Lühidalt
MFA ehk mitmefaktoriline autentimine nõuab vähemalt kahte eri tüüpi tõendit: midagi, mida tead (parool), midagi, mis on sinuga (telefon, turvavõti) või midagi, mis oled (biomeetria). Parooli üksi ei tohiks pidada piisavaks kriitiliste süsteemide jaoks.
NIS2 artikli 21 kohaselt tuleb MFA-d või pidevat autentimist kasutada seal, kus see on asjakohane. Praktikas tähendab see riskipõhist prioriseerimist, mitte kõigi kontode korraga ümberlülitamist. Kõige parem tulemus tuleb siis, kui MFA on kasutajale lihtne ja administraatorile jälgitav.
Mida MFA lahendab ja mida mitte
MFA raskendab paroolide varastamist, credential stuffing'ut ja suurt osa andmepüügist. See ei kõrvalda nõrkusi rakenduse loogikas, liigsetes õigustes ega sessioonide varastamises. Kui ründaja saab pärast autentimist sessiooniküpsise, ei pruugi MFA teda peatada.
Seetõttu tuleb MFA siduda ligipääsukontrolli, seadmehügieeni, logimise ja õiguste regulaarse ülevaatusega. MFA on üks kiht, mitte kogu turvalisus.
Meetodid: mis on tugev ja mis ainult mugav
| Meetod | Tugevus | Nõrkus |
|---|---|---|
| FIDO2 / WebAuthn turvavõti | Andmepüügi suhtes vastupidav; seotud õige saidiga | Vajab füüsilist võtit ja varuvõtit; logistika |
| Passkey | Kasutajasõbralik ja andmepüügi suhtes vastupidav | Seadme/platvormi toe erinevused; taastamise kord |
| TOTP rakendus | Lai tugi, ei vaja SMS-i | Koodi saab reelda; phishing on võimalik |
| Push-teavitus | Mugav, kiire kinnitamine | MFA fatigue; vajab number matching'ut ja konteksti |
| SMS | Kiire kasutuselevõtt | SIM-swap, operaatori risk, phishing; mitte phishing-resistant |
CISA soovitab liikuda phishing-resistant MFA, eelkõige FIDO/WebAuthn lahenduste poole. Kui SMS on ainus võimalus, kasuta seda üleminekuna, mitte lõpplahendusena.
Kust alustada
- Administraatorid ja juurdepääs taristule: identiteedihaldus, pilvekonsoolid, virtuaalmasinate haldus, võrguseadmed.
- E-post ja failijagamine: konto kompromiteerimine annab ründajale kõige rohkem võimalusi.
- Kaugjuurdepääs ja VPN: avalikust internetist ligipääsetavad teenused.
- Ärikriitilised rakendused: finants-, personali- ja kliendiandmed.
- Ülejäänud töötajad: järk-järgult, koos tuge ja kommunikatsiooniga.
Kui kõik korraga ei ole võimalik, dokumenteeri erandid ja nende risk. „Meil on MFA“ ei ole tõend, kui kriitilised admin-kontod on endiselt parooli taga.
Juurutamise sammud
- Inventuur: millised identiteedipakkujad, rakendused ja kohalikud kontod on olemas; kes pääseb kuhu.
- Poliitika: kes peab MFA-d kasutama, millised meetodid on lubatud ja kuidas taastamine käib.
- Piloot: alusta IT-tiimist ja väikesest rühmast; kogu tagasiside enne laiemat laine.
- Enrollment: registreeri vähemalt kaks faktorit; väldi olukorda, kus ainus seade on telefon.
- Legacy: leia rakendused, mis ei toeta MFA-d; kasuta vahendajat, IP-piirangut või asenda rakendus.
- Break-glass: hoia turvaliselt eraldatud ja testitud taastamiskontot, mille kasutamine logitakse ja üle vaadatakse.
Legacy-süsteemid ja break-glass
Kõige rohkem probleeme tekitavad vanad rakendused, mis eeldavad ainult parooli, ja teenuskontod, millel ei saa MFA-d kasutada. Ära jäta neid „ajutiselt“ avatuks. Kasuta võrgu piirangut, vahendajat, eraldi kontot ja lühemat sessiooni; kirjuta üles risk ja tähtaeg.
Break-glass-konto on vajalik, kuid see peab olema eraldatud, tugeva parooli ja füüsilise kaitsega, kasutus logitud ning regulaarselt testitud. Kui break-glass on tavaline admin-konto, ei ole see break-glass.
Mõõdikud, mis näitavad tegelikku seisu
- Katvus: MFA-ga kaitstud kontode osakaal, eraldi admin- ja teenuskontode lõikes.
- Registreeritud faktorid: mitu kasutajat on registreerinud teise faktori ja kui paljudel on ainult üks seade.
- Erandid: MFA-ta kontod, nende omanik, põhjus ja tähtaeg.
- Toetus: kui palju pileteid ja kui kaua kulub taastamisele.
- Ründed: blokeeritud MFA-katsed, push-fatigue ja kahtlased sisselogimised.
Ära mõõda ainult „MFA on sisse lülitatud“. Mõõda, kas kriitilised kontod on kaitstud ja kas erandid on teadlikud.
Levinud vead
- Ainult SMS: parem kui mitte midagi, kuid mitte phishing-resistant.
- Push ilma number matching'uta: MFA fatigue võib viia kinnitamiseni.
- Üks faktor kõigile: telefon kaob või vahetub; puudub varufaktor.
- Jagatud admin-kontod: MFA ei ütle, kes tegelikult tegutses.
- Break-glass igapäevakasutuses: erand muutub tavapäraseks.
- Puudub logimine: intsidenti ei saa hiljem tõendada.
30/60/90 päeva plaan
- 0–30 päeva: kaardista identiteedid ja kriitilised kontod; kirjuta MFA-poliitika ja taastamise kord; vali pilootrühm.
- 31–60 päeva: käivita piloot, registreeri varufaktorid, lahenda legacy-erandid ja koolita tugi.
- 61–90 päeva: laienda lainete kaupa, mõõda katvust ja erandeid, testi break-glass'i ning uuenda riskiregistrit.
Küsimused MFA kohta
Kas SMS-MFA on parem kui ainult parool?
Jah, kuid see ei ole phishing-resistant. SMS on parem kui ainult parool, kuid SIM-swap ja phishing võivad selle mööda minna. Kriitiliste kontode jaoks eelista FIDO2/WebAuthn või passkey't.
Kas NIS2 nõuab MFA-d kõigile?
NIS2 nimetab MFA-d või pidevat autentimist ühe meetmena, mida kasutada seal, kus see on asjakohane. See ei tähenda, et iga konto ilma erandita peab olema MFA-ga, kuid kriitilised ligipääsud vajavad riskipõhist põhjendust ja tõendit.
Mida teha teenuskontodega, mis ei toeta MFA-d?
Piira võrgu- ja IP-ligipääsu, kasuta vahendajat või eraldi kontot, logi kasutust ja sea tähtaeg asendamiseks. Ära jäta MFA-ta kontot avalikku internetti.
Kuidas mõõta MFA juurutamise õnnestumist?
Vaata katvust kriitiliste kontode lõikes, registreeritud varufaktoreid, erandite arvu ja tähtaegu, taastamispiletite mahtu ning blokeeritud või kahtlaste autentimiskatsete trendi. Ainult sisselülitamise fakt ei näita tegelikku kaitset.
Allikad
- NIS2 direktiiv (EL) 2022/2555, artikkel 21.
- CISA: More than a Password.
- CISA: Implementing Phishing-Resistant MFA.
- NIST SP 800-63B: Digital Identity Guidelines.
See artikkel on selgitav, mitte õigus- ega tootenõu. Kohustuse ulatuse ja tehnilise lahenduse kinnitab sinu riskipõhine otsus.