微软Entra新安全功能引发大规模账户锁定事件

误报触发大规模锁定

多家机构的Windows管理员报告称,微软Entra ID新推出的"MACE"(泄露凭证检测应用)功能在部署过程中产生大量误报,导致用户账户被大规模锁定。这些警报和锁定始于昨夜,部分管理员认为属于误报,因为这些账户使用的都是独立密码,未在其他任何网站或应用中使用过。

微软Entra ID(原Azure Active Directory)是一项基于云的身份和访问管理服务,可帮助企业管理用户身份并保护资源访问安全。

虚假泄露警报爆发

今日凌晨Reddit论坛的讨论帖显示,Windows管理员们反映收到大量Entra警报,提示其部分用户账户的凭证已在暗网或其他位置泄露。这些账户随即被自动锁定,每家企业都有大量用户受到影响。

一位管理员在Reddit上表示:"我们也中招了...约1/3的账户在一小时前被锁定。我们是MSP(托管服务提供商),估计客户也遭遇了同样情况。"被锁定的账户既未出现可疑登录等入侵迹象,又都启用了多因素认证(MFA)。此外,Have I Been Pwned(HIBP)等数据泄露通知服务也未发现相关账户信息。

Reddit另一则报告进一步证实了事件的广泛性:某MDR(托管检测与响应)服务商表示,一夜之间收到微软发送的超2万条关于不同客户凭证泄露的通知。

MACE功能部署问题

虽然微软尚未公开确认锁定原因,但已向受影响机构透露,问题源于新企业应用"MACE凭证撤销"(MACE Credential Revocation)的部署故障。一位管理员在Reddit上反馈:"刚与工程师沟通完毕,确认是MACE功能静默部署导致的租户锁定,无入侵迹象。工程师需要1小时将工单类型从'入侵'转为'锁定',现在可以松口气了。相关错误代码为53003(条件访问策略)。"

多名用户证实,在开始收到警报前,该应用被突然添加至其租户环境。MACE凭证撤销应用是微软Entra的一项功能,用于检测泄露凭证并锁定可能遭入侵的账户。

建议处理措施

尽管所有关于凭证泄露的警报都应进行调查以确认账户安全性,但若短时间内收到大量警报,很可能是此次功能部署所致。

相关推荐
q3181369061 分钟前
打造高效、安全的期货资管交易平台:开发流程与关键要素解析
安全
ALLSectorSorft4 小时前
相亲小程序聊天与互动系统模块搭建
java·数据库·sql·microsoft·oracle
FreeBuf_5 小时前
伪装成华硕游戏辅助软件的ArmouryLoader:突破系统安全防护的恶意代码注入器
安全·游戏·系统安全
Neolock5 小时前
从一开始的网络攻防(十四):WAF绕过
网络·安全·web安全·waf
不灭锦鲤5 小时前
网络安全学习第16集(cdn知识点)
学习·安全
上海云盾第一敬业销售9 小时前
为什么网站需要高防IP?高防IP的优势是什么?
网络·tcp/ip·安全
叙后尘9 小时前
2025年湖北中级注册安全工程师报考那些事
安全
前与端10 小时前
前端XSS常见特征与防范措施
安全
拉法豆粉11 小时前
渗透测试与漏洞扫描有什么区别?
网络·安全·web安全
曹莓可爱多12 小时前
常见CMS
网络·安全·web安全