Multifaktorautentisering och villkorsstyrd åtkomst

Stulna autentiseringsuppgifter är den vanligaste orsaken till säkerhetsincidenter i molnet. Ett lösenord kan utsättas för nätfiske, gissas genom brute force eller läcka från ett intrång hos en tredje part. Multi-Factor Authentication (MFA) kräver en andra verifieringsfaktor som en angripare sannolikt inte har tillgång till även efter att ha fått tag på lösenordet — vilket avsevärt minskar risken för obehörig åtkomst till er Azure-miljö.

Entra ID har stöd för flera MFA-verifieringsfaktorer. Det säkraste och rekommenderade alternativet är Microsoft Authenticator-appen, som tillhandahåller nummermatchning och push-aviseringar. Andra alternativ är en FIDO2-säkerhetsnyckel (maskinvarutoken), en programvarubaserad OATH-token, ett SMS-meddelande eller ett röstsamtal. SMS och röstsamtal anses vara mindre säkra och bör endast användas som reservalternativ.

MFA i Entra ID kan framtvingas genom tre mekanismer. Säkerhetsstandarder är det kostnadsfria alternativet med ett klick som framtvingar MFA för alla användare, men utan anpassningsmöjligheter. MFA per användare (äldre) aktiverar MFA för specifika användarkonton. Det rekommenderade moderna alternativet är principer för villkorsstyrd åtkomst (Entra ID P1/P2), som endast framtvingar MFA när angivna riskvillkor är uppfyllda. Det minskar störningarna för användare vid inloggningar med låg risk.

Vilkorsstyrd åtkomst (Entra ID P1) är en if-then-motor för principer: om en användare (eller grupp) försöker få åtkomst till en resurs under vissa villkor, så beviljas åtkomst, åtkomst blockeras eller ytterligare kontroller krävs, till exempel MFA eller en kompatibel enhet. Villkoren kan omfatta användaridentitet, enhetens kompatibilitet, IP-plats, programmet som används och riskpoängen från Entra ID Identity Protection.

En princip för villkorsstyrd åtkomst består av två delar: Tilldelningar (vem och vad principen gäller för) och Åtkomstkontroller (vad som händer när principen utlöses). Tilldelningarna definierar Användare/grupper, de Molnappar som används och Villkoren (plats, enhetsplattform och inloggningsrisk). Åtkomstkontrollerna definierar om åtkomst ska Beviljas (eventuellt med krav på MFA, kompatibel enhet eller godkänt program) eller Blockeras helt.

Med namngivna platser i villkorsstyrd åtkomst kan du definiera betrodda IP-intervall (till exempel företagets kontorsnätverk) eller länder. Ett vanligt mönster är att kräva MFA när en användare loggar in utanför en betrodd namngiven plats, men tillåta direkt åtkomst vid inloggning från en känd kontors-IP-adress. Det minskar störningarna för medarbetare på plats och stärker samtidigt säkerheten för användare som arbetar på distans eller reser.

Med villkorsstyrd åtkomst kan du kräva att den enhet som används för åtkomst är kompatibel (uppfyller Intune-principer för enhetskompatibilitet) eller är en företagsenhet som är hybridansluten till Azure AD. Det säkerställer att inloggningar från personliga eller ohanterade enheter blockeras eller måste uppfylla ytterligare kontroller, även om autentiseringsuppgifterna är giltiga. Enhetsbaserade kontroller är en viktig grundpelare i en säkerhetsmodell med Zero Trust.

Entra ID Identity Protection (P2) använder maskininlärning för att utvärdera varje inloggning och tilldela en riskpoäng: låg, medel eller hög. Riskfaktorer omfattar omöjlig resa (inloggning från två länder inom några minuter), anonym IP-adress, läckta autentiseringsuppgifter och identifiering av lösenordssprejning. Principer för villkorsstyrd åtkomst kan utlösas utifrån risknivån — till exempel genom att kräva MFA vid medelhög risk och automatiskt blockera åtkomst vid hög risk.

Innan du börjar tillämpa en princip för villkorsstyrd åtkomst kan du ställa in den i läget Endast rapport. I det här läget utvärderas principen mot alla inloggningar och registrerar vad som skulle ha hänt (åtkomst beviljad, blockerad eller MFA krävd), men kontrollerna tillämpas inte i praktiken. På så sätt kan du validera principens påverkan på användarna innan du aktiverar den och förhindra oväntade utelåsningar på grund av felaktigt avgränsade villkor.

Med verktyget What If i bladet för villkorsstyrd åtkomst kan du simulera ett inloggningsscenario — genom att ange en användare, ett program, en IP-adress, en enhetsplattform och en risknivå — och se vilka principer som skulle gälla samt vilket det sammanlagda resultatet skulle bli. Det är ovärderligt vid felsökning av åtkomstproblem och för att verifiera att din uppsättning principer ger förväntat resultat för angivna användare och villkor.

Alla organisationer bör ha minst två nödåtkomstkonton för akuta situationer som undantas från alla principer för villkorsstyrd åtkomst, inklusive MFA-krav. Dessa konton används endast om MFA-infrastrukturen slutar fungera eller om alla administratörer låses ute. Autentiseringsuppgifterna för nödåtkomst bör förvaras i ett fysiskt kassaskåp, använda långa slumpmässiga lösenord, sakna registrerad MFA och granskas noggrant vid all användning.

I den här lektionen lärde du dig att MFA kräver en andra faktor utöver ett lösenord, vilket kraftigt minskar risken för stulna autentiseringsuppgifter, att principer för villkorsstyrd åtkomst tillämpar kontroller för att bevilja eller blockera åtkomst baserat på användare, program, plats och riskvillkor och att Identity Protection använder riskpoäng baserade på maskininlärning för att utlösa automatiska åtkomstkontroller. Härnäst utforskar vi Single Sign-On och externa identiteter i Entra ID.