Налаштування MFA і перевірені практики

Що таке Налаштування MFA і перевірені практики?

Ввімкнути MFA — це не одне рішення, а вибір між способами, які дуже різняться за надійністю. Ви увійдете на корпоративний портал безпеки, порівняєте SMS-коди, застосунки-автентифікатори й апаратні ключі та побачите, чому через підміну SIM-картки SMS — найслабший із трьох способів. Потім ви зареєструєте застосунок-автентифікатор, підтвердите його чинним кодом і збережете коди відновлення, щоб втрата телефона не закрила вам доступ до облікових записів. Наприкінці ви дізнаєтеся про атаки втомою від MFA і про те, чому не можна схвалювати запит, який ви не ініціювали.

Що ви дізнаєтесь у Налаштування MFA і перевірені практики

• Налаштовуйте MFA із застосунком-автентифікатором і розумійте, чому вона надійніша за SMS-коди
• Пояснюйте, як працює атака втомою від MFA (push bombing) і чому будь-який запит на схвалення, який ви не ініціювали, треба відхиляти й повідомляти про нього
• Порівнюйте SMS, застосунки-автентифікатори й апаратні ключі за властивостями безпеки, щоб обґрунтовано вибирати спосіб MFA для різних типів облікових записів
• Зберігайте резервні коди й коди відновлення MFA в надійному місці окремо від пристрою із застосунком-автентифікатором
• Розпізнавайте способи MFA, стійкі до фішингу, як-от ключі безпеки FIDO2/WebAuthn, що усувають ризик атак із ретрансляцією облікових даних у реальному часі

Налаштування MFA і перевірені практики — Кроки навчання

1. Ласкаво просимо до Valcrest Financial Services

   Сьогодні служба ІТ-безпеки оголосила загальнокорпоративну ініціативу: усі працівники мають ввімкнути багатофакторну автентифікацію (MFA) у своїх облікових записах. На тренінгу ви налаштуєте MFA й дізнаєтеся, які є рекомендації щодо її використання.

2. Чому паролів недостатньо

   Паролі постійно викрадають під час витоків даних. Навіть надійний пароль можна скомпрометувати фішингом, кейлогерами або атаками підстановки облікових даних. MFA додає другий рівень захисту. Навіть якщо хтось викраде ваш пароль, без другого фактора — того, що є лише у вас, — він не зможе увійти у ваш обліковий запис.

3. Лист про ініціативу з MFA

   Аліса отримує лист від служби ІТ-безпеки про нову вимогу щодо MFA.

4. Портал безпеки

   Аліса переходить за посиланням на портал безпеки. На ньому працівники керують налаштуваннями безпеки, зокрема налаштовують спосіб MFA.

5. Вхід на портал безпеки

   Відкривається сторінка входу на портал безпеки. Аліса може скористатися менеджером паролів, щоб безпечно ввести свої облікові дані.

6. Які бувають фактори MFA

   Портал безпеки показує огляд багатофакторної автентифікації. Для MFA потрібно щонайменше два з цих трьох типів факторів: «Те, що ви знаєте» — паролі, PIN-коди, контрольні запитання «Те, що у вас є» — телефон, ключ безпеки, смарт-картка «Те, ким ви є» — відбиток пальця, розпізнавання обличчя й голосу Якщо поєднати фактори з різних категорій, облікові записи значно важче зламати.

7. Перегляд способів MFA

   Тепер, коли ви знаєте три категорії факторів, розгляньмо конкретні способи MFA, доступні в компанії Valcrest Financial Services.

8. Способи MFA: SMS-коди

   Портал пропонує три способи MFA. Перший — підтвердження через SMS: «SMS-повідомлення» Код надходить на телефон в SMS-повідомленні Легко налаштувати: потрібен лише номер телефона Працює на будь-якому телефоні, який приймає SMS Обмеження: Вразливий до атак із підміною SIM-картки Код можна перехопити, якщо телефон скомпрометовано Потрібен мобільний зв'язок SMS краще, ніж відсутність MFA, але це не найнадійніший спосіб.

9. Способи MFA: застосунки-автентифікатори

   Другий спосіб — застосунки-автентифікатори: Застосунки-автентифікатори (Google Authenticator, Microsoft Authenticator, Authy) Генерують одноразові паролі на основі часу (TOTP) Працюють офлайн: мобільний зв'язок не потрібен Надійніші за SMS: не вразливі до підміни SIM-картки Код змінюється кожні 30 секунд Що врахувати: Потрібно встановити застосунок Обов'язково збережіть коди відновлення: якщо ви втратите телефон, то втратите й доступ Більшості користувачів рекомендують застосунки-автентифікатори.

10. Способи MFA: апаратні ключі безпеки

    Третій і найнадійніший спосіб — апаратні ключі безпеки: Апаратні ключі безпеки (YubiKey, Google Titan, Feitian) Фізичний пристрій, який для автентифікації під'єднують або прикладають Стійкий до фішингу: працює лише на справжніх сайтах Його не можна перехопити дистанційно Найнадійніший із доступних способів Що врахувати: Потрібно придбати фізичний ключ Потрібен запасний ключ на випадок втрати Підтримується не всіма сервісами Ключі безпеки ідеально підходять для особливо важливих облікових записів, наприклад у фінансових системах.