Hiába a beruházás MFA-megoldásokba, és hiába van minden felhasználónál bekapcsolva, ha van olyan technikai megoldás, amire a többtényezős hitelesítés nem értelmezhető. Tehát legyünk körültekintőek, hiába az MFA, ha az adott szolgáltatások elérhetőek legacy authentikációval is!
Block legacy authentication, ezt lehet olvasni minden security guide-ban, mint egyik fontos tétel a biztonságos környezet kialakításában.
Mit jelent mindez?
Legacy authentication, mikor egyszerű felhasználónév/jelszó párossal hitelesítünk egy erőforráson, pl. levelezőszerveren. Ilyen többek között a POP, SMTP, IMAP, és MAPI protokollok. Mivel ezek nem támogatják a többfaktoros hitelesítést, a használatuk veszélyt jelent. Ha a felhasználói jelszót ellopják/feltörik, akkor bárhonnan bármikor elérik a céges erőforrásokat.
Hogy a sima jelszó, mint védelem mennyire kevés, azt jól személteti az alábbi kép:

Megjelöltünk egy tételt feketével. Bizony, hétkarakteres jelszó, ami tartalmaz kisbetű-nagybetű-szám-speciális szimbólumot, és mégis 17 óra alatt feltörhető.
Az Azure AD statisztikái szerint a jelszótámadások 99%-a a legacy authenticationhoz köthető. Ahol ezt már letiltották, ott 67%-kal csökkent a sikeres törések száma.
Ezek után nézzük, hogyan érdemes kivezetni a legacy authenticationt Azure AD környezetben? Segít az AzureAD Conditional Access.
1. Mik a legacy protokollok? Mire valók pontosan?
- Hitelesített SMTP – A POP és az IMAP-ügyfél által használt e-mail üzenetek küldésére.
- Automatikus észlelés – Az Outlook és az EAS-ügyfelek segítségével kereshet postaládákat az Exchange Online-ban, és csatlakozhat azokhoz.
- Exchange Online PowerShell – Az Exchange Online-hoz távoli PowerShell használatával való csatlakozáshoz használható. Ha letiltja az Exchange Online PowerShell alapszintű hitelesítését, a csatlakozáshoz az Exchange Online PowerShell-modult kell használnia.
- Exchange Web Services (EWS) – Az Outlook, a Mac Outlook és a külső alkalmazások által használt programozási felület.
- IMAP4 - Az IMAP levelezőügyfelei használják.
- MAPI HTTP-n keresztül (MAPI/HTTP) – Az Outlook 2010 és újabb verziói használják.
- Kapcsolat nélküli címjegyzék (OAB) – Az Outlook által letöltött és használt címlista-gyűjtemények másolata.
- Outlook Anywhere (HTTP-n keresztüli RPC) – Az Outlook 2016-ban használt
- Outlook-szolgáltatás – A Windows 10 Posta és Naptár alkalmazása használja.
- POP3 - A POP e-mail ügyfelek használják.
- Jelentéskészítő webszolgáltatások – jelentésadatok beolvasására szolgál az Exchange Online-ban.
- Egyéb ügyfelek – Az örökölt hitelesítést használóként azonosított egyéb protokollok.
2. Hogyan tekintsem át, milyen legacy protokollok vannak használatban?
Az AzureAD Sign-in logs kiváló eszközt nyújt számunkra a kereséshez. Navigáljunk el az AzureAD/Monitoring/Sign-ins részre. Válasszuk ki a kívánt időtartamot és a filterben adjuk hozzá a Client app mezőt, majd pipáljuk be az összes Legacy Authentication Clients-t.

Utána a Columns-nál adjuk hozzá, hogy jelentítse meg a Client Appokat is.

Így lesz egy kész táblázatunk, amiben látjuk a használatban lévő legacy protokollokat:

A tábálzatot letölthetjük CSV vagy JSON formában is, további feldolgozás céljából.
Miután beazonosítottuk a protokollokat, döntést hozhatunk a sorsuk felől. Szükséges a céges levelezéshez a POP? Kell-e támogatni az unsupported ActiveSync klienseket (ezek általában nem szabványos levelezőalkalmazások stb)? Érdemes manapság a Modern Authenticationt használó alkalmazásokra áttérni (pl. Outlook 2013-tól felfelé és egyéb újabb alkalmazások). Vigyázat, a Skype for Business Exchange Web Services-t használ az Exchange-naptár eléréséhez, tehát tiltás esetén a Skype és naptár integrációtól elbúcsúzhatunk!
3. Blokkoljuk a legacy authenticationt! - monitor módban
Természetesen nem javasolt azonnali tiltást bevezetni minden felhasználóra vonatkozóan. Szerencsére az Azure AD Conditional Access segítségével tudunk felmérést készíteni, hány felhasználót érintene a tiltás. A policyt beállítva szűri a usereket, de nem blokkol, csak logolást végez. A szükséges beállítás a következő:

Ezt a policy érdemes futni hagyni 4-6 hétig, hogy elegendő adatot gyűjtsön.
Jön a kiértékelés rész, hány usert érintene a blokkolás? A Conditional Access Insights részen látható a Failure szám.

Érdemes felhasználói csoportokra bontva, fokozatosan bevezetni a tiltást. Azok a userek, akik már biztosan nem használnak ilyen régi protokollokat, bevonhatóak az enforce block beállításba.
4. Blokkoljuk a legacy authenticationt! - enforced módban
Miután meggyőződtünk róla, hogy a felhasználók készen állnak a kivezetésre, a legegyszerűbb mód, ha a fenti policyt átállítjuk Report-only módból On-ra. Természetesen létrehozhatunk másik policyt, amit csak adott csoportra állítunk be és ott tiltjuk aktívan a legacy authenticationt.
A sign-in logok között látható lesz, ha mégis érkezne ilyen protokollon keresztüli kapcsolódás:

Összefoglalva: nagyon népszerű manapság a többfaktoros hitelesítés, napról-napra több helyen is vezetik be, ami örvendetes tendencia. Viszont ne feledkezzünk meg róla, hogy csak akkor ér valamit, ha van mihez kötni a második faktort! Erre pedig a legacy protokollok nem képesek.

Istvánffy Zoltán
Microsoft Cloud Solution Architect, Microsoft Certified Trainer
Qualysoft Informatikai Zrt.
zoltan.istvanffy@qualysoft.com|My LinkedIn Profile