微软回应OneDrive枚举风险：低风险侦察可能限流

驱动中国10月31日消息，微软就企业客户关注的OneDrive URL探测问题作出回应，称攻击者可通过批量访问OneDrive或SharePoint链接枚举用户主体名称，但该行为被归类为低风险侦察手段，微软可能通过限流提高批量枚举难度。

微软表示，攻击者利用批量访问链接，可能枚举出用户主体名称（UPN），并将相关结果用于精准网络钓鱼、撞库、暴力破解或社会工程攻击。OneDrive和SharePoint的URL中常包含UPN，攻击者可据此判断某个用户身份是否存在。

微软将这种“用户名枚举”归类为低风险侦察手段，认为其本质是被动的，本身无法绕过身份验证，也无法直接获取账户权限。同时，这类URL探测行为不会出现在Microsoft Entra登录日志或Microsoft Purview中，安全团队目前难以直接发现，也无法收到相关告警。

针对该风险，微软并非完全放任。若某个客户端反复尝试访问大量不存在的OneDrive站点集合，微软可能对该IP进行限流。在限制期内，该客户端访问OneDrive站点时会收到HTTP 429“请求过多”错误，从而提高批量枚举的难度。

微软强调，真正的风险在于“后续攻击”。攻击者拿到有效用户名后，可能发起更有针对性的钓鱼邮件、凭证填充或冒充沟通。微软建议给账户启用多因素身份验证（MFA），配置条件访问（Conditional Access）和登录风险策略，部署钓鱼防护，并持续开展员工安全意识培训。