Alustage administraatoritest ja jõustage nende suhtes Conditional Accessi kaudu sisseehitatud autentimistugevus Phishing-resistant MFA. See lubab ainult Windows Hello for Businessi või platvormipõhist mandaati, FIDO2 turvavõtit või Entra sertifikaadipõhist autentimist (mitmefaktorilist). SMS ja push-kinnitused nendele kontodele poliitikaga kaetud ressurssides enam ei sobi, kuigi paroolipäring jääb alles (vt „Mis läheb katki“).
Miks administraatorid esimesena
Microsofti autentimise ülevaade märgib, et SMS-il, e-posti ühekordsel koodil või autentimisrakendustel põhinev MFA on altid kaugpüügile, kus ründajad varastavad paroole või ühekordseid koode, ilma kasutaja seadet puutumata. Microsoft soovitab selle asemel kasutada Windows Hello for Businessi, pääsuvõtmeid (FIDO2), FIDO2 turvavõtmeid või sertifikaadipõhist autentimist. Admin-konto on koht, kus varastatud kood läheb kõige kallimaks maksma, ja väikesel tiimil on üle viia vaid käputäis kontosid.
Olge tähelepanelik keskmise sisseehitatud valikuga. Autentimistugevuste dokumentatsiooni järgi hõlmab tugevus Passwordless MFA Microsoft Authenticatori telefoniga sisselogimist. Phishing-resistant tugevus seda ei hõlma.
Valmistage üürnik ette
Pääsuvõtmed (FIDO2) on saadaval kõigis Entra ID väljaannetes ilma lisalitsentsita. Conditional Access nõuab Entra ID P1.
Seaded asuvad menüüs Entra ID > Security > Authentication methods > Policies > Passkey (FIDO2). Vajate vähemalt rolli Authentication Policy Administrator. Olulised on kolm detaili:
- Pääsuvõtme profiilidega liitumine on ühesuunaline. Hiljem sellest loobuda ei saa ja teie praegused globaalsed seaded liiguvad profiili Default. Toetatud on kuni kolm profiili, kaasa arvatud Default.
- Allow self-service set up peab olema Yes, vastasel juhul ei saa kasutajad Security info kaudu pääsuvõtit registreerida. See on globaalne seade, mitte profiilipõhine.
- Registreerimine nõuab, et MFA oleks läbitud viimase viie minuti jooksul.
Administraatorite jaoks on dokumentatsiooni enda näiteks profiil, kus passkey type on Device-bound ja Enforce attestation on Yes. Device-bound tähendab, et privaatvõti ei lahku kunagi ühest füüsilisest seadmest, näiteks turvavõtmest või Microsoft Authenticatorist. Sünkroonitud pääsuvõtmed atesteerimist ei toeta ning Microsoft soovitab neid pidada küll andmepüügikindlaks, kuid turvatasemelt samaväärseks teiste atesteerimata autentijatega. NIST-i tekst nõuab kõrgeimal tasemel AAL3 andmepüügikindlat autentijat, mille võtit ei saa eksportida, seega on Entra valikutest sellele kõige lähemal seadmega seotud võtmed.
Jõustage autentimistugevusega
Looge Conditional Accessi poliitika, valige sihtmärgiks oma admin-rollid või grupp ja vali grant controls alt Require authentication strength. Valige Phishing-resistant MFA. Seda ei saa samas poliitikas kombineerida valikuga Require multifactor authentication, sest sisseehitatud MFA tugevus on selle kontrolliga samaväärne.
Sisseehitatud tugevusi ei saa muuta ja Microsoft uuendab neid, kui ilmuvad uued meetodid. Kui vajate kindlat lubatud meetodite komplekti, looge kohandatud tugevus.
SMS-i ei pea kõigi jaoks välja lülitama. Tugevus lisandub Authentication methods poliitikale ja kitsendab seda konkreetse stsenaariumi jaoks. Töötajad võivad tavaressursside jaoks kasutada edasi parooli ja push-kinnitust, samal ajal kui administraatoritele kehtib rangem poliitika.
Mis läheb katki
Administraator sisestab esmalt ikka parooli. Conditional Access hinnatakse pärast esmast autentimist, nii et tugevus nõuab andmepüügikindlat meetodit alles siis.
Kui kasutaja logib sisse esmase meetodina parooliga ja tugevus nõuab Windows Hello for Businessi, siis seda talt ei küsita. Ta peab seansi uuesti alustama, valima Sign-in options ja valima nõutud meetodi. Lisage see oma adminide juhendisse.
Kaks kontrolli toimivad erinevatel hetkedel. Enforce attestation kehtib ainult registreerimisel, nii et ilma atesteerimiseta registreeritud pääsuvõtit sisselogimisel ei blokeerita, kui selle sisse lülitate. Registreerige admin-võtmed pärast seda uuesti. AAGUID-i põhised võtmepiirangud kehtivad nii registreerimisel kui ka sisselogimisel, seega eelnevalt lubatud AAGUID-i eemaldamine lukustab välja kõik, kes selle mudeli registreerisid.
Profiilide kattumine on lubav ning mõjutab registreerimist ja sisselogimist pääsuvõtmepoliitika tasemel. Kui kasutaja kuulub mitme profiili alla, on pääsuvõti lubatud, kui see vastab täielikult vähemalt ühele neist, kindlas järjekorras. Admin, kes kuulub ka gruppi „kõik sünkroonitud või seadmega seotud“, saab seega pääsuvõtmepoliitika mõttes registreerida ja kasutada sünkroonitud pääsuvõtit. Allikad ei ütle, kas Conditional Accessi tugevus selle aktsepteerib, seega testige seda juhtumit.
Pärast liitumist kontrollige profiili Default jaotises Enable and target. Kui selle sihtmärk on All users ja see lubab sünkroonitud pääsuvõtmeid, suunake see ümber gruppidele, mis teie administraatoreid ei sisalda. Ärge selle asemel adminide jaoks erandit tehke poliitikas Passkey (FIDO2): välistatud grupp on FIDO2 registreerimisest ja sisselogimisest täielikult blokeeritud ning see tühistab iga kaasamise.
Sisselogimissagedus ja tugevus võivad olla täidetud eri aegadel. Pääsuvõtme tugevuse ja 1-tunnise sisselogimissageduse korral rahuldavad mõlemat 24 tundi tagasi tehtud pääsuvõtmega sisselogimine ja tänane Windows Hello seadme avamine. Kui toetute adminide puhul lühikestele sagedustele, testige seda juhtumit.
Temporary Access Pass on MFA tugevuses olemas, aga andmepüügikindlas mitte. Meie enda järeldus, mida allikad ei väida: Temporary Access Passile ehitatud taaste- või alglaadimisvoog poliitikat ei rahulda, seega vajab see erandit või eraldi poliitikat. Otsustage see enne jõustamist, mitte intsidendi ajal.
Kust alustada
- Koostage loend kõigist admin-rolliga kontodest ja valige pilootgruppi kaks või kolm.
- Liituge pääsuvõtme profiilidega, kontrollige profiili Default sihtmärki, looge admin-profiil väärtustega Device-bound ja Enforce attestation Yes ning suunake see ainult pilootgrupile.
- Registreerige iga pilootadmini kohta vähemalt kaks autentijat, näiteks turvavõti ja Windows Hello, ning veenduge, et sisselogimine töötab mõlemaga.
- Looge pilootgrupi jaoks Conditional Accessi poliitika tugevusega Phishing-resistant MFA. Üldise tavana (siin kasutatud Microsofti lehed hädaolukorra pääsukontosid ei käsitle) jätke hädaolukorra pääsukontod välja ja andke igaühele oma FIDO2 võti.
- Laiendage kõigile adminidele. Eemaldage enne atesteerimise jõustamist registreeritud pääsuvõtmed alles siis, kui iga admin on atesteeritud võtme uuesti registreerinud, et keegi välja ei lukustuks.
- Laske tulemust testida. Meie konsultatsioonimeeskond saab poliitikat üle vaadata ja penetratsioonitest näitab, kas mõni admin-tee aktsepteerib veel nõrgemat meetodit.
