A legerősebb speciális jelszavak is feltörhetőek maximum 17 óra alatt - Mit tehetünk ez ellen?

IT-biztonsági berkekben manapság az egyik legnépszerűbb eljárás a Multi-factor authentication. Sok esetben az univerzális megoldás, ami megoldja a szervezetek security problémáját. Ennek ellenére nem beszélhetünk egyszerű rendszerről, itt is fontos az átgondolt hozzáállás.

Hiába a beruházás MFA-megoldásokba, és hiába van minden felhasználónál bekapcsolva, ha van olyan technikai megoldás, amire a többtényezős hitelesítés nem értelmezhető. Tehát legyünk körültekintőek, hiába az MFA, ha az adott szolgáltatások elérhetőek legacy authentikációval is!

Block legacy authentication, ezt lehet olvasni minden security guide-ban, mint egyik fontos tétel a biztonságos környezet kialakításában.

Mit jelent mindez?

Legacy authentication, mikor egyszerű felhasználónév/jelszó párossal hitelesítünk egy erőforráson, pl. levelezőszerveren. Ilyen többek között a POP, SMTP, IMAP, és MAPI protokollok. Mivel ezek nem támogatják a többfaktoros hitelesítést, a használatuk veszélyt jelent. Ha a felhasználói jelszót ellopják/feltörik, akkor bárhonnan bármikor elérik a céges erőforrásokat.

Hogy a sima jelszó, mint védelem mennyire kevés, azt jól személteti az alábbi kép:


Megjelöltünk egy tételt feketével. Bizony, hétkarakteres jelszó, ami tartalmaz kisbetű-nagybetű-szám-speciális szimbólumot, és mégis 17 óra alatt feltörhető.

Az Azure AD statisztikái szerint a jelszótámadások 99%-a a legacy authenticationhoz köthető. Ahol ezt már letiltották, ott 67%-kal csökkent a sikeres törések száma.

Ezek után nézzük, hogyan érdemes kivezetni a legacy authenticationt Azure AD környezetben? Segít az AzureAD Conditional Access.


1. Mik a legacy protokollok? Mire valók pontosan?

  • Hitelesített SMTP – A POP és az IMAP-ügyfél által használt e-mail üzenetek küldésére.
  • Automatikus észlelés – Az Outlook és az EAS-ügyfelek segítségével kereshet postaládákat az Exchange Online-ban, és csatlakozhat azokhoz.
  • Exchange Online PowerShell – Az Exchange Online-hoz távoli PowerShell használatával való csatlakozáshoz használható. Ha letiltja az Exchange Online PowerShell alapszintű hitelesítését, a csatlakozáshoz az Exchange Online PowerShell-modult kell használnia.

  • Exchange Web Services (EWS) – Az Outlook, a Mac Outlook és a külső alkalmazások által használt programozási felület.
  • IMAP4 - Az IMAP levelezőügyfelei használják.
  • MAPI HTTP-n keresztül (MAPI/HTTP) – Az Outlook 2010 és újabb verziói használják.
  • Kapcsolat nélküli címjegyzék (OAB) – Az Outlook által letöltött és használt címlista-gyűjtemények másolata.
  • Outlook Anywhere (HTTP-n keresztüli RPC) – Az Outlook 2016-ban használt
  • Outlook-szolgáltatás – A Windows 10 Posta és Naptár alkalmazása használja.
  • POP3 - A POP e-mail ügyfelek használják.
  • Jelentéskészítő webszolgáltatások – jelentésadatok beolvasására szolgál az Exchange Online-ban.
  • Egyéb ügyfelek – Az örökölt hitelesítést használóként azonosított egyéb protokollok.

2. Hogyan tekintsem át, milyen legacy protokollok vannak használatban?

Az AzureAD Sign-in logs kiváló eszközt nyújt számunkra a kereséshez. Navigáljunk el az AzureAD/Monitoring/Sign-ins részre. Válasszuk ki a kívánt időtartamot és a filterben adjuk hozzá a Client app mezőt, majd pipáljuk be az összes Legacy Authentication Clients-t.



Utána a Columns-nál adjuk hozzá, hogy jelentítse meg a Client Appokat is.



Így lesz egy kész táblázatunk, amiben látjuk a használatban lévő legacy protokollokat:



A tábálzatot letölthetjük CSV vagy JSON formában is, további feldolgozás céljából.

Miután beazonosítottuk a protokollokat, döntést hozhatunk a sorsuk felől. Szükséges a céges levelezéshez a POP? Kell-e támogatni az unsupported ActiveSync klienseket (ezek általában nem szabványos levelezőalkalmazások stb)? Érdemes manapság a Modern Authenticationt használó alkalmazásokra áttérni (pl. Outlook 2013-tól felfelé és egyéb újabb alkalmazások). Vigyázat, a Skype for Business Exchange Web Services-t használ az Exchange-naptár eléréséhez, tehát tiltás esetén a Skype és naptár integrációtól elbúcsúzhatunk!


3. Blokkoljuk a legacy authenticationt! - monitor módban

Természetesen nem javasolt azonnali tiltást bevezetni minden felhasználóra vonatkozóan. Szerencsére az Azure AD Conditional Access segítségével tudunk felmérést készíteni, hány felhasználót érintene a tiltás. A policyt beállítva szűri a usereket, de nem blokkol, csak logolást végez. A szükséges beállítás a következő:



Ezt a policy érdemes futni hagyni 4-6 hétig, hogy elegendő adatot gyűjtsön.

Jön a kiértékelés rész, hány usert érintene a blokkolás? A Conditional Access Insights részen látható a Failure szám.



Érdemes felhasználói csoportokra bontva, fokozatosan bevezetni a tiltást. Azok a userek, akik már biztosan nem használnak ilyen régi protokollokat, bevonhatóak az enforce block beállításba.


4. Blokkoljuk a legacy authenticationt! - enforced módban

Miután meggyőződtünk róla, hogy a felhasználók készen állnak a kivezetésre, a legegyszerűbb mód, ha a fenti policyt átállítjuk Report-only módból On-ra. Természetesen létrehozhatunk másik policyt, amit csak adott csoportra állítunk be és ott tiltjuk aktívan a legacy authenticationt.

A sign-in logok között látható lesz, ha mégis érkezne ilyen protokollon keresztüli kapcsolódás:



Összefoglalva: nagyon népszerű manapság a többfaktoros hitelesítés, napról-napra több helyen is vezetik be, ami örvendetes tendencia. Viszont ne feledkezzünk meg róla, hogy csak akkor ér valamit, ha van mihez kötni a második faktort! Erre pedig a legacy protokollok nem képesek.


Istvánffy Zoltán

Microsoft Cloud Solution Architect, Microsoft Certified Trainer

Qualysoft Informatikai Zrt.

zoltan.istvanffy@qualysoft.com|My LinkedIn Profile

Next

Önfejlesztő IT könyvek a karantén idejére

2020. ápr. 15. 16:36
#

Üzleti könyvek említésénél sokaknak talán a kicsit szárazabb, tankönyvi példák jutnak az eszébe. Vaskos kötetek elemzésekkel, grafikonokkal és szakkifejezésekkel teletűzdelve, melyek egy adott üzleti szegmens leírására és megismertetésére fókuszálnak. De miért is korlátoznánk le magunkat a könyvesbolt egyetlen részlegére? Miért akarnánk kizárni magunkat a szórakoztatva tanulás élményéből?

További információk
Previous

Egy egyszerű megoldás a céges adatok és felhasználói fiókok megóvására

2020. máj. 6. 13:14
#

Miért érdemes az E5-be invesztálni? A legfőbb szempont, hogy nem kell csak IT-kiadásként gondolni a licenszekre, hanem komoly szerepük van az üzletfolytonosság fenntartásában. Ha egy vírustámadás miatt leáll a cég működése, az veszteség. A flottaüzemeltetők sem költségként tekintenek minden kötelező szervizelésre, hanem befektetésként, hogy az üzlet fennakadás nélkül működjön és bevételt termeljen.

További információk