Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo detalha os métodos para obter o Modelo de Maturidade Essencial de Oito do ACSC (Australian Cyber Security Center) para autenticação multifator usando a plataforma de identidade da Microsoft.
Por que seguir as diretrizes de autenticação multifator ACSC Essential Eight?
A MFA é um dos controles mais eficazes que uma organização pode implementar para impedir que um adversário obtenha acesso a um dispositivo ou rede e acesse informações confidenciais. Quando implementada corretamente, a MFA pode dificultar o roubo de credenciais legítimas por um adversário para realizar outras atividades maliciosas em uma rede. Devido à sua eficácia, a MFA é uma das oito essenciais das estratégias do ACSC para mitigar incidentes de segurança cibernética Estratégias para mitigar incidentes de segurança cibernética.
Os adversários frequentemente tentam roubar credenciais legítimas de usuário ou administrativas quando comprometem uma rede. Essas credenciais permitem que eles se propaguem facilmente em uma rede e conduzam atividades maliciosas sem outras explorações, reduzindo a probabilidade de detecção. Os adversários também tentam obter credenciais para soluções de acesso remoto, incluindo Redes Privadas Virtuais (VPNs), pois esses acessos podem mascarar ainda mais suas atividades e reduzir a probabilidade de serem detectados.
Quando a MFA é implementada corretamente, é mais difícil para um adversário roubar um conjunto completo de credenciais. A autenticação multifator exige que o usuário prove que tem acesso físico a um segundo fator. Algo que eles têm (um token físico, cartão inteligente, telefone ou certificado de software) ou são (biometria, como impressão digital ou leitura da íris).
Noções básicas de autenticação
O Modelo de Maturidade dos Oito Essenciais do ACSC para autenticação multifator é baseado na publicação especial 800-63 B Digital Identity Guidelines: Authentication and Lifecycle Management do NIST (National Institute of Standards and Technology).
Os artigos a seguir explicam os conceitos de autenticação multifator e como os tipos de autenticador do NIST são mapeados para os métodos de autenticação do Microsoft Entra.
- Noções básicas de autenticação do NIST
- Tipos de autenticadores do NIST e métodos de autenticação alinhados do Microsoft Entra
Tipos de autenticador
O ACSC aborda os tipos de autenticador nas perguntas frequentes sobre o modelo de maturidade Essential Eight relacionadas à MFA (autenticação multifator).
- O Windows Hello para Empresas usa biometria (algo que os usuários são) ou um PIN (algo que os usuários sabem). Para desbloquear uma chave ou certificado vinculado ao Trusted Platform Module de um dispositivo (algo que os usuários têm). Para saber mais, confira Visão geral do Windows Hello para Empresas.
Referências adicionais sobre o MFA pelo ACSC são as Perguntas frequentes do Modelo de Maturidade Essencial de Oito para consultar a Seção 5.1.1 - 5.1.9 nas Diretrizes de Identidade Digital do NIST SP800-63 B : Autenticação e publicação de Gerenciamento do Ciclo de Vida . Estas seções fornecem mais informações sobre os tipos de autenticador. Esses tipos podem ser usados para algo que os usuários sabem, algo que os usuários têm e algo que os usuários são, que pode ser desbloqueado com algo que os usuários sabem ou são. O ACSC tem mais conselhos na implementação da autenticação multifator.
Resistência a phishing
Todos os métodos de autenticação do Microsoft Entra que atendem aos níveis de maturidade 2 e 3 usam autenticadores criptográficos que associam a saída do autenticador à sessão específica que está sendo autenticada. Eles fazem essa associação usando uma chave privada controlada pelo reclamante para a qual a chave pública é conhecida pelo verificador. Isso atende aos requisitos de resistência de phishing para os níveis de maturidade 2 e 3.
De acordo com o NIST, os autenticadores que envolvem a entrada manual de uma saída do autenticador, como autenticadores fora de banda e OTP (pino único), NÃO DEVEM ser considerados resistentes à representação do verificador. O motivo é porque a entrada manual não vincula a saída do autenticador à sessão específica que está sendo autenticada. Em um ataque man-in-the-middle, um verificador impostor pode reproduzir a saída do autenticador OTP para o verificador e autenticar com êxito.
O resultado é que qualquer autenticador que não verifique criptograficamente se o servidor de entrada é quem diz ser, pode ser vítima de phishing.
Tipos de autenticadores permitidos
Um resumo dos principais tipos de autenticadores permitidos em cada nível de maturidade.
Verificação de identidade
Ao estabelecer credenciais sem senha resistentes a phishing, a verificação de identidade é crucial para garantir que as credenciais sejam emitidas para o indivíduo correto. Sem a verificação de identidade adequada, as organizações enfrentam desafios significativos para confirmar a identidade de usuários remotos.
ID Verificada do Microsoft Entra oferece uma solução de alta garantia para esse fim. Ao fazer parceria com um parceiro de verificação de identidade (IDV), as organizações podem verificar as identidades de novos usuários usando IDs emitidas pelo governo. Em seguida, o IDV emite uma ID verificada, que o usuário apresenta à organização para estabelecer confiança.
Para aprimorar esse processo, a Face Check com a ID Verificada do Microsoft Entra pode ser utilizada. Isso adiciona uma camada de correspondência facial, garantindo que o usuário confiável apresente a ID verificada em tempo real, fornecendo um nível adicional de segurança.