Vyžadování vícefaktorového ověřování proti útokům phishing pro správce

Přehled

Účty s privilegovanými rolemi pro správu jsou častými cíli útočníků. Vyžadování odolného vícefaktorového ověřování (MFA) proti phishingu pro tyto účty snižuje riziko kompromitace.

Upozornění

Před vytvořením zásady vyžadující vícefaktorové ověřování odolné proti útokům phishing se ujistěte, že správci zaregistrují příslušné metody. Povolení této zásady bez dokončení tohoto kroku by mohlo vést k uzamčení vašeho nájemce. Správci můžou nakonfigurovat dočasné přístupové heslo k registraci metod ověřování bez hesla nebo postupovat podle kroků v registraci klíče (FIDO2).

Microsoft doporučuje vyžadovat vícefaktorové ověřování odolné proti útokům phishing alespoň pro následující role:

  • Globální správce
  • Správce aplikace
  • Správce ověřování
  • Správce fakturace
  • Správce cloudové aplikace
  • Správce podmíněného přístupu
  • Správce Exchange
  • Správce helpdesku
  • Správce hesel
  • Správce privilegovaného ověřování
  • Správce privilegovaných rolí
  • Správce zabezpečení
  • Správce SharePointu
  • Správce uživatelů

Organizace můžou na základě svých požadavků zahrnout nebo vyloučit role.

Organizace můžou tuto zásadu používat s funkcemi, jako je Privileged Identity Management (PIM), které umožňují vyžadovat vícefaktorové ověřování pro aktivaci rolí.

Síla ověřování

Tento článek pomáhá vaší organizaci vytvořit politiku vícefaktorového ověřování pro vaše prostředí s využitím autentizačních sil. Microsoft Entra ID nabízí tři předdefinované síly ověřování:

  • Síla vícefaktorového ověřování (méně omezující)
  • Síla vícefaktorového ověřování bez hesla
  • Odolnost MFA vůči phishingu (nejvíce omezující), doporučovaná v tomto článku

Použijte jednu z předdefinovaných silných stránek nebo vytvořte vlastní sílu ověřování na základě metod ověřování, které chcete vyžadovat.

U scénářů externích uživatelů se metody vícefaktorového ověřování, které přijímá tenant prostředku, liší podle toho, zda uživatel dokončí vícefaktorové ověřování ve svém domovském tenantovi nebo v tenantovi prostředku. Další informace najdete v tématu Síla ověřování pro externí uživatele.

Vyloučení uživatelů

Zásady podmíněného přístupu jsou výkonné nástroje. Doporučujeme z vašich zásad vyloučit následující účty:

  • Nouzový přístup nebo nouzové odblokování účtů pro zabránění uzamčení kvůli chybné konfiguraci zásad. V nepravděpodobném scénáři, kdy jsou všichni správci uzamčeni, můžete účet pro správu tísňového přístupu použít k přihlášení a obnovení přístupu.
  • Služební účty a Služební principály, jako je Microsoft Entra Connect Sync Account. Účty služeb jsou neinteraktivní účty, které nejsou svázané s žádným konkrétním uživatelem. Obvykle je používají back-endové služby k povolení programového přístupu k aplikacím, ale používají se také k přihlášení k systémům pro účely správy. Volání instančních objektů nejsou blokovaná zásadami podmíněného přístupu vymezenými na uživatele. Pomocí podmíněného přístupu pro identitidy pracovních zátěží definujte zásady, které cílí na principály služby.

Template deployment

Organizace můžou tuto zásadu nasadit pomocí níže uvedených kroků nebo pomocí šablon podmíněného přístupu.

Vytvořte zásady podmíněného přístupu

Varování

Pokud používáte metody externího ověřování, tyto metody jsou momentálně nekompatibilní s sílami ověřování. Místo toho použijte ovládací prvek Vyžadovat vícefaktorové ověřování .

  1. Přihlaste se do Centra pro správu Microsoft Entra s úrovní minimálně jako Správce podmíněného přístupu.
  2. Přejděte na Entra ID>Podmíněný přístup>Zásady.
  3. Vyberte Nová politika.
  4. Pojmenujte zásadu. Vytvořte smysluplný standard pojmenování pro zásady vaší organizace.
  5. V části Přiřazení vyberte Uživatelé nebo identity pracovních úloh.

    1. V části Zahrnout vyberte Adresářové role a zvolte alespoň ty role, které byly uvedeny dříve.

      Varování

      Zásady podmíněného přístupu podporují předdefinované role. Zásady podmíněného přístupu se nevynucují pro jiné typy rolí, včetně úloh omezených na administrativní jednotku nebo vlastních rolí.

    2. V části Vyloučit vyberte Uživatelé a skupiny a zvolte účty pro nouzový nebo krizový přístup vaší organizace.

  6. V části cílové prostředky>Prostředky (dříve cloudové aplikace)>zahrnout vyberte Všechny prostředky (dříve "Všechny cloudové aplikace").
  7. V části Řízení přístupu>, udělte přístup výběrem možnosti Udělit přístup.
    1. Vyberte Vyžadovat sílu ověřování a pak vyberte sílu vícefaktorového ověřování odolnou proti phishingu.
    2. Zvolte Zvolit.
  8. Potvrďte nastavení a nastavte Zásadu povolit na Pouze pro hlášení.
  9. Vyberte Vytvořit a aktivujte zásady.

Po potvrzení nastavení pomocí režimu dopadu zásad nebo režimu pouze sestavy přesuňte přepínač Povolit zásadu z pouze sestavy do Zapnuto.

Související obsah

  • Poslední aktualizace v