Merencanakan default keamanan
Mengelola keamanan dapat sulit dengan serangan terkait identitas umum seperti semprotan kata sandi, replay, dan phishing menjadi lebih populer. Pengaturan keamanan default menyediakan pengaturan aman yang dikelola Microsoft atas nama organisasi untuk menjaga keamanan pelanggan hingga organisasi siap untuk mengelola keamanan identitas mereka sendiri. Pengaturan keamanan default menyediakan pengaturan keamanan yang telah dikonfigurasi sebelumnya, seperti:
Mengharuskan semua pengguna untuk mendaftar untuk autentikasi multifaktor.
Mengharuskan administrator untuk melakukan autentikasi multifaktor.
Memblokir protokol autentikasi lama.
Mengharuskan pengguna untuk melakukan autentikasi multifaktor jika diperlukan.
Melindungi aktivitas istimewa seperti akses ke portal Microsoft Azure.
Ketersediaan
Default keamanan Microsoft tersedia untuk semua orang. Tujuannya adalah memastikan semua organisasi memiliki tingkat keamanan dasar yang diaktifkan tanpa biaya tambahan. Jika penyewa milik Anda dibuat pada atau setelah 22 Oktober 2019, pengaturan default keamanan mungkin sudah diaktifkan. Untuk melindungi semua pengguna, pengaturan keamanan default diaktifkan pada semua penyewa baru saat pembuatan.
Untuk mengaktifkan atau menonaktifkan default keamanan, masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Akses Bersyarat, lalu telusuri ke Entra ID>Gambaran Umum>Properti, dan pilih Kelola default keamanan.
Untuk siapa?
| Siapa yang harus menggunakan default keamanan? | Siapa yang tidak boleh menggunakan default keamanan? |
|---|---|
| Organisasi yang ingin meningkatkan postur keamanan mereka tetapi tidak tahu bagaimana atau dari mana harus memulai | Organisasi saat ini menggunakan kebijakan Akses Bersyarat untuk menyatukan sinyal, membuat keputusan, dan menerapkan kebijakan organisasi |
| Organisasi yang menggunakan tingkat gratis Lisensi ID Microsoft Entra | Organisasi dengan lisensi Microsoft Entra ID Premium |
| Organisasi dengan persyaratan keamanan kompleks yang menjamin penggunaan Akses Bersyarat |
Kebijakan yang diberlakukan
Pendaftaran autentikasi multifaktor terpadu
Semua pengguna di penyewa Anda harus mendaftar untuk autentikasi multifaktor (MFA) menggunakan aplikasi Microsoft Authenticator. Pendaftaran diperlukan segera—tidak ada masa tenggang. Saat pengguna masuk setelah default keamanan diaktifkan, mereka diminta untuk mendaftar sebelum mereka dapat mengakses sumber daya apa pun. Perintah MFA menggunakan pencocokan angka, di mana pengguna memasukkan angka yang ditampilkan di layar ke dalam aplikasi Microsoft Authenticator, yang membantu mencegah serangan kelelahan MFA.
Melindungi admin
Pengguna dengan akses istimewa sering meningkatkan akses ke lingkungan Anda. Karena kekuatan yang miliki akun-akun ini, Anda harus memperlakukannya dengan hati-hati. Salah satu metode umum untuk meningkatkan perlindungan akun istimewa adalah dengan memerlukan bentuk verifikasi akun yang lebih kuat untuk masuk. Di ID Microsoft Entra, Anda bisa mendapatkan verifikasi akun yang lebih kuat dengan memerlukan autentikasi multifaktor.
Setelah pendaftaran dengan autentikasi multifaktor selesai, peran administrator Microsoft Entra berikut diperlukan untuk melakukan autentikasi lain setiap kali mereka masuk:
- Administrator Global
- Administrator Aplikasi
- Administrator Autentikasi
- Administrator Kebijakan Autentikasi
- Administrator Tagihan
- Administrator Aplikasi Cloud
- Administrator Akses Bersyarat
- Pengelola Exchange
- Administrator Bantuan Teknis
- Administrator Pengelola Identitas
- Pengelola Kata Sandi
- Administrator Autentikasi dengan Hak Istimewa
- Administrator Peran Khusus
- Administrator Keamanan
- Administrator SharePoint
- Administrator Pengguna
Memproteksi semua pengguna
Kita cenderung berpikir bahwa akun admin adalah satu-satunya akun yang memerlukan lapisan autentikasi ekstra. Admin memiliki akses luas ke informasi sensitif dan dapat membuat perubahan pada pengaturan di seluruh langganan. Namun, penyerang sering menargetkan pengguna akhir.
Setelah penyerang mendapatkan akses, mereka dapat meminta akses ke informasi istimewa atas nama pemegang akun asli. Mereka bahkan dapat mengunduh seluruh direktori untuk melakukan serangan phishing pada seluruh organisasi Anda.
Salah satu metode umum untuk meningkatkan perlindungan bagi semua pengguna adalah dengan mewajibkan bentuk verifikasi akun yang lebih kuat, seperti autentikasi multifaktor, untuk semua orang. Setelah pengguna menyelesaikan pendaftaran Autentikasi Multifaktor, mereka akan dimintai autentikasi tambahan kapan pun diperlukan. Fungsionalitas ini melindungi semua aplikasi yang terdaftar dengan MICROSOFT Entra ID, termasuk aplikasi SaaS.
Memblokir autentikasi versi lama
Untuk memberi pengguna Anda akses mudah ke aplikasi cloud Anda, MICROSOFT Entra ID mendukung berbagai protokol autentikasi, termasuk autentikasi warisan. Autentikasi warisan adalah permintaan autentikasi yang dibuat oleh:
- Klien yang tidak menggunakan autentikasi modern (contohnya, klien Office 2010). Autentikasi modern mencakup klien yang menerapkan protokol, seperti OAuth 2.0, untuk mendukung fitur seperti autentikasi multifaktor dan kartu pintar. Autentikasi warisan biasanya hanya mendukung mekanisme yang kurang aman seperti kata sandi.
- Klien yang menggunakan protokol email seperti IMAP, SMTP, atau POP3.
Saat ini, sebagian besar upaya masuk yang rentan terhadap risiko berasal dari autentikasi lama. Autentikasi lama tidak mendukung Autentikasi Multifaktor. Bahkan jika Anda memiliki kebijakan autentikasi multifaktor yang diaktifkan di direktori, penyerang dapat mengautentikasi dengan menggunakan protokol yang lebih lama dan melewati autentikasi multifaktor.
Setelah default keamanan diaktifkan di penyewa Anda, semua permintaan autentikasi yang dibuat oleh protokol yang lebih lama akan diblokir. Default keamanan memblokir autentikasi dasar Exchange Active Sync.