Contactar al usuario
Confirme si el usuario inició los intentos de autenticación y determine si aprobó algún mensaje inesperado.
← Volver al cuaderno de ingenieríaFatiga MFA:
Operaciones de seguridad
Fatiga MFA:
Contención y Respuesta
Las solicitudes repetidas de MFA que un usuario no inició deben tratarse como un posible incidente de seguridad de identidad, no simplemente como un molesto problema de autenticación.
IdentidadMFARespuesta a incidentesMicrosoft Entra IDautenticación
Escenario
El usuario dice:
"Yo no hice eso".
Un usuario informa que recibe mensajes repetidos de MFA a pesar de que no está iniciando sesión activamente. La tentación inmediata puede ser solucionar problemas de la aplicación de autenticación o asumir que los mensajes son accidentales.
Pero una solicitud MFA inesperada puede indicar que alguien está intentando autenticarse utilizando la identidad del usuario y ha alcanzado la etapa MFA del proceso de inicio de sesión.
En ese momento, el problema debe tratarse como un posible incidente de seguridad de la identidad en lugar de un soporte de autenticación de rutina.
Primera respuesta
Los primeros 15 minutos
El objetivo inicial es establecer si la actividad es legítima, reducir la posibilidad de acceso continuo y preservar evidencia suficiente para comprender lo que sucedió.
contiene la cuenta
Si el usuario no inició las indicaciones, trate la actividad como sospechosa y comience a contenerla antes de continuar con la solución normal de problemas.
Revisar la actividad de autenticación
examina inicios de sesión recientes, intentos de autenticación, ubicaciones, dispositivos, aplicaciones, fallas y otras señales de identidad disponibles.
Invalidar acceso existente
cuando se sospeche que está comprometido, revoque las sesiones activas y solicite una nueva autenticación para que el acceso existente no pueda simplemente continuar.
Investigación
Preguntas que la evidencia debe responder
El objetivo es reconstruir lo que estaba haciendo la identidad en lugar de confiar únicamente en la memoria de las indicaciones del usuario.
01
¿La solicitud MFA fue iniciada por el usuario?
02
¿El usuario aprobó algún mensaje de autenticación inesperado?
03
¿Hay inicios de sesión exitosos desde dispositivos o ubicaciones desconocidos?
04
¿Los fallos repetidos provienen de la misma fuente?
05
¿Se registró recientemente un nuevo método de autenticación?
06
¿La cuenta accedió a aplicaciones que normalmente no utiliza?
07
¿Hay otros usuarios que muestran un comportamiento de autenticación similar?
08
¿Existe evidencia de que las credenciales puedan haber sido expuestas en otro lugar?
Ciclo de vida de respuesta
Contener. Investigar. Recuperar. Mejorar.
contener
detenga el acceso potencialmente no autorizado antes de dedicar demasiado tiempo a investigar la historia completa.
Investigar
Revise la actividad de identidad y determine si el evento representa un abuso fallido, un compromiso exitoso o un comportamiento legítimo.
Recuperar
Restaure el acceso normal solo después de que se hayan revisado las credenciales, las sesiones, los métodos MFA y el estado de la cuenta.
mejorar
Utilice el incidente para identificar cambios en políticas, capacitación, monitoreo o control de acceso que podrían reducir el riesgo futuro.
Contexto Operacional
La seguridad aún tiene que respaldar al usuario
En un entorno operativo, una cuenta puede estar vinculada a correo electrónico, sistemas de propiedad, herramientas de colaboración, acceso a archivos y otros servicios que el usuario necesita para realizar su trabajo.
Eso no significa que la contención deba retrasarse. Significa que la respuesta debe incluir comunicación, propiedad, planificación de recuperación y comprensión de qué procesos comerciales pueden verse afectados.
El objetivo no es simplemente bloquear una cuenta. Su objetivo es reducir el riesgo, comprender lo sucedido y devolver al usuario al funcionamiento normal de forma segura.
Lecciones
Lo que refuerza este escenario
01
Las indicaciones repetidas de MFA no deben tratarse automáticamente como un problema rutinario de soporte al usuario.
02
Las indicaciones repetidas e inesperadas de MFA pueden indicar que un atacante ha alcanzado la segunda etapa de autenticación, pero se necesita evidencia de inicio de sesión para determinar qué ocurrió realmente.
03
La contención y la investigación deben realizarse en paralelo cuando sea posible comprometer la identidad.
04
La confirmación del usuario es importante, pero los registros de identidad proporcionan la evidencia técnica.
05
Un incidente resuelto debe dejar documentación y un entorno de control más sólido.
comida para llevar
Un mensaje de MFA puede ser una señal de incidente
MFA es un control importante, pero un mensaje inesperado también puede convertirse en una señal de seguridad útil. Las solicitudes de autenticación que el usuario no inició deberían desencadenar la validación, la investigación y una respuesta proporcional a la evidencia.