Microsoft MFA (Multi-factor authentication)
Du kender måske denne feature som SMS-godkendelse, eller to-trins godkendelse. Rent praktisk kommer det ud på et. Du bliver bedt om at godkende via en alternativ rute – typisk via SMS eller et Microsoft program på din mobil. Dette sikrer at det ikke er nok for en kriminel blot at aflure din e-mail og adgangskode, han skal også have fingrene i din telefon.
Dette dobbelt lag af sikkerhed betyder at virksomheder med MFA aktiveret er langt mindre eksponerede end virksomheder uden. Faktisk påviser uafhængige tests at MFA reducerer sikkerhedsbrud med op til 99%
Hvordan virker det?
Alt efter hvilke overordnede indstillinger der laves for løsningen, bliver brugere promted for at indtaste en tilsendt talkombination. Disse tal kommer enten som SMS, eller via Microsoft’s dedikerede Authenticator app.
Det giver også mulighed for at bevæge sig i retning af brug af komplekse passwords uden udløb, kombineret med en password-fri hverdag. Erfaringer viser nemlig at svage og default passwords er grundlaget for størstedelen af alle identitetslæk. Traditionelt har de fleste firmaer haft en politik om at passwords skal udskiftes hver 3 måned, men det betyder ofte at brugerne vælger lette passwordstrukturer som er nemme at huske – f.eks. FidoForår2020 – og 3 mdr. senere FidoSommer2020…
Microsoft anbefaler at man i stedet opsætter Windows Hello på enheder, og bruger Microsoft Authenticator app med telefon login. Derved undgår man at indtaste sit password, og dermed risikere at få det lækket.
Hvordan leveres det
MFA-Løsningen er som standard opsat således at du altid bliver bedt om at verificere dig med password og MFA. Det er dog muligt at granulere, så man opsætter det man kalder Conditional Access – dvs. at hvis et sæt parametre ikke er opfyldt så promptes brugeren med MFA-godkendelse.
Conditional Access tager udgangspunkt i bruger, placering, application, enhed og ”real-time risk” og vurderer et sæt regler for om behov for ekstra sikkerhed i form af MFA godkendelse.
Det er muligt at definere MFA godkendelse på baggrund af:
- MFA baseret på IP-adresse/er
Hvis du f.eks. er på arbejde så promptes du ikke for MFA. Men hvis du logger på fra andre netværk, så skal du benytte MFA. Dvs. vi har hvidlistet dit arbejdsnetværk. (dette kan naturligvis udbygges med andre betroede netværk – vi skal blot bruge en statisk IP-adresse.)
- Device styret
Hvis I har en virksomhedsløsning til at styre/administrere udrulning af jeres PC’ere, telefoner og tablets kan vi via denne hvidliste de enkelte endepunkter.
- Applikationer
Hvis man vælger at basere MFA på applikationsniveau kan man vælge hvilke specifikke apps, der kræver/ikke kræver MFA. Det kan f.eks. være man vælger at undtage Word og Excel, men inkluderer Teams, Outlook og OneDrive, som typisk er applikationer, der har direkte adgang til firmadata.
- Brugere
Er det alle brugere der skal benytte MFA, eller er det kun nogle brugere med adgang til særlig sensitive data? Vi anbefaler generelt at man tilknytter og sikrer alle sine brugere, men som absolut minimum, brugere med administratorrettigheder samt brugere med adgang til særligt sensitivt materiale (typisk ledelse og økonomi).
Hvad sikrer det?
Identitetstyveri er en af de hastigst voksende IT-sikkerhedstrusler. MFA gør livet surt for de stakkels IT-kriminelle, som har lagt et stort stykke arbejde i at aflure din e-mail og adgangskode, blot for at blive mødt med MFA – det er næsten synd (vel er det ej…)
Hvad koster det?
MFA er en del af de fleste Microsoft 365 planer. Men vil man tilpasse sin løsning så kræver det et tilkøb i form af EMS-pakken eller via de forskellige Azure AD planer.
Alt efter kompleksitet og adgangsforhold tager en MFA-implementering et sted imellem 2-5 konsulent timer.
