Ένας κλεμμένος κωδικός πρόσβασης δεν πρέπει να είναι αρκετός για να αποκτήσει κάποιος πρόσβαση στο εταιρικό email, στο Microsoft 365 ή σε άλλες κρίσιμες υπηρεσίες. Η πολυπαράγοντη αυθεντικοποίηση (Multi-Factor Authentication – MFA) προσθέτει επιπλέον επίπεδα επαλήθευσης και αποτελεί βασικό μέτρο προστασίας των εταιρικών λογαριασμών.
Ωστόσο, δεν παρέχουν όλες οι μέθοδοι MFA το ίδιο επίπεδο προστασίας. Οι επιχειρήσεις χρειάζεται πλέον να εξετάζουν όχι μόνο αν χρησιμοποιούν MFA, αλλά και ποια μέθοδο αυθεντικοποίησης χρησιμοποιούν και πόσο ανθεκτική είναι απέναντι σε σύγχρονες επιθέσεις phishing.
Τι είναι η Πολυπαράγοντη Αυθεντικοποίηση (MFA);
Η MFA απαιτεί από τον χρήστη να αποδείξει την ταυτότητά του χρησιμοποιώντας περισσότερους από έναν διαφορετικούς παράγοντες αυθεντικοποίησης. Αυτοί μπορεί να βασίζονται σε κάτι που γνωρίζει ο χρήστης, κάτι που διαθέτει ή κάποιο χαρακτηριστικό του ίδιου του χρήστη.
Στην πράξη, ένα συνηθισμένο παράδειγμα είναι ο συνδυασμός ενός κωδικού πρόσβασης με μια δεύτερη μέθοδο επαλήθευσης. Έτσι, ακόμη και αν ένας επιτιθέμενος αποκτήσει τον κωδικό, χρειάζεται να ξεπεράσει και τον πρόσθετο μηχανισμό αυθεντικοποίησης.
Γιατί χρειάζεται MFA μια επιχείρηση;
Οι εταιρικοί λογαριασμοί αποτελούν σημαντικό στόχο για επιθέσεις phishing, κλοπή διαπιστευτηρίων και άλλες τεχνικές παραβίασης ταυτότητας. Ένας παραβιασμένος λογαριασμός email μπορεί να χρησιμοποιηθεί για πρόσβαση σε εταιρικά δεδομένα, εξαπάτηση συνεργατών ή περαιτέρω επιθέσεις μέσα στον οργανισμό.
Η MFA προσθέτει ένα σημαντικό εμπόδιο μετά την κλοπή ενός κωδικού πρόσβασης. Αυτό όμως δεν σημαίνει ότι κάθε μορφή MFA αντιμετωπίζει αποτελεσματικά κάθε τύπο επίθεσης.
Δεν είναι όλες οι μέθοδοι MFA εξίσου ασφαλείς
Κωδικοί μέσω SMS, one-time passwords και push notifications μπορούν να προσφέρουν μεγαλύτερη προστασία από έναν λογαριασμό που βασίζεται αποκλειστικά σε password. Παρ’ όλα αυτά, αυτές οι μέθοδοι δεν είναι όλες ανθεκτικές σε σύγχρονες τεχνικές phishing.
Για παράδειγμα, ένας χρήστης μπορεί να εξαπατηθεί ώστε να εισαγάγει έναν προσωρινό κωδικό σε μια πλαστή σελίδα σύνδεσης. Αντίστοιχα, επαναλαμβανόμενα αιτήματα έγκρισης μπορούν να χρησιμοποιηθούν σε επιθέσεις MFA fatigue με στόχο να πειστεί ο χρήστης να εγκρίνει μια σύνδεση που δεν ξεκίνησε ο ίδιος.
Δείτε επίσης: MFA Fatigue Attacks: Πώς οι επιτιθέμενοι παρακάμπτουν την πολυπαραγοντική αυθεντικοποίηση.
Τι είναι το Phishing-Resistant MFA;
Οι phishing-resistant μέθοδοι αυθεντικοποίησης έχουν σχεδιαστεί ώστε τα διαπιστευτήρια να μην μπορούν εύκολα να παραδοθούν ή να επαναχρησιμοποιηθούν σε μια πλαστή υπηρεσία σύνδεσης.
Στο οικοσύστημα Microsoft Entra, phishing-resistant επιλογές περιλαμβάνουν μεταξύ άλλων passkeys (FIDO2), FIDO2 security keys, Windows Hello for Business και certificate-based authentication.
Οι passkeys χρησιμοποιούν κρυπτογραφία δημόσιου κλειδιού και συνδέουν το credential με τη νόμιμη υπηρεσία στην οποία δημιουργήθηκε. Αυτό τις καθιστά πολύ πιο ανθεκτικές σε επιθέσεις που προσπαθούν να υποκλέψουν passwords ή one-time codes μέσω πλαστών σελίδων σύνδεσης.
Δείτε επίσης: Passkeys: Τι είναι και γιατί αντικαθιστούν τους κωδικούς πρόσβασης.
Πού πρέπει να εφαρμόζεται MFA;
Η προτεραιότητα πρέπει να δίνεται στους λογαριασμούς και στις υπηρεσίες όπου μια παραβίαση μπορεί να προκαλέσει σημαντική επιχειρηματική ζημιά. Ενδεικτικά:
- εταιρικό email και Microsoft 365,
- λογαριασμοί διαχειριστών και άλλοι privileged accounts,
- cloud εφαρμογές που περιέχουν εταιρικά ή προσωπικά δεδομένα,
- απομακρυσμένη πρόσβαση και VPN,
- συστήματα οικονομικής διαχείρισης και άλλες κρίσιμες επιχειρηματικές εφαρμογές.
Για λογαριασμούς με αυξημένα δικαιώματα, η χρήση phishing-resistant μεθόδων έχει ακόμη μεγαλύτερη σημασία, επειδή η παραβίασή τους μπορεί να δώσει στον επιτιθέμενο εκτεταμένη πρόσβαση στην υποδομή της επιχείρησης.
MFA στο Microsoft 365 και Microsoft Entra
Στο Microsoft Entra μπορούν να χρησιμοποιηθούν διαφορετικές μέθοδοι για την εφαρμογή MFA, ανάλογα με το περιβάλλον και τις διαθέσιμες άδειες χρήσης.
Τα Security Defaults παρέχουν βασικές δυνατότητες προστασίας ταυτότητας. Για πιο λεπτομερή έλεγχο, το Microsoft Entra Conditional Access επιτρέπει στην επιχείρηση να καθορίζει πολιτικές πρόσβασης και, μεταξύ άλλων, να απαιτεί συγκεκριμένο επίπεδο αυθεντικοποίησης για επιλεγμένους χρήστες ή πόρους.
Η χρήση Conditional Access απαιτεί κατάλληλο licensing, όπως Microsoft Entra ID P1. Το Microsoft 365 Business Premium περιλαμβάνει δυνατότητες Conditional Access, ενώ λειτουργίες risk-based Conditional Access απαιτούν Microsoft Entra ID P2.
Πρακτικά βήματα για μια μικρή ή μεσαία επιχείρηση
- Καταγράψτε τους κρίσιμους λογαριασμούς. Ξεκινήστε από administrators, εταιρικό email, cloud υπηρεσίες και εφαρμογές που περιέχουν ευαίσθητα δεδομένα.
- Ενεργοποιήστε MFA όπου υποστηρίζεται. Μην αφήνετε κρίσιμους λογαριασμούς να προστατεύονται αποκλειστικά από password.
- Προτιμήστε ισχυρότερες μεθόδους. Όπου είναι πρακτικά εφικτό, εξετάστε phishing-resistant επιλογές όπως passkeys και FIDO2 security keys.
- Δώστε ιδιαίτερη προσοχή στους administrators. Οι λογαριασμοί με αυξημένα δικαιώματα χρειάζονται ισχυρότερη προστασία από έναν τυπικό εταιρικό λογαριασμό.
- Σχεδιάστε ασφαλή διαδικασία ανάκτησης. Η απώλεια συσκευής ή authenticator δεν πρέπει να οδηγεί σε πρόχειρες παρακάμψεις της ασφάλειας.
- Εκπαιδεύστε τους εργαζομένους. Οι χρήστες πρέπει να γνωρίζουν ότι δεν εγκρίνουν αιτήματα σύνδεσης που δεν ξεκίνησαν οι ίδιοι και ότι αναφέρουν άμεσα ύποπτες ειδοποιήσεις.
Συμπέρασμα
Η πολυπαράγοντη αυθεντικοποίηση αποτελεί βασικό μέτρο προστασίας των εταιρικών λογαριασμών, αλλά η στρατηγική μιας επιχείρησης δεν πρέπει να σταματά στο απλό «έχουμε MFA».
Η επόμενη προτεραιότητα είναι η επιλογή ισχυρότερων, phishing-resistant μεθόδων για τους λογαριασμούς και τα συστήματα όπου ο κίνδυνος είναι μεγαλύτερος. Passkeys, FIDO2 security keys και άλλες σύγχρονες μέθοδοι μπορούν να ενισχύσουν σημαντικά την προστασία απέναντι στην κλοπή διαπιστευτηρίων και στις σύγχρονες επιθέσεις phishing.
Η DataShield.gr μπορεί να αξιολογήσει τον τρόπο με τον οποίο προστατεύονται οι εταιρικοί λογαριασμοί σας και να σας βοηθήσει να σχεδιάσετε κατάλληλη εφαρμογή MFA και πολιτικών πρόσβασης με βάση τις ανάγκες, τις υπάρχουσες υπηρεσίες και το licensing της επιχείρησής σας. Επικοινωνήστε μαζί μας για μια αρχική αξιολόγηση ασφάλειας.
