TeamFiltration è un framework multipiattaforma usato per enumerare gli account Microsoft 365 e Microsoft Entra ID e per eseguire credential spraying e operazioni correlate sulle identità. Si concentra sulle identità cloud anziché sul malware per endpoint, quindi la principale evidenza è di solito nella telemetria di autenticazione, come i registri di accesso, i tentativi di accesso falliti e schemi insoliti di IP di origine.
Nelle operazioni di sicurezza, TeamFiltration è importante perché può scalare l'abuso delle identità su molti tenant e account con relativamente poco rumore. Gli aggressori possono usarlo per trovare account validi, testare password su molti utenti e sondare account di servizio deboli o obsoleti che dispongono ancora di privilegi. I difensori possono individuare questa attività monitorando raffiche di ripetuti errori di autenticazione, user agent rari, geografie anomale e tentativi di accesso contro identità non umane. Rafforzare gli account di servizio, imporre l'MFA e generare avvisi su pattern di spraying sono controlli chiave contro questa classe di attacco.