ถึงเวลาปิดการใช้งานการรับรองความถูกต้องขั้นพื้นฐานใน Office 365  - รายงาน Office 365

หลังจากประกาศหลายครั้ง ในที่สุด Microsoft จะเลิกใช้การรับรองความถูกต้องขั้นพื้นฐานใน Exchange Online ตั้งแต่เดือนตุลาคม 2022 (ซึ่งเลื่อนจากเดือนตุลาคม 2020) ถึงเวลาปิดการใช้งานการตรวจสอบสิทธิ์ขั้นพื้นฐานและอัปเกรดสคริปต์/แอปพลิเคชันเพื่อรับบริการที่ไม่หยุดชะงัก

บล็อกนี้จะแนะนำคุณเกี่ยวกับการปิดใช้งานการรับรองความถูกต้องขั้นพื้นฐานด้วยวิธีการต่างๆ และการนำการรับรองความถูกต้องสมัยใหม่มาใช้เพื่อปรับปรุงความปลอดภัยขององค์กรของคุณ ก่อนที่จะปิดใช้งานการตรวจสอบสิทธิ์ขั้นพื้นฐาน คุณต้องตรวจสอบให้แน่ใจว่าองค์กรของคุณยังคงใช้การตรวจสอบสิทธิ์ขั้นพื้นฐานอยู่หรือไม่

จะตรวจสอบได้อย่างไรว่ามีการเปิดใช้งานการรับรองความถูกต้องขั้นพื้นฐานหรือไม่

ในผู้เช่า Microsoft 365 ที่สร้างขึ้นใหม่ (เช่น ผู้เช่าที่สร้างขึ้นหลังวันที่ 22 ต.ค. 2019) การรับรองความถูกต้องพื้นฐานจะถูกปิดตามค่าเริ่มต้น เนื่องจากมีการเปิดใช้งานค่าเริ่มต้นด้านความปลอดภัย หากต้องการตรวจสอบสถานะการรับรองความถูกต้องพื้นฐาน

1. เข้าสู่ระบบศูนย์การจัดการ Microsoft 365
2. คลิกการตั้งค่า-> 'การตั้งค่าองค์กร'
3. เลือก 'การรับรองความถูกต้องสมัยใหม่' อยู่ใต้แท็บ 'บริการ'

ตามข้อความที่แสดง คุณสามารถสรุปได้ว่าการรับรองความถูกต้องสมัยใหม่ถูกบังคับหรือผู้เช่ายังคงใช้การรับรองความถูกต้องพื้นฐาน

ข้อมูลด้านล่างจะแสดงขึ้นเมื่อผู้เช่าใช้การรับรองความถูกต้องแบบสมัยใหม่

หากผู้เช่าใช้การรับรองความถูกต้องขั้นพื้นฐาน การตั้งค่าองค์กรจะแสดงดังต่อไปนี้

หากผู้เช่าของคุณอนุญาตการรับรองความถูกต้องขั้นพื้นฐาน คุณสามารถใช้รายงานการรับรองความถูกต้องพื้นฐานที่มีอยู่ในพอร์ทัล Azure AD เพื่อติดตามผู้ใช้ที่ยังคงใช้โปรโตคอลการรับรองความถูกต้องพื้นฐานสำหรับการลงชื่อเข้าใช้ และก่อนที่คุณจะปิดการตรวจสอบสิทธิ์ขั้นพื้นฐานสำหรับโปรโตคอล คุณสามารถตรวจสอบให้แน่ใจว่าผู้ใช้เหล่านี้ในองค์กรของคุณไม่ได้ใช้โปรโตคอลการตรวจสอบสิทธิ์ขั้นพื้นฐาน

จะเปลี่ยนจากการรับรองความถูกต้องขั้นพื้นฐานเป็นการรับรองความถูกต้องสมัยใหม่ได้อย่างไร

ด้วยการบล็อกการรับรองความถูกต้องขั้นพื้นฐานในองค์กรของคุณ คุณสามารถบังคับให้ผู้ใช้/แอปพลิเคชันของคุณใช้การรับรองความถูกต้องสมัยใหม่ได้ คุณสามารถเลือกวิธีการใดๆ ด้านล่างเพื่อปิดใช้งานการรับรองความถูกต้องขั้นพื้นฐานใน Office 365

1. กำหนดค่านโยบายการรับรองความถูกต้องของ Exchange Online
2. ปิดใช้งานโปรโตคอลดั้งเดิมสำหรับกล่องจดหมาย
3. เปิดใช้งานค่าเริ่มต้นความปลอดภัย
4. บล็อกการตรวจสอบสิทธิ์ขั้นพื้นฐานโดยใช้นโยบายการเข้าถึงแบบมีเงื่อนไข

หมายเหตุ: ก่อนที่จะใช้ Exchange Online PowerShell cmdlets คุณต้องติดตั้งโมดูล EXO V2 PowerShell และเชื่อมต่อกับ Exchange Online PowerShell

วิธีที่ 1: กำหนดค่านโยบายการตรวจสอบสิทธิ์ Exchange Online:

ผู้ดูแลระบบสามารถปิดใช้งานการตรวจสอบสิทธิ์ขั้นพื้นฐานและอนุญาตให้ผู้ใช้ใช้การตรวจสอบสิทธิ์สมัยใหม่ผ่านนโยบายการตรวจสอบสิทธิ์ มันเกี่ยวข้องกับขั้นตอนต่อไปนี้

1. สร้างนโยบายการตรวจสอบสิทธิ์ใหม่
2. กำหนดนโยบายการตรวจสอบสิทธิ์ให้กับผู้ใช้

สร้างนโยบายการรับรองความถูกต้องใหม่:

คุณสามารถใช้ New-AuthenticationPolicy cmdlet เพื่อสร้างนโยบายการตรวจสอบสิทธิ์สำหรับองค์กร Office 365 ของคุณ

New-AuthenticationPolicy -Name “Block Basic Auth"

ตัวอย่างข้างต้นสร้างนโยบายการตรวจสอบสิทธิ์ 'Block Basic Auth' ซึ่งจะปิดใช้งานโปรโตคอลการตรวจสอบสิทธิ์ขั้นพื้นฐานทั้งหมด

คุณยังสามารถสร้างนโยบายการรับรองความถูกต้องด้วยข้อยกเว้นโปรโตคอลได้ ตัวอย่างเช่น รหัสด้านล่างจะสร้างนโยบายการตรวจสอบสิทธิ์ที่อนุญาตการตรวจสอบสิทธิ์ SMTP

New-AuthenticationPolicy -Name “Allow SMTP Auth" -AllowBasicAuthSMTP

หากต้องการดูนโยบายการตรวจสอบสิทธิ์ Exchange Online ที่มีอยู่ ให้เรียกใช้ Get-AuthenticationPolicy cmdlet

กำหนดนโยบายการรับรองความถูกต้องให้กับผู้ใช้:

นโยบายการตรวจสอบสิทธิ์สามารถกำหนดทั่วทั้งองค์กรหรือให้กับผู้ใช้เฉพาะได้ หากต้องการใช้นโยบายทั่วทั้งองค์กร ให้ดำเนินการ cmdlet ต่อไปนี้

Set-OrganizationConfig -DefaultAuthenticationPolicy <PolicyName>

ผู้ดูแลระบบสามารถกำหนดนโยบายการตรวจสอบสิทธิ์ให้กับผู้ใช้เฉพาะได้โดยใช้ Set-User cmdlet

Set-User -Identity <UPN> -AuthenticationPolicy <Policy Name>

เมื่อต้องการบล็อกการรับรองความถูกต้องพื้นฐานสำหรับกล่องจดหมาย Exchange Online ทั้งหมด

Get-User -ResultSize Unlimited | Set-User -AuthenticationPolicy “Block Basic Auth"

เมื่อคุณตั้งค่านโยบายการตรวจสอบสิทธิ์สำหรับผู้ใช้ จะใช้เวลาสูงสุด 24 ชั่วโมงจึงจะมีผล หากคุณต้องการให้นโยบายมีผลภายใน 30 นาที ให้ใช้รหัสต่อไปนี้

Set-User -Identity <UPN> -STSRefreshTokensValidFrom $([System.DateTime]::UtcNow)

หากต้องการรับนโยบายการตรวจสอบสิทธิ์ของผู้ใช้โดยใช้ PowerShell ให้เรียกใช้ cmdlet ด้านล่าง

Get-Recipient -RecipientTypeDetails UserMailbox -ResultSize Unlimited | Get-User | Select DisplayName,AuthenticationPolicy

วิธีที่ 2: ปิดใช้งานโปรโตคอลเดิมสำหรับกล่องจดหมาย:

ผู้ดูแลระบบสามารถปิดใช้โปรโตคอลเดิม เช่น POP3, IMAP4, Exchange Active Sync ฯลฯ ผ่านทาง Set-CasMailbox cmdlet

หากต้องการดูสถานะโปรโตคอลเดิมสำหรับกล่องจดหมายเฉพาะ

Get-CASMailbox -identity <UPN> | Select OwaEnabled,MapiEnabled,EwsEnabled,ActiveSyncEnabled,PopEnabled,ImapEnabled

หากต้องการปิดโปรโตคอลการตรวจสอบสิทธิ์แบบเดิม คุณสามารถเรียกใช้ cmdlet ด้านล่างนี้

Set-CasMailbox -Identity <UPN> -PopEnabled $false -ImapEnabled $false -SmtpClientAuthenticationDisabled $true

หากต้องการบล็อกโปรโตคอลการตรวจสอบสิทธิ์แบบเดิมสำหรับกล่องจดหมายทั้งหมด ให้ดำเนินการข้อมูลโค้ดต่อไปนี้

Get-Mailbox -ResultSize Unlimited | Set-CasMailbox -PopEnabled $false -ImapEnabled $false -SmtpClientAuthenticationDisabled $true

ตัวอย่างนี้จะปิดการใช้งาน POP, IMAP และ SMTP สำหรับกล่องจดหมายทั้งหมด

เปิดหรือปิดใช้ SMTP Auth ใน Office 365:

เนื่องจาก Microsoft ได้เพิ่มข้อยกเว้นสำหรับ SMTP AUTH (ผู้ดูแลระบบสามารถเปิดใช้งาน SMTP AUTH อีกครั้งได้หลังจากการเลิกใช้การรับรองความถูกต้องพื้นฐาน) จึงเป็นการดีที่จะทราบวิธีเปิดใช้งานหรือปิดใช้งานการรับรองความถูกต้อง SMTP ตามความต้องการขององค์กร

หลังจากที่ Microsoft ปิดการใช้งานโปรโตคอล ผู้ดูแลระบบสามารถเปิดใช้งาน SMTP Auth ทั่วทั้งองค์กรได้อีกครั้งโดยใช้ cmdlet ด้านล่าง

Set-TransportConfig -SmtpClientAuthenticationDisabled $False

หากต้องการปิดใช้ SMTP Auth ทั่วทั้งองค์กร

Set-TransportConfig -SmtpClientAuthenticationDisabled $True

หากต้องการเปิดใช้งานหรือปิดใช้งาน SMTP Auth สำหรับกล่องจดหมายเฉพาะ คุณสามารถใช้ Set-CASMailbox cmdlet

Set-CasMailbox -Identity <UPN> -SmtpClientAuthenticationDisabled $False

ตัวอย่างข้างต้นจะเปิดใช้งานการตั้งค่า SMTP Auth สำหรับกล่องจดหมายต่อ

วิธีที่ 3: เปิดใช้งานค่าเริ่มต้นด้านความปลอดภัย:

ผู้ดูแลระบบสามารถเปิดใช้งานค่าเริ่มต้นการรักษาความปลอดภัยเพื่อปิดการตรวจสอบสิทธิ์ขั้นพื้นฐานสำหรับโปรโตคอลทั้งหมด หากต้องการเปิดใช้งานค่าเริ่มต้นด้านความปลอดภัย คุณสามารถทำตามขั้นตอนด้านล่างนี้

1. ลงชื่อเข้าใช้ศูนย์การจัดการ Azure AD
2. นำทางไปยัง Azure Active Directory -> คุณสมบัติ
3. เลือก 'จัดการค่าเริ่มต้นการรักษาความปลอดภัย'
4. ตั้งค่าสลับ "เปิดใช้งานค่าเริ่มต้นการรักษาความปลอดภัย" เป็น ใช่

วิธีที่ 4: บล็อกการตรวจสอบสิทธิ์ขั้นพื้นฐานโดยใช้นโยบายการเข้าถึงแบบมีเงื่อนไข (CA):

หากองค์กรของคุณมีสิทธิ์การใช้งาน Azure AD P1/P2 คุณสามารถบล็อกการรับรองความถูกต้องขั้นพื้นฐานผ่านการเข้าถึงแบบมีเงื่อนไขเพื่อปรับปรุงการป้องกันได้ คุณสามารถทำตามขั้นตอนด้านล่างเพื่อสร้างนโยบายการเข้าถึงแบบมีเงื่อนไขเพื่อบล็อกการรับรองความถูกต้องแบบเดิม

1. ลงชื่อเข้าใช้พอร์ทัล Azure AD
2. ไปที่ Azure Active Directory -> ความปลอดภัย -> การเข้าถึงแบบมีเงื่อนไข

3. คลิก 'นโยบายใหม่' และสร้างนโยบายใหม่ด้วยการกำหนดค่าต่อไปนี้

   • ชื่อ - ระบุชื่อสำหรับนโยบาย CA
   • การมอบหมาย - รวม-> เลือก 'ผู้ใช้ทั้งหมด' หากคุณต้องการเพิ่มข้อยกเว้นให้กับผู้ใช้บางราย คุณสามารถพูดถึงพวกเขาได้ภายใต้ตัวเลือก "ยกเว้น"
   • แอปหรือการดำเนินการบนคลาวด์ - เลือก ‘แอปบนคลาวด์ทั้งหมด’
   • เงื่อนไข - ใน 'แอปไคลเอ็นต์' ให้ตั้งค่าปุ่มสลับ 'กำหนดค่า' เป็น ใช่ และเลือกเฉพาะ 2 ตัวเลือกที่มีอยู่ใน "ไคลเอ็นต์การตรวจสอบสิทธิ์แบบเดิม" (ควรยกเลิกการเลือกตัวเลือกภายใต้ 'ไคลเอนต์การรับรองความถูกต้องสมัยใหม่')
   • ให้สิทธิ์ - เลือก 'บล็อกการเข้าถึง'
4. ตั้งค่าปุ่มสลับ "เปิดใช้นโยบาย" เป็น "เปิด" และสร้างนโยบาย

เมื่อผู้ใช้พยายามตรวจสอบความถูกต้องโดยใช้การตรวจสอบขั้นพื้นฐาน คำขอเข้าถึงของพวกเขาจะถูกบล็อก

เนื่องจากการโจมตีแบบ Password Spray มีจำนวนเพิ่มมากขึ้นในปัจจุบัน จึงเป็นการดีกว่าที่จะปิดใช้งานการรับรองความถูกต้องขั้นพื้นฐานและเปลี่ยนไปใช้การรับรองความถูกต้องสมัยใหม่ แทนที่จะรอการสิ้นสุดการสนับสนุน ฉันหวังว่าบล็อกนี้จะช่วยให้ผู้ดูแลระบบปิดการรับรองความถูกต้องขั้นพื้นฐานและรักษาความปลอดภัยให้กับองค์กร Microsoft 365 ด้วยการรับรองความถูกต้องสมัยใหม่