Связаться с пользователем
Подтвердите, инициировал ли пользователь попытки аутентификации, и определите, одобрил ли он какие-либо неожиданные запросы.
← Назад к Инженерный блокнотУсталость МИД:
Операции по обеспечению безопасности
Усталость МИД:
Сдерживание и реагирование
Повторные запросы MFA, которые не были инициированы пользователем, следует рассматривать как потенциальный инцидент безопасности идентификации, а не просто раздражающую проблему аутентификации.
ЛичностьMFAРеагирование на инцидентыMicrosoft Entra IDАутентификация
Сценарий
Пользователь говорит:
«Я этого не делал».
Пользователь сообщает о получении повторяющихся запросов MFA, даже если он не выполняет активный вход в систему. Непосредственным искушением может стать устранение неполадок приложения проверки подлинности или предположение, что запросы являются случайными.
Но неожиданный запрос MFA может указывать на то, что кто-то пытается пройти аутентификацию с использованием удостоверения пользователя и достиг стадии MFA процесса входа.
На этом этапе проблему следует рассматривать как потенциальный инцидент безопасности идентификации, а не как рутинную поддержку аутентификации.
Первый ответ
Первые 15 минут
Первоначальная цель — установить, является ли деятельность законной, снизить вероятность продолжения доступа и сохранить достаточно доказательств, чтобы понять, что произошло.
Содержать учетную запись
Если запросы были инициированы не пользователем, расцените это действие как подозрительное и начните сдерживание, прежде чем продолжить обычное устранение неполадок.
Просмотр активности аутентификации
Изучите недавние входы в систему, попытки аутентификации, местоположения, устройства, приложения, сбои и другие доступные идентификационные сигналы.
аннулировать существующий доступ
При подозрении на взлом отмените активные сеансы и потребуйте новой аутентификации, чтобы существующий доступ не мог просто продолжаться.
Расследование
Вопросы, на которые должны ответить доказательства
Цель состоит в том, чтобы восстановить то, что делал личность, а не полагаться только на память пользователя о подсказках.
01
Был ли запрос MFA инициирован пользователем?
02
Одобрил ли пользователь какой-либо неожиданный запрос на аутентификацию?
03
Есть ли успешные входы с незнакомых устройств или мест?
04
Повторяющиеся сбои происходят из одного и того же источника?
05
Был ли недавно зарегистрирован новый метод аутентификации?
06
Имела ли учетная запись доступ к приложениям, которые она обычно не использует?
07
Другие пользователи демонстрируют аналогичное поведение при аутентификации?
08
Есть ли доказательства того, что учетные данные могли быть раскрыты где-то еще?
Жизненный цикл ответа
Содержать. Расследовать. Восстанавливаться. Улучшать.
Содержать
Остановите потенциально несанкционированный доступ, прежде чем тратить слишком много времени на изучение всей истории.
Расследовать
просмотрите действия с идентификацией и определите, представляет ли это событие неудавшееся злоупотребление, успешную компрометацию или законное поведение.
Выздороветь
восстанавливайте обычный доступ только после проверки учетных данных, сеансов, методов MFA и состояния учетной записи.
Улучшить
Используйте инцидент для выявления изменений политики, обучения, мониторинга или контроля доступа, которые могут снизить будущие риски.
Операционный контекст
Безопасность по-прежнему должна поддерживать пользователя
В операционной среде учетная запись может быть привязана к электронной почте, системам собственности, инструментам совместной работы, доступу к файлам и другим службам, необходимым пользователю для выполнения своей работы.
Это не означает, что содержание следует отложить. Это означает, что ответные меры должны включать в себя коммуникацию, ответственность, планирование восстановления и понимание того, какие бизнес-процессы могут быть затронуты.
Цель состоит не в том, чтобы просто заблокировать учетную запись. Это необходимо для снижения риска, понимания того, что произошло, и безопасного возврата пользователя к нормальной работе.
Уроки
Что усиливает этот сценарий
01
Повторяющиеся запросы MFA не следует автоматически рассматривать как обычную проблему поддержки пользователей.
02
Повторяющиеся неожиданные запросы MFA могут указывать на то, что злоумышленник достиг второго этапа аутентификации, но для определения того, что на самом деле произошло, необходимы доказательства входа.
03
Сдерживание и расследование должны проводиться параллельно, когда возможно раскрытие личности.
04
Подтверждение пользователя важно, но журналы идентификации предоставляют технические доказательства.
05
Устраненный инцидент должен оставить после себя документацию и более сильную среду контроля.
Вынос
Подсказка MFA может быть сигналом об инциденте.
MFA — важный элемент управления, но неожиданный запрос также может стать полезным сигналом безопасности. Запросы аутентификации, инициированные не пользователем, должны инициировать проверку, расследование и ответ, пропорциональный доказательствам.