IT-biztonsági berkekben manapság az egyik legnépszerűbb eljárás a Multi-factor authentication. Sok esetben az univerzális megoldás, ami megoldja a szervezetek security problémáját. Ennek ellenére nem beszélhetünk egyszerű rendszerről, itt is fontos az átgondolt hozzáállás.
Hiába a beruházás MFA-megoldásokba, és hiába van minden felhasználónál bekapcsolva, ha van olyan technikai megoldás, amire a többtényezős hitelesítés nem értelmezhető. Tehát legyünk körültekintőek, hiába az MFA, ha az adott szolgáltatások elérhetőek legacy authentikációval is!
Block legacy authentication, ezt lehet olvasni minden security guide-ban, mint egyik fontos tétel a biztonságos környezet kialakításában.
Mit jelent mindez?
Legacy authentication, mikor egyszerű felhasználónév/jelszó párossal hitelesítünk egy erőforráson, pl. levelezőszerveren. Ilyen többek között a POP, SMTP, IMAP, és MAPI protokollok. Mivel ezek nem támogatják a többfaktoros hitelesítést, a használatuk veszélyt jelent. Ha a felhasználói jelszót ellopják/feltörik, akkor bárhonnan bármikor elérik a céges erőforrásokat.
Hogy a sima jelszó, mint védelem mennyire kevés, azt jól személteti az alábbi kép:
Megjelöltünk egy tételt feketével. Bizony, hétkarakteres jelszó, ami tartalmaz kisbetű-nagybetű-szám-speciális szimbólumot, és mégis 17 óra alatt feltörhető.
Az Azure AD statisztikái szerint a jelszótámadások 99%-a a legacy authenticationhoz köthető. Ahol ezt már letiltották, ott 67%-kal csökkent a sikeres törések száma.
Ezek után nézzük, hogyan érdemes kivezetni a legacy authenticationt Azure AD környezetben? Segít az AzureAD Conditional Access.
1. Mik a legacy protokollok? Mire valók pontosan?
2. Hogyan tekintsem át, milyen legacy protokollok vannak használatban?
Az AzureAD Sign-in logs kiváló eszközt nyújt számunkra a kereséshez. Navigáljunk el az AzureAD/Monitoring/Sign-ins részre. Válasszuk ki a kívánt időtartamot és a filterben adjuk hozzá a Client app mezőt, majd pipáljuk be az összes Legacy Authentication Clients-t.
Utána a Columns-nál adjuk hozzá, hogy jelentítse meg a Client Appokat is.
Így lesz egy kész táblázatunk, amiben látjuk a használatban lévő legacy protokollokat:
A tábálzatot letölthetjük CSV vagy JSON formában is, további feldolgozás céljából.
Miután beazonosítottuk a protokollokat, döntést hozhatunk a sorsuk felől. Szükséges a céges levelezéshez a POP? Kell-e támogatni az unsupported ActiveSync klienseket (ezek általában nem szabványos levelezőalkalmazások stb)? Érdemes manapság a Modern Authenticationt használó alkalmazásokra áttérni (pl. Outlook 2013-tól felfelé és egyéb újabb alkalmazások). Vigyázat, a Skype for Business Exchange Web Services-t használ az Exchange-naptár eléréséhez, tehát tiltás esetén a Skype és naptár integrációtól elbúcsúzhatunk!
3. Blokkoljuk a legacy authenticationt! - monitor módban
Természetesen nem javasolt azonnali tiltást bevezetni minden felhasználóra vonatkozóan. Szerencsére az Azure AD Conditional Access segítségével tudunk felmérést készíteni, hány felhasználót érintene a tiltás. A policyt beállítva szűri a usereket, de nem blokkol, csak logolást végez. A szükséges beállítás a következő:
Ezt a policy érdemes futni hagyni 4-6 hétig, hogy elegendő adatot gyűjtsön.
Jön a kiértékelés rész, hány usert érintene a blokkolás? A Conditional Access Insights részen látható a Failure szám.
Érdemes felhasználói csoportokra bontva, fokozatosan bevezetni a tiltást. Azok a userek, akik már biztosan nem használnak ilyen régi protokollokat, bevonhatóak az enforce block beállításba.
4. Blokkoljuk a legacy authenticationt! - enforced módban
Miután meggyőződtünk róla, hogy a felhasználók készen állnak a kivezetésre, a legegyszerűbb mód, ha a fenti policyt átállítjuk Report-only módból On-ra. Természetesen létrehozhatunk másik policyt, amit csak adott csoportra állítunk be és ott tiltjuk aktívan a legacy authenticationt.
A sign-in logok között látható lesz, ha mégis érkezne ilyen protokollon keresztüli kapcsolódás:
Összefoglalva: nagyon népszerű manapság a többfaktoros hitelesítés, napról-napra több helyen is vezetik be, ami örvendetes tendencia. Viszont ne feledkezzünk meg róla, hogy csak akkor ér valamit, ha van mihez kötni a második faktort! Erre pedig a legacy protokollok nem képesek.
Istvánffy Zoltán
Microsoft Cloud Solution Architect, Microsoft Certified Trainer
Qualysoft Informatikai Zrt.
Üzleti könyvek említésénél sokaknak talán a kicsit szárazabb, tankönyvi példák jutnak az eszébe. Vaskos kötetek elemzésekkel, grafikonokkal és szakkifejezésekkel teletűzdelve, melyek egy adott üzleti szegmens leírására és megismertetésére fókuszálnak. De miért is korlátoznánk le magunkat a könyvesbolt egyetlen részlegére? Miért akarnánk kizárni magunkat a szórakoztatva tanulás élményéből?
További információk
Miért érdemes az E5-be invesztálni? A legfőbb szempont, hogy nem kell csak IT-kiadásként gondolni a licenszekre, hanem komoly szerepük van az üzletfolytonosság fenntartásában. Ha egy vírustámadás miatt leáll a cég működése, az veszteség. A flottaüzemeltetők sem költségként tekintenek minden kötelező szervizelésre, hanem befektetésként, hogy az üzlet fennakadás nélkül működjön és bevételt termeljen.
További információk