รักษาความปลอดภัยการลงทะเบียน MFA และ SSPR ด้วยการเข้าถึงแบบมีเงื่อนไข

หลังจากที่คุณกำหนดค่า Azure AD MFA และ SSPR แล้ว คุณอาจต้องการดูวิธีรักษาความปลอดภัยการลงทะเบียนทั้งสอง ตัวอย่างเช่น คุณไม่ต้องการให้มีการโจมตีแบบสเปรย์ และผู้โจมตีลงทะเบียนสำหรับ MFA หรือ SSPR คุณสามารถรักษาความปลอดภัยการลงทะเบียน Azure MFA และการลงทะเบียน SSPR ด้วย Azure Conditional Access

การแนะนำ

คุณได้ปรับใช้ MFA โดยใช้ Microsoft Entra Conditional Access และเปิดใช้งานการรีเซ็ตรหัสผ่านด้วยตนเอง (SSPR) คุณลักษณะทั้งสองนี้บังคับใช้สำหรับผู้ใช้ หมายความว่าผู้ใช้ทุกคนจะถูกขอให้ลงทะเบียน MFA และ SSPR หลังจากลงชื่อเข้าใช้แล้ว

นั่นหมายความว่ามันปลอดภัยใช่ไหม? ไม่มันไม่ใช่ มาดูกันว่าการลงทะเบียนทำงานอย่างไรทั้งแบบมีและไม่มีการรักษาความปลอดภัยของการลงทะเบียน MFA และ SSPR

สิ่งที่น่ารู้คือ หากคุณเปิดใช้งานเฉพาะ MFA หรือ SSPR คุณสามารถติดตามบทความได้ แต่เราขอแนะนำให้กำหนดค่าทั้ง MFA และ SSPR ในองค์กร

การลงทะเบียน Azure MFA และ SSPR ไม่ปลอดภัย

เมื่อคุณ ไม่รักษาความปลอดภัย การลงทะเบียน MFA และ SSPR กับสถานที่ที่เชื่อถือได้ จะมีลักษณะดังนี้:

1. คุณสร้างบัญชีสำหรับผู้ใช้
2. แฮกเกอร์จะโจมตีด้วยสเปรย์
3. แฮกเกอร์จะประสบความสำเร็จ
4. แฮกเกอร์ลงชื่อเข้าใช้ด้วยข้อมูลประจำตัว
5. แฮกเกอร์จะได้รับข้อความให้ดำเนินการตั้งค่า MFA/SSPR
6. แฮกเกอร์จะตั้งค่า MFA/SSPR
7. แฮ็กเกอร์ลงชื่อเข้าใช้สำเร็จแล้ว

การลงทะเบียน Azure MFA และ SSPR ปลอดภัย

เมื่อคุณรักษาความปลอดภัยการลงทะเบียน MFA และ SSPR กับสถานที่ที่เชื่อถือได้ จะมีลักษณะดังนี้:

1. คุณสร้างบัญชีสำหรับผู้ใช้
2. แฮกเกอร์จะโจมตีด้วยสเปรย์
3. แฮกเกอร์จะประสบความสำเร็จ
4. แฮกเกอร์ลงชื่อเข้าใช้ด้วยข้อมูลประจำตัว
5. แฮกเกอร์จะได้รับข้อความแจ้งว่าถูกจำกัดการเข้าถึง
6. แฮกเกอร์ไม่สามารถดำเนินการต่อไปได้
7. แฮกเกอร์ลงชื่อเข้าใช้ไม่สำเร็จ

มาดูขั้นตอนถัดไปในการรักษาความปลอดภัยการลงทะเบียน Azure MFA และการลงทะเบียน SSPR ด้วยการเข้าถึงแบบมีเงื่อนไขใน Azure Active Directory

ลงทะเบียน Azure MFA และ SSPR อย่างปลอดภัย

ทำตามขั้นตอนต่างๆ เพื่อรักษาความปลอดภัยการลงทะเบียน MFA และ SSPR จากสถานที่ที่เชื่อถือได้

ขั้นตอนที่ 1: สร้างตำแหน่งที่มีชื่อการเข้าถึงแบบมีเงื่อนไข

คุณได้เพิ่ม IP สาธารณะในส่วนตำแหน่งที่ระบุชื่อหรือไม่ หากใช่ คุณสามารถข้ามขั้นตอนนี้ได้

ไปที่ Azure Active Directory > ความปลอดภัย > การเข้าถึงแบบมีเงื่อนไข คลิกที่ ตำแหน่งที่มีชื่อ > ตำแหน่งช่วง IP เพิ่มที่อยู่ IP และตั้งชื่อ (คำอธิบาย) เราจะเพิ่มที่อยู่ IP ของสำนักงานใหญ่

หมายเหตุ: ตรวจสอบให้แน่ใจว่าได้เพิ่ม IP สาธารณะขององค์กร ไม่ใช่ IP ภายในของอุปกรณ์

คุณสามารถเลือกช่องทำเครื่องหมายทำเครื่องหมายเป็นสถานที่ที่เชื่อถือได้ เราจะปล่อยให้มันไม่ถูกตรวจสอบ

ในตัวอย่างของเรา เราจะเพิ่มที่อยู่ IP ที่สองซึ่งก็คือสำนักงานสาขา

IP สาธารณะทั้งสองขององค์กรจะถูกเพิ่มเป็นที่ตั้งที่มีชื่อ

ขั้นตอนที่ 2: สร้างนโยบายการเข้าถึงแบบมีเงื่อนไข

คลิก นโยบาย > นโยบายใหม่

ตั้งชื่อว่า การลงทะเบียนที่ปลอดภัยบนเครือข่ายที่เชื่อถือได้

คลิก ผู้ใช้และกลุ่ม และตามด้วย รวม เลือกผู้ใช้ทั้งหมด

คลิกแอปหรือการดำเนินการบนคลาวด์ เลือก การกระทำของผู้ใช้ ทำเครื่องหมายที่ช่อง ลงทะเบียนข้อมูลความปลอดภัย

คลิก เงื่อนไข และตามด้วย สถานที่ คลิกที่ใช่ คลิก รวม และเลือก สถานที่ใดก็ได้

คลิก ยกเว้น และเลือก สถานที่ที่เลือก เลือกตำแหน่งที่ตั้งที่มีชื่อที่คุณสร้างไว้ในขั้นตอนก่อนหน้านี้

คลิกให้สิทธิ์ เลือก บล็อกการเข้าถึง คลิกที่ เลือก

คลิกสวิตช์เปิดเพื่อเปิดใช้งานนโยบาย คลิกสร้าง

นโยบาย การลงทะเบียนที่ปลอดภัยบนเครือข่ายที่เชื่อถือได้ จะแสดงในรายการนโยบายการเข้าถึงแบบมีเงื่อนไข

ขั้นตอนที่ 3: เปิดใช้งานประสบการณ์การลงทะเบียนข้อมูลความปลอดภัยแบบรวม

ไปที่ Azure Active Directory > การตั้งค่าผู้ใช้ > จัดการการตั้งค่าคุณลักษณะผู้ใช้

คลิกที่ ทั้งหมด และ บันทึก ในตัวอย่างของเรา การตั้งค่าได้รับการตั้งค่าเป็น ทั้งหมด แล้วและเป็นสีเทาเนื่องจากเป็นผู้เช่ารายใหม่

หมายเหตุ: ตั้งแต่วันที่ 30 กันยายน 2022 การลงทะเบียนข้อมูลความปลอดภัยแบบรวมจะเปิดใช้งานสำหรับทุกคนโดยอัตโนมัติ และการตั้งค่าจะเป็นสีเทา

ในขั้นตอนถัดไป คุณจะตรวจสอบงานของคุณและดูประสบการณ์ผู้ใช้

ตรวจสอบงานของคุณ

หลังจากสร้างนโยบายแล้ว ให้ลงชื่อเข้าใช้พอร์ทัล Microsoft 365 ด้วยผู้ใช้เพื่อการทดสอบและตรวจสอบประสบการณ์ผู้ใช้

ทดสอบจากทั้ง IP สาธารณะที่ไม่ได้รับการยกเว้น และ IP สาธารณะที่ถูกยกเว้น (สำนักงานใหญ่หรือสำนักงานสาขา)

ตำแหน่งที่ไม่น่าเชื่อถือ

ด้านล่างนี้คือตัวอย่างลักษณะที่ปรากฏเมื่อผู้ใช้ลงชื่อเข้าใช้พอร์ทัล Microsoft 365 จากตำแหน่งที่ตั้งที่ไม่น่าเชื่อถือ

คุณไม่สามารถเข้าถึงสิ่งนี้ได้ในขณะนี้ การลงชื่อเข้าใช้ของคุณสำเร็จ แต่ไม่ตรงตามเกณฑ์ในการเข้าถึงทรัพยากรนี้ ตัวอย่างเช่น คุณอาจลงชื่อเข้าใช้จากเบราว์เซอร์ แอป หรือตำแหน่งที่ผู้ดูแลระบบของคุณจำกัดไว้

สถานที่ที่เชื่อถือได้

ลงชื่อเข้าใช้พอร์ทัล Microsoft 365 จากตำแหน่งที่เชื่อถือได้ หากคุณกำหนดค่า MFA ในผู้เช่าเท่านั้น ผู้ใช้จะเห็นตัวช่วยสร้างการกำหนดค่า MFA

คุณได้กำหนดค่า MFA และ SSPR ในผู้เช่าหรือไม่ ผู้ใช้จะเห็นวิซาร์ดการกำหนดค่า SSPR

ทุกอย่างดูดี!

อ่านเพิ่มเติม: ย้ายจาก IP ที่เชื่อถือได้ของ MFA ไปยังตำแหน่งที่มีชื่อการเข้าถึงแบบมีเงื่อนไข »

บทสรุป

คุณได้เรียนรู้วิธีรักษาความปลอดภัยการลงทะเบียน Mirosoft Entra MFA และ SSPR ทำตามขั้นตอน และผู้ใช้สามารถลงทะเบียนสำหรับ MFA และ SSPR บนตำแหน่งที่ตั้งที่เชื่อถือได้ที่แยกออกเท่านั้น การรักษาความปลอดภัยเพิ่มเติมย่อมดีกว่าการรักษาความปลอดภัยที่น้อยลงเสมอ

คุณไม่ต้องการให้ผู้โจมตีลงชื่อเข้าใช้องค์กรด้วยข้อมูลประจำตัวที่ถูกบุกรุกและลงทะเบียนสำหรับ MFA หรือ SSPR หากบัญชีถูกบุกรุก ขั้นตอนความปลอดภัยเพิ่มเติมนี้จะช่วยได้

คุณสนุกกับบทความนี้หรือไม่? คุณอาจต้องการ MFA การเข้าถึงแบบมีเงื่อนไขแบ่งการซิงโครไนซ์ Azure AD Connect อย่าลืมติดตามเราและแบ่งปันบทความนี้