← इंजीनियरिंग नोटबुक पर वापस

सुरक्षा संचालन

MFA थकान:
रोकथाम और प्रतिक्रिया

बार-बार MFA संकेत देता है कि उपयोगकर्ता ने पहल नहीं की है, इसे एक संभावित पहचान-सुरक्षा घटना के रूप में माना जाना चाहिए, न कि केवल एक कष्टप्रद प्रमाणीकरण समस्या के रूप में।

पहचानMFAघटना प्रतिक्रियाMicrosoft Entra IDप्रमाणीकरण

परिदृश्य

उपयोगकर्ता का कहना है:
"मैंने ऐसा नहीं किया।"

एक उपयोगकर्ता बार-बार MFA संकेत प्राप्त करने की रिपोर्ट करता है, भले ही वे सक्रिय रूप से साइन इन नहीं कर रहे हों। तत्काल प्रलोभन प्रमाणक एप्लिकेशन का समस्या निवारण करना या यह मान लेना हो सकता है कि संकेत आकस्मिक हैं।

लेकिन एक अप्रत्याशित MFA अनुरोध यह संकेत दे सकता है कि कोई व्यक्ति उपयोगकर्ता की पहचान का उपयोग करके प्रमाणित करने का प्रयास कर रहा है और साइन-इन प्रक्रिया के MFA चरण तक पहुंच गया है।

उस बिंदु पर, इस मुद्दे को नियमित प्रमाणीकरण समर्थन के बजाय संभावित पहचान-सुरक्षा घटना के रूप में माना जाना चाहिए।

पहली प्रतिक्रिया

पहले 15 मिनट

प्रारंभिक उद्देश्य यह स्थापित करना है कि क्या गतिविधि वैध है, निरंतर पहुंच की संभावना को कम करना, और जो हुआ उसे समझने के लिए पर्याप्त सबूत संरक्षित करना है।

01

उपयोगकर्ता से संपर्क करें

पुष्टि करें कि क्या उपयोगकर्ता ने प्रमाणीकरण प्रयास शुरू किए हैं और यह निर्धारित करें कि क्या उन्होंने किसी अप्रत्याशित संकेत को मंजूरी दी है।

02

खाता रखें

यदि उपयोगकर्ता द्वारा संकेत शुरू नहीं किए गए थे, तो गतिविधि को संदिग्ध मानें और सामान्य समस्या निवारण जारी रखने से पहले रोकथाम शुरू करें।

03

प्रमाणीकरण गतिविधि की समीक्षा करें

हाल के साइन-इन, प्रमाणीकरण प्रयासों, स्थानों, उपकरणों, एप्लिकेशन, विफलताओं और अन्य उपलब्ध पहचान संकेतों की जांच करें।

04

मौजूदा पहुंच को अमान्य करें

जब समझौता होने का संदेह हो, तो सक्रिय सत्र रद्द कर दें और नए प्रमाणीकरण की आवश्यकता है ताकि मौजूदा पहुंच आसानी से जारी न रह सके।

जांच

प्रश्न जिनका उत्तर साक्ष्य को देना चाहिए

लक्ष्य केवल उपयोगकर्ता की संकेतों की स्मृति पर निर्भर रहने के बजाय यह पुनर्निर्माण करना है कि पहचान क्या कर रही थी।

01

क्या MFA अनुरोध उपयोगकर्ता द्वारा शुरू किया गया था?

02

क्या उपयोगकर्ता ने किसी अप्रत्याशित प्रमाणीकरण संकेत को मंजूरी दी?

03

क्या अपरिचित उपकरणों या स्थानों से सफल साइन-इन हैं?

04

क्या बार-बार विफलताएँ एक ही स्रोत से आ रही हैं?

05

क्या हाल ही में एक नई प्रमाणीकरण विधि पंजीकृत की गई थी?

06

क्या खाता उन अनुप्रयोगों तक पहुंच गया जिनका वह सामान्य रूप से उपयोग नहीं करता है?

07

क्या अन्य उपयोगकर्ता समान प्रमाणीकरण व्यवहार दिखा रहे हैं?

08

क्या इस बात का सबूत है कि प्रमाण-पत्र कहीं और उजागर किए गए होंगे?

प्रतिक्रिया जीवनचक्र

युक्त। जाँच करना। वापस पाना। सुधार।

01

युक्त

पूरी कहानी की जांच में बहुत अधिक समय खर्च करने से पहले संभावित अनधिकृत पहुंच को रोकें।

02

जांच करें

पहचान गतिविधि की समीक्षा करें और निर्धारित करें कि क्या घटना असफल दुरुपयोग, सफल समझौता या वैध व्यवहार का प्रतिनिधित्व करती है।

03

पुनः प्राप्त करना

क्रेडेंशियल्स, सत्र, MFA विधियों और खाता स्थिति की समीक्षा के बाद ही सामान्य पहुंच बहाल करें।

04

सुधार करो

नीति, प्रशिक्षण, निगरानी, ​​या पहुंच-नियंत्रण परिवर्तनों की पहचान करने के लिए घटना का उपयोग करें जो भविष्य के जोखिम को कम कर सकते हैं।

परिचालन संदर्भ

सुरक्षा को अभी भी उपयोगकर्ता का समर्थन करना होगा

एक परिचालन वातावरण में, एक खाता ईमेल, प्रॉपर्टी सिस्टम, सहयोग उपकरण, फ़ाइल एक्सेस और उपयोगकर्ता को अपना काम करने के लिए आवश्यक अन्य सेवाओं से जुड़ा हो सकता है।

इसका मतलब यह नहीं है कि रोकथाम में देरी की जानी चाहिए। इसका मतलब है कि प्रतिक्रिया में संचार, स्वामित्व, पुनर्प्राप्ति योजना और यह समझ शामिल होनी चाहिए कि कौन सी व्यावसायिक प्रक्रियाएं प्रभावित हो सकती हैं।

उद्देश्य केवल किसी खाते को लॉक करना नहीं है। यह जोखिम को कम करने, जो हुआ उसे समझने और उपयोगकर्ता को सुरक्षित रूप से सामान्य ऑपरेशन में वापस लाने के लिए है।

पाठ

यह परिदृश्य क्या पुष्ट करता है

01

बार-बार दोहराए गए MFA संकेतों को स्वचालित रूप से एक नियमित उपयोगकर्ता-समर्थन समस्या के रूप में नहीं माना जाना चाहिए।

02

बार-बार अप्रत्याशित MFA संकेत यह संकेत दे सकते हैं कि एक हमलावर प्रमाणीकरण के दूसरे चरण में पहुंच गया है, लेकिन वास्तव में क्या हुआ यह निर्धारित करने के लिए साइन-इन साक्ष्य की आवश्यकता है।

03

जब पहचान से समझौता संभव हो तो रोकथाम और जांच समानांतर रूप से होनी चाहिए।

04

उपयोगकर्ता की पुष्टि महत्वपूर्ण है, लेकिन पहचान लॉग तकनीकी साक्ष्य प्रदान करते हैं।

05

एक सुलझी हुई घटना को दस्तावेज़ीकरण और एक मजबूत नियंत्रण वातावरण पीछे छोड़ना चाहिए।

टेकअवे

एक MFA प्रॉम्प्ट एक घटना संकेत हो सकता है

MFA एक महत्वपूर्ण नियंत्रण है, लेकिन एक अप्रत्याशित संकेत भी एक उपयोगी सुरक्षा संकेत बन सकता है। उपयोगकर्ता द्वारा शुरू नहीं किए गए प्रमाणीकरण अनुरोधों को सत्यापन, जांच और साक्ष्य के अनुपात में प्रतिक्रिया को ट्रिगर करना चाहिए।