Плейбук: неизвестное приложение или пароль приложения в почте

Отзовите неизвестное приложение (OAuth: доступ к ящику без повторного пароля), пароль приложения и постоянные токены в своей почтовой консоли — доступ может жить после смены пароля. Ввод пароля на чужой странице — обзорный сценарий учётки: компрометация учётки. Чужой MX: почта домена. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Чужие ящики не открываем.

Признаки и что не делать

Письма уходят, пароль только что меняли; в консоли «приложения» неизвестное имя; правила фильтра тихие. Не достаточно сменить пароль и уйти. Не подтверждайте OAuth ещё раз «чтобы воспроизвести».

Первые шаги

1. С чистой машины, в админке почты: список приложений, паролей приложений, правил пересылки. Снимите скрин, затем отзовите всё чужое.
2. Завершите сеансы. Второй фактор перевыпустите, если устройство MFA тоже под вопросом: SIM и MFA.
3. Журнал входов и скачиваний за период. ПДн в письмах — сроки РКН.
4. Шлюз мог пропустить письмо с согласием OAuth — это не повод отключать фильтр: почтовый шлюз.

Приоритет: высокий; критический для ящика руководителя или бухгалтерии. Эскалация как при учётке, плюс проверка соседних ящиков на те же приложения.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Сценарий учётки закрывает пароль. Этот — токен, который пароль переживает.

Как проверить

1. В консоли почты есть экран приложений, и плейбук на него ссылается.
2. Смена пароля не считается закрытием инцидента без отзыва приложений.
3. Нет шага «войти ещё раз на ту же страницу согласия».

Источники

• CIS Control 17: cisecurity.org/controls.