失敗しました。これはシステム障害の可能性もあれば、SMS/音声/Email/TOTP を MFA の認証要素として使用した際に、ユーザーが誤ったコードを入力した可能性もあります。失敗が頻繁に発生する場合は、攻撃や MFA の設定ミスを示している可能性があります。
`gd_auth_fail_email_verification`	email verification の失敗を示すログイベントタイプが高頻度で発生している場合、悪意のあるアクティビティやテナントの設定ミスを示している可能性があります。
`gd_auth_rejected`, `gd_send_pn` and `gd_send_pn_failure`	プッシュイベントの頻発や、応答のないプッシュイベントは、MFA fatigue 攻撃 (T1621) を示している可能性があります。
`gd_otp_rate_limit_exceed`	短期間に MFA の失敗が多発している場合、自動化された攻撃を示している可能性があります。
`gd_recovery_failed`	MFA の復旧の失敗が繰り返される場合、追加の認証要素を回避または置き換えようとする攻撃者の試みを示している可能性があります。
`gd_send_sms`, `gd_send_sms_failure`, `gd_send_voice`, and `gd_send_voice_failure`	これらのイベントが高頻度で発生している場合、SMS pumping 攻撃や toll fraud 攻撃を示しています。また、認証要素としての SMS/音声を回避しようとする試みを示している可能性もあります。
`gd_unenroll`	MFA デバイスの登録解除が大規模に発生している場合、アカウント乗っ取りキャンペーンが成功している可能性があります。

緩和策

以下は、MFA に対する攻撃への対策例です。

SMS ポンピング攻撃や通話料金詐欺を軽減するため、SMS/音声ベースの MFA を OTP または WebAuthn に置き換え、より強固な MFA オプションへ移行します。
SMS/音声 MFA を使用する場合は、Twilio の Preventing Fraud in Verify のような不正利用防止機能を導入し、SMS/音声 Provider のセキュリティを強化します。
プッシュ通知のレート制限を適用して、MFA fatigue を防ぎます。