Monivaiheinen todentaminen ja ehdollinen käyttöoikeus

Varastetut tunnistetiedot ovat yleisin pilvipalveluiden tietoturvaloukkausten aiheuttaja. Pelkkä salasana voidaan kalastella, arvata brute force -hyökkäyksellä tai saada haltuun kolmannen osapuolen tietomurrosta. Multi-Factor Authentication (MFA) edellyttää toista vahvistustekijää, jota hyökkääjällä tuskin on hallussaan, vaikka hän olisi saanut salasanan tietoonsa — tämä pienentää huomattavasti Azure-ympäristön luvattoman käytön riskiä.

Entra ID tukee useita MFA-vahvistustekijöitä. Turvallisin ja suositeltavin vaihtoehto on Microsoft Authenticator -sovellus, joka tarjoaa numerovahvistuksen ja push-ilmoitukset. Muita vaihtoehtoja ovat FIDO2-suojausavain (laitteistotunnus), OATH-ohjelmistotunnus, SMS-tekstiviesti tai äänipuhelu. SMS-viestejä ja äänipuheluita pidetään heikommin suojattuina, joten niitä tulisi käyttää vain varamenetelminä.

Entra ID:n MFA voidaan pakottaa käyttöön kolmella mekanismilla. Security defaults on maksuton yhden napsautuksen vaihtoehto, joka pakottaa MFA:n käyttöön kaikille käyttäjille, mutta ilman mukautusmahdollisuuksia. Per-user MFA (vanha toiminto) ottaa MFA:n käyttöön tietyillä käyttäjätileillä. Suositeltu moderni lähestymistapa on Conditional Access -käytännöt (Entra ID P1/P2), jotka pakottavat MFA:n käyttöön vain, kun määritetyt riskiehdot täyttyvät. Näin vähennetään käyttäjien vaivaa vähäisen riskin kirjautumisissa.

Conditional Access (Entra ID P1) on jos–niin-käytäntömoottori: jos käyttäjä (tai ryhmä) yrittää käyttää resurssia tietyissä olosuhteissa, niin käyttöoikeus myönnetään tai estetään tai käyttäjältä edellytetään lisäkontrolleja, kuten MFA:ta tai vaatimustenmukaista laitetta. Ehtoihin voivat kuulua käyttäjän identiteetti, laitteen vaatimustenmukaisuus, IP-sijainti, käytettävä sovellus ja Entra ID Identity Protectionin riskipisteet.

Conditional Access -käytännössä on kaksi osaa: Assignments (keihin ja mihin käytäntö kohdistuu) sekä Access Controls (mitä tapahtuu, kun käytäntö aktivoituu). Assignments-osassa määritetään Users/groups, käytettävät Cloud apps ja Conditions (sijainti, laitteen käyttöympäristö, kirjautumisriski). Access Controls määrittää, myönnetäänkö käyttöoikeus Grant-toiminnolla (jolloin voidaan edellyttää MFA:ta, vaatimustenmukaista laitetta tai hyväksyttyä sovellusta) vai Block-toiminnolla estetäänkö käyttö kokonaan.

Conditional Accessin named locations -toiminnolla voit määrittää luotettuja IP-alueita (kuten yrityksen toimistoverkon) tai maita. Yleinen käytäntörakenne on seuraava: edellytetään MFA:ta, kun käyttäjä kirjautuu luotetun nimetyn sijainnin ulkopuolelta, mutta sallitaan kirjautuminen ilman lisähaasteita tunnetusta toimiston IP-osoitteesta. Tämä vähentää toimistolla työskentelevien käyttäjien vaivaa ja vahvistaa samalla etätyötä tekevien tai matkustavien käyttäjien suojausta.

Conditional Access voi edellyttää, että käytettävä laite on compliant (täyttää Intunen laitteen vaatimustenmukaisuutta koskevat käytännöt) tai että kyseessä on yrityksen hybrid Azure AD joined -laite. Näin varmistetaan, että vaikka tunnistetiedot olisivat kelvolliset, henkilökohtaisilla tai hallitsemattomilla laitteilla tehdyt kirjautumiset estetään tai niiden on täytettävä lisäkontrollit. Laitepohjaiset kontrollit ovat Zero Trust -suojausmallin keskeinen pilari.

Entra ID Identity Protection (P2) käyttää koneoppimista jokaisen kirjautumisen arviointiin ja määrittää sille riskipisteet: pieni, keskisuuri tai suuri riski. Riskitekijöitä ovat esimerkiksi mahdoton matkustaminen (kirjautuminen kahdesta maasta muutaman minuutin sisällä), anonyymi IP-osoite, vuotaneet tunnistetiedot ja salasanojen kokeiluhyökkäyksen havaitseminen. Conditional Access -käytännöt voidaan aktivoida riskitason perusteella – esimerkiksi edellyttää MFA:ta keskisuuren riskin tilanteissa ja estää käyttö automaattisesti suuren riskin tilanteissa.

Ennen Conditional Access -käytännön pakottamista käyttöön voit määrittää sen Report-Only-tilaan. Tässä tilassa käytäntö arvioi kaikki kirjautumiset ja tallentaa, mitä olisi tapahtunut (käyttöoikeus myönnetty, käyttö estetty tai MFA vaadittu), mutta ei käytännössä pakota kontrolleja. Näin voit varmistaa käytännön vaikutukset käyttäjiin ennen sen käyttöönottoa ja estää huonosti rajattujen ehtojen aiheuttamat odottamattomat käyttöoikeuksien menetykset.

Conditional Access -näkymän What If -työkalulla voit simuloida kirjautumistilanteen – määrittää käyttäjän, sovelluksen, IP-osoitteen, laitteen käyttöympäristön ja riskitason – sekä nähdä, mitkä käytännöt koskisivat tilannetta ja mikä niiden yhteinen vaikutus olisi. Työkalu on erittäin hyödyllinen käyttöoikeusongelmien vianmäärityksessä ja sen varmistamisessa, että käytäntöjoukkosi tuottaa odotetun tuloksen tietyille käyttäjille ja ehdoille.

Jokaisella organisaatiolla tulisi olla vähintään kaksi break-glass emergency access accounts -tiliä, jotka on rajattu kaikkien Conditional Access -käytäntöjen, myös MFA-vaatimusten, ulkopuolelle. Näitä tilejä käytetään vain, jos MFA-infrastruktuuri vikaantuu tai kaikki järjestelmänvalvojat lukitaan ulos. Hätäkäyttötunnistetiedot tulee säilyttää fyysisessä kassakaapissa, käyttää pitkiä satunnaisia salasanoja, eikä tileille tule rekisteröidä MFA:ta. Kaikkea niiden käyttöä tulee valvoa tarkasti.

Tässä oppitunnissa opit, että MFA edellyttää salasanan lisäksi toista tekijää, mikä vähentää merkittävästi tunnistetietojen varastamisen riskiä, Conditional Access -käytännöt myöntävät tai estävät käyttöoikeuden käyttäjää, sovellusta, sijaintia ja riskiä koskevien ehtojen perusteella ja Identity Protection käyttää koneoppimiseen perustuvaa riskipisteytystä automaattisten käyttöoikeuskontrollien käynnistämiseen. Seuraavaksi tutustumme Entra ID:n Single Sign-On- ja External Identities -ominaisuuksiin.