Udostępnij za pośrednictwem

Blokowanie starszego uwierzytelniania przy użyciu dostępu warunkowego

  • Artykuł

Firma Microsoft zaleca, aby organizacje blokowały żądania uwierzytelniania przy użyciu starszych protokołów, które nie obsługują uwierzytelniania wieloskładnikowego. Na podstawie analizy firmy Microsoft ponad 97 procent ataków na wypychanie poświadczeń korzysta ze starszego uwierzytelniania, a ponad 99 procent ataków sprayu haseł używa starszych protokołów uwierzytelniania. Ataki te przestaną być wyłączone lub zablokowane przy użyciu uwierzytelniania podstawowego.

Klienci bez licencji, które obejmują dostęp warunkowy, mogą używać domyślnych ustawień zabezpieczeń do blokowania starszego uwierzytelniania.

Wykluczenia użytkowników

Zasady dostępu warunkowego są zaawansowanymi narzędziami. Zalecamy wykluczenie następujących kont z zasad:

  • Dostęp awaryjny lub konta ze szkła awaryjnego, aby zapobiec zablokowaniu z powodu błędnej konfiguracji zasad. W mało prawdopodobnym scenariuszu wszyscy administratorzy są zablokowani, konto administracyjne dostępu awaryjnego może służyć do logowania się i podjęcia kroków w celu odzyskania dostępu.
  • Konta usług i jednostki usługi, takie jak konto synchronizacji programu Microsoft Entra Connect. Konta usług to konta nieinterakcyjne, które nie są powiązane z żadnym konkretnym użytkownikiem. Są one zwykle używane przez usługi zaplecza i umożliwiają programowy dostęp do aplikacji, ale są również używane do logowania się do systemów w celach administracyjnych. Wywołania wykonywane przez jednostki usługi nie będą blokowane przez zasady dostępu warunkowego ograniczone do użytkowników. Użyj dostępu warunkowego dla tożsamości obciążeń, aby zdefiniować zasady przeznaczone dla jednostek usług.
    • Jeśli twoja organizacja ma te konta używane w skryptach lub kodzie, rozważ zastąpienie ich tożsamościami zarządzanymi.

Wdrażanie na podstawie szablonu

Organizacje mogą zdecydować się na wdrożenie tych zasad, wykonując poniższe kroki lub korzystając z szablonów dostępu warunkowego.

Tworzenie zasady dostępu warunkowego

Poniższe kroki ułatwiają tworzenie zasad dostępu warunkowego w celu blokowania starszych żądań uwierzytelniania. Te zasady są umieszczane w trybie tylko do raportowania, aby administratorzy mogli określić ich wpływ na istniejących użytkowników. Gdy administratorzy czują się komfortowo, że zasady mają zastosowanie zgodnie z oczekiwaniami, mogą przełączyć się na wł. lub przygotować wdrożenie, dodając określone grupy i wykluczając inne.

  1. Zaloguj się do centrum administracyjnego Microsoft Entra jako co najmniej Administrator dostępu warunkowego.
  2. Przejdź do strony Ochrona>zasad dostępu>warunkowego.
  3. Wybierz pozycję Nowe zasady.
  4. Nadaj zasadzie nazwę. Zalecamy, aby organizacje tworzyły znaczący standard dla nazw swoich zasad.
  5. W obszarze Przypisania wybierz pozycję Użytkownicy lub tożsamości obciążeń.
    1. W obszarze Dołącz wybierz pozycję Wszyscy użytkownicy.
    2. W obszarze Wyklucz wybierz pozycję Użytkownicy i grupy i wybierz wszystkie konta, które muszą zachować możliwość korzystania ze starszego uwierzytelniania. Firma Microsoft zaleca wykluczenie co najmniej jednego konta, aby uniemożliwić sobie zablokowanie z powodu błędnej konfiguracji.
  6. W obszarze Zasoby docelowe>(dawniej aplikacje w chmurze)>Uwzględnij wybierz pozycję Wszystkie zasoby (wcześniej "Wszystkie aplikacje w chmurze") .
  7. W obszarze Warunki>Aplikacje klienckie ustaw wartość Konfiguruj na Tak.
    1. Zaznacz tylko pola Klienci programu Exchange ActiveSync i Inni klienci.
    2. Wybierz pozycję Gotowe.
  8. W obszarze Kontrola>dostępu Udziel wybierz pozycję Blokuj dostęp.
    1. Wybierz pozycję Wybierz.
  9. Potwierdź ustawienia i ustaw opcję Włącz zasady na tylko raport.
  10. Wybierz pozycję Utwórz , aby utworzyć, aby włączyć zasady.

Po potwierdzeniu przez administratorów ustawień w trybie tylko do raportu mogą przenieść przełącznik Włącz zasady z obszaru Tylko raport do pozycji Włączone.

Uwaga

Zasady dostępu warunkowego są wymuszane po zakończeniu uwierzytelniania pierwszego składnika. Dostęp warunkowy nie jest przeznaczony do pierwszej linii obrony organizacji w scenariuszach takich jak ataki typu "odmowa usługi" (DoS), ale może używać sygnałów z tych zdarzeń w celu określenia dostępu.

Identyfikowanie starszego użycia uwierzytelniania

Aby dowiedzieć się, czy użytkownicy mają aplikacje klienckie korzystające ze starszego uwierzytelniania, administratorzy mogą sprawdzić wskaźniki w dziennikach logowania, wykonując następujące czynności:

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra jako co najmniej czytelnik raportów.
  2. Przejdź do dzienników logowania do monitorowania tożsamości>i kondycji.>
  3. Dodaj kolumnę Aplikacja kliencka, jeśli nie jest wyświetlana, klikając pozycję Aplikacja kliencka kolumn>.
  4. Wybierz pozycję Dodaj filtry>Aplikacja kliencka> wybierz wszystkie starsze protokoły uwierzytelniania i wybierz pozycję Zastosuj.
  5. Wykonaj również te kroki na karcie Logowania użytkownika (nieinterakcyjne).

Filtrowanie pokazuje próby logowania wykonywane przez starsze protokoły uwierzytelniania. Kliknięcie każdej próby logowania indywidualnego spowoduje wyświetlenie dodatkowych szczegółów. Pole Aplikacja kliencka na karcie Informacje podstawowe wskazuje, który starszy protokół uwierzytelniania został użyty. Te dzienniki wskazują użytkowników korzystających z klientów, którzy są zależni od starszego uwierzytelniania.

Ponadto, aby ułatwić klasyfikację starszego uwierzytelniania w dzierżawie, użyj logowania przy użyciu starszego skoroszytu uwierzytelniania.

Powiązana zawartość