ユーザーに連絡する
ユーザーが認証試行を開始したかどうかを確認し、予期しないプロンプトを承認したかどうかを判断します。
← エンジニアリングノートブックに戻るMFA 疲労:
セキュリティ作戦
MFA 疲労:
封じ込めと対応
ユーザーが開始していない MFA プロンプトが繰り返される場合は、単なる煩わしい認証の問題ではなく、潜在的な ID セキュリティ インシデントとして扱う必要があります。
アイデンティティMFAインシデント対応Microsoft Entra ID認証
シナリオ
ユーザーはこう言います:
「そんなことしてないよ」
ユーザーは、積極的にサインインしていないにもかかわらず、MFA プロンプトを繰り返し受信すると報告しています。すぐに、認証アプリケーションのトラブルシューティングを行うか、プロンプトが偶然であると仮定する誘惑にかられる可能性があります。
ただし、予期しない MFA 要求は、誰かがユーザーの ID を使用して認証を試行し、サインイン プロセスの MFA 段階に到達したことを示している可能性があります。
その時点で、この問題は日常的な認証サポートではなく、潜在的な ID セキュリティ インシデントとして扱われる必要があります。
最初の応答
最初の15分
初期の目的は、活動が合法かどうかを確認し、継続的なアクセスの可能性を減らし、何が起こったのかを理解するのに十分な証拠を保存することです。
アカウントの封じ込め
プロンプトがユーザーによって開始されたものでない場合は、そのアクティビティを不審なものとして扱い、通常のトラブルシューティングを続行する前に封じ込めを開始します。
認証アクティビティの確認
最近のサインイン、認証試行、場所、デバイス、アプリケーション、障害、およびその他の利用可能な ID 信号を調べます。
既存のアクセスを無効にする
侵害が疑われる場合は、アクティブなセッションを取り消し、新たな認証を要求して、既存のアクセスを単純に継続できないようにします。
調査
証拠が答えるべき質問
目標は、ユーザーのプロンプトの記憶だけに依存するのではなく、アイデンティティが何をしていたかを再構築することです。
01
MFA リクエストはユーザーによって開始されましたか?
02
ユーザーは予期しない認証プロンプトを承認しましたか?
03
見慣れないデバイスまたは場所からのサインインは成功していますか?
04
繰り返される失敗は同じ原因から来ていますか?
05
新しい認証方法が最近登録されましたか?
06
アカウントは、通常は使用しないアプリケーションにアクセスしましたか?
07
他のユーザーも同様の認証動作を示していますか?
08
資格情報が他の場所で公開された可能性があるという証拠はありますか?
応答ライフサイクル
収容する。調査する。回復する。改善する。
含む
全容の調査に多大な時間を費やす前に、不正アクセスの可能性を阻止してください。
調査する
ID アクティビティを確認し、そのイベントが不正行為の失敗、侵害の成功、または正当な動作を表しているかどうかを判断します。
回復する
資格情報、セッション、MFA メソッド、およびアカウントの状態が確認された後にのみ、通常のアクセスを復元します。
改善する
インシデントを使用して、将来のリスクを軽減できるポリシー、トレーニング、モニタリング、またはアクセス制御の変更を特定します。
運用コンテキスト
セキュリティは依然としてユーザーをサポートする必要がある
運用環境では、アカウントは、電子メール、プロパティ システム、コラボレーション ツール、ファイル アクセス、およびユーザーが仕事を実行するために必要なその他のサービスに関連付けられている場合があります。
それは、封じ込めを遅らせるべきだという意味ではありません。つまり、対応には、コミュニケーション、所有権、復旧計画、およびどのようなビジネス プロセスが影響を受ける可能性があるかについての理解が含まれる必要があります。
目的は単にアカウントをロックすることではありません。リスクを軽減し、何が起こったのかを理解し、ユーザーを安全に通常の操作に戻すことが目的です。
レッスン
このシナリオが強調するもの
01
繰り返される MFA プロンプトは、自動的に日常的なユーザー サポートの問題として扱われるべきではありません。
02
予期しない MFA プロンプトが繰り返し表示される場合は、攻撃者が認証の第 2 段階に到達したことを示している可能性がありますが、実際に何が起こったのかを判断するにはサインインの証拠が必要です。
03
ID 侵害が考えられる場合は、封じ込めと調査を並行して行う必要があります。
04
ユーザーの確認は重要ですが、ID ログが技術的証拠を提供します。
05
解決されたインシデントは文書とより強力な管理環境を残すべきです。
テイクアウト
MFA プロンプトはインシデント信号になる可能性があります
MFA は重要なコントロールですが、予期しないプロンプトも有用なセキュリティ信号になる可能性があります。ユーザーが開始したものではない認証リクエストは、検証、調査、および証拠に応じた応答をトリガーする必要があります。