MFA · راه‌اندازی و مدیریت
گروه خدمات: امنیت سایبریاحراز هویت چندعاملی که کارکنان واقعاً میتوانند با آن کنار بیایند
راه‌اندازی MFA را طوری برنامه‌ریزی و اجرا میکنیم که همه حساب‌های مهم را پوشش دهد، روش‌هایی مقاوم در برابر فیشینگ امروزی انتخاب کند، کارکنان را بدون آشفتگی ثبتنام کند و وقتی کسی گوشیاش را گم میکند، راه بازیابی امنی در اختیارتان بگذارد.
در یک نگاه
- خدمت
- برنامه‌ریزی، راه‌اندازی و مدیریت مستمر احراز هویت چندعاملی (MFA) در Microsoft 365، دسترسی از راه دور و نرم‌افزارهای کلیدی کسب‌وکار
- مناسب برای
- سازمان‌هایی با حدود ۵ تا ۲۰۰ کارمند که پوشش MFA آن‌ها ناقص، ناهماهنگ یا صفر است
- موارد اصلی
- فهرست‌برداری از پوشش، انتخاب روش‌ها، پشتیبانی ثبتنام کارکنان، روال‌های بازیابی، مقاوم‌سازی حساب‌های مدیر و گزارش پوشش
- به‌طور پیش‌فرض شامل نمی‌شود
- خرید کلیدهای امنیتی سخت‌افزاری، MFA برای نرم‌افزارهایی که از آن پشتیبانی نمی‌کنند و توسعه یکپارچه‌سازی سفارشی
- روشهای پشتیبانی‌شده
- Microsoft Authenticator با تطبیق عدد، کلید عبور (passkey)، کلیدهای امنیتی FIDO2 و Windows Hello for Business؛ پیامک فقط بهعنوان روش جایگزین مستند
- مبنای قیمت‌گذاری
- پروژه راه‌اندازی با هزینه ثابت و مدیریت مستمر به‌ازای هر کاربر، ماهانه، که در پیش‌فاکتور کتبی تأیید می‌شود
- نحوه شروع
- یک جلسه مشاوره رزرو کنید تا جاهایی را که MFA ندارند فهرست کنیم
خدمت MFA چه چیزهایی را پوشش می‌دهد
احراز هویت چندعاملی پیش از موفقیت ورود، چیزی فراتر از رمز عبور می‌خواهد؛ مانند تأیید در یک اپلیکیشن، کلید عبور روی گوشی یا کلید امنیتی فیزیکی. این یکی از مؤثرترین کنترل‌هایی است که یک سازمان کوچک می‌تواند پیاده کند و در همه چارچوب‌های پایه‌ای که به آن‌ها ارجاع می‌دهیم، از جمله کنترل‌های پایه مرکز امنیت سایبری کانادا و CIS Controls، آمده است.
روشن کردن MFA آسان است؛ کامل انجام دادنش نه. شکاف‌ها در صندوق‌های ایمیل مشترکِ دارای رمز عبور، حساب‌های سرویس، درگاه‌های VPN و Remote Desktop، پورتال‌های حسابداری و حقوق و دستمزد و حساب‌های مدیر روی فایروال یا کنسول‌های پشتیبان‌گیری پنهان می‌مانند. کارکنان همچنین به ثبت‌نامی روان و فرایند بازیابی‌ای نیاز دارند که مهاجم نتواند با یک تماس تلفنی با میز خدمت از آن سوءاستفاده کند.
این صفحه درباره استقرار MFA و سالم نگه داشتن آن است. تصمیم درباره اینکه MFA چه زمانی، از کدام دستگاه‌ها و برای کدام نرم‌افزارها لازم است، در خدمت گستردهتر امنیت هویت ما پوشش داده می‌شود.
مشکلات MFA که برطرف میکنیم
پوشش ناقص
بیشتر کارکنان از MFA استفاده می‌کنند، اما چند مدیر ارشد، حساب‌های مشترک یا کسی که بیش از همه اعتراض کرد مستثنا شده‌اند و دیگر کسی به آن رسیدگی نکرده است.
روشهای ضعیف یا قابل فیشینگ
کدهای پیامکی و تأییدهای ساده push هنوز روش پیش‌فرض‌اند و کارکنان را در معرض سرقت سیمکارت (SIM swap)، بمباران درخواستهای MFA و پراکسیهای فیشینگ قرار میدهند.
سیستم‌های خارج از Microsoft 365
VPN، Remote Desktop، کنسول‌های فایروال و پورتال‌های نرم‌افزارهای تخصصی هنوز فقط با رمز عبور ورود را می‌پذیرند.
بازیابی ناامن
وقتی کسی گوشی جدید میگیرد، MFA پس از یک تماس تلفنی کوتاه و بدون هیچ احراز هویتی بازنشانی می‌شود.
آنچه ارائه می‌دهیم
فهرست پوشش
فهرستی از همه سیستم‌هایی که کارکنان به آن‌ها وارد میشوند، اینکه آیا از MFA پشتیبانی می‌کنند، آیا MFA در آن‌ها اجباری است و چه کسانی مستثنا هستند.
راهبرد روش‌ها
Authenticator با تطبیق عدد برای بیشتر کارکنان، کلید عبور یا کلید FIDO2 برای مدیران و واحد مالی، و غیرفعال کردن پیامک یا تماس صوتی یا محدود کردن آن به روش جایگزین مستند.
کارزار ثبتنام
اطلاع‌رسانی به کارکنان، راهنماهای کوتاه، بازه‌های زمان‌بندی‌شده ثبتنام و پشتیبانی میز خدمت تا راه‌اندازی متوقف نشود.
فراتر از Microsoft 365
MFA برای VPN و دسترسی از راه دور از طریق Entra ID یا MFA خود تولیدکننده، و برای پورتال‌های سایر تولیدکنندگان که از آن پشتیبانی می‌کنند.
فرایند بازیابی امن
روال مستند تأیید هویت برای دستگاههای گم‌شده، رمز عبور موقت دسترسی (Temporary Access Pass) و ثبتنام مجدد روی دستگاه جایگزین.
پایش پوشش
بررسی منظم کاربرانی که روش ثبت‌شده ندارند، استثناهای جدید و ورودهایی که MFA را دور می‌زنند.
محدوده
معمولاً شامل می‌شود
- فهرست‌برداری از نقاط ورود و وضعیت فعلی MFA
- پیکربندی سیاست روشهای احراز هویت در Microsoft Entra ID
- قالب‌های اطلاع‌رسانی به کارکنان و پشتیبانی ثبتنام در طول راه‌اندازی
- MFA برای VPN، دسترسی از راه دور و کنسول‌های مدیریتی پشتیبانی‌شده که در محدوده فهرست شده‌اند
- روال مستند و تأییدشده بازیابی و دسترسی موقت
- گزارش ماهانه پوشش MFA در دوره مدیریت مستمر
به محدوده یا پیش‌فاکتور جداگانه نیاز دارد
- خرید کلیدهای امنیتی یا گوشی‌های جایگزین
- نرم‌افزارهایی که از MFA یا ورود یکپارچه پشتیبانی نمی‌کنند
- توسعه سفارشی برای افزودن MFA به نرم‌افزارهای داخلی
- سیستم‌های ورود مشتریان یا کاربران نهایی
فناوری‌ها
- احراز هویت چندعاملی و سیاست روشهای احراز هویت در Microsoft Entra ID
- Microsoft Authenticator با تطبیق عدد و کلید عبور
- کلیدهای امنیتی FIDO2 مانند YubiKey
- Windows Hello for Business روی دستگاههای شرکت
- Temporary Access Pass برای ثبتنام اولیه و بازیابی امن
- MFA تولیدکنندگان فایروال و VPN یا یکپارچه‌سازی RADIUS با Entra ID
برای چه کسانی مناسب است
تیم‌هایی بدون MFA یکدست
سازمان‌هایی که زمانی MFA را برای برخی افراد روشن کرده‌اند اما هیچ‌کس نمی‌تواند پوشش کامل را تأیید کند.
اهداف مالی و مدیران ارشد
کسب‌وکارهایی که تأییدکنندگان پرداخت و مدیرانشان هدف مکرر فیشینگ هستند و به روشهای قوی‌تر نیاز دارند.
سازمان‌هایی که با پرسش‌های بیمه‌گر روبه‌رو هستند
تیم‌هایی که برای درخواست بیمه سایبری باید وجود MFA روی ایمیل، دسترسی از راه دور و حساب‌های دارای اختیارات ویژه را تأیید کنند.
مزایا
- رمز عبور سرقت‌شده به‌تنهایی دیگر ایمیل یا دسترسی از راه دور شما را باز نمی‌کند
- روشهای قوی‌تر برای افرادی که بیش از همه هدف مهاجمان هستند
- راه‌اندازی‌ای که کارکنان آن را می‌فهمند و غافلگیری کمتری برای میز خدمت دارد
- بازیابی‌ای که به نقطه ضعفی برای مهندسی اجتماعی تبدیل نمی‌شود
- سابقه دقیق پوشش برای بیمه‌گران و مشتریان
روند راه‌اندازی
فهرست‌برداری
همه نقاط ورود را فهرست و وضعیت فعلی MFA و استثناها را ثبت میکنیم.
برنامه‌ریزی
بر سر روش‌ها، مراحل، اطلاع‌رسانی و روال بازیابی با شما توافق میکنیم.
اجرای آزمایشی
ابتدا گروه کوچکی ثبتنام می‌کنند تا راهنماها و پشتیبانی اصلاح شوند.
ثبتنام در کل سازمان
کارکنان در موج‌های زمان‌بندی‌شده ثبتنام می‌کنند و سپس MFA اجباری و استثناها بسته میشوند.
نگهداری
پوشش را پایش میکنیم، به درخواستهای بازیابی رسیدگی میکنیم و MFA را به سیستم‌های جدید گسترش می‌دهیم.
روشهای خرید
قیمت‌ها پیشنهادی هستند و در پیش‌فاکتور کتبی تأیید میشوند.
پروژه راه‌اندازی MFA
پروژه‌ای با هزینه ثابت برای فهرست‌برداری، برنامه‌ریزی، ثبتنام و اجباری کردن MFA در کل سازمان شما.
مدیریت مستمر
پایش ماهانه پوشش و رسیدگی به بازیابی به‌ازای هر کاربر که اغلب در برنامه‌های خدمات مدیریت‌شده فناوری اطلاعات گنجانده می‌شود.
بخشی از امنیت هویت
MFA را با دسترسی مشروط و جداسازی حساب‌های مدیر در یک پروژه گستردهتر امنیت هویت ترکیب کنید.
پرسش‌های متداول
آیا MFA مبتنی بر پیامک قابل قبول است؟
از رمز عبور تنها بهتر است، اما در برابر سرقت سیمکارت و شنود آسیبپذیر است. برای بیشتر کاربران Authenticator با تطبیق عدد یا کلید عبور را پیشنهاد میکنیم و پیامک را فقط در موارد لازم بهعنوان روش جایگزین مستند نگه میداریم.
اگر یکی از کارکنان نخواهد از گوشی شخصیاش استفاده کند چه؟
میتوانیم کلید امنیتی FIDO2 در اختیارش بگذاریم یا از Windows Hello for Business روی دستگاههای شرکت استفاده کنیم تا MFA به گوشی شخصی وابسته نباشد.
وقتی کسی گوشیاش را گم میکند چه اتفاقی میافتد؟
با پشتیبانی تماس میگیرد، ما هویتش را طبق روال توافقشده تأیید میکنیم، یک Temporary Access Pass صادر میکنیم و او روی دستگاه جدید دوباره ثبتنام میکند. روشهای قبلی حذف میشوند.
آیا مهاجمان میتوانند MFA را دور بزنند؟
برخی میتوانند؛ با پراکسیهای فیشینگ، درخواستهای push مکرر یا سرقت توکنهای نشست. تطبیق عدد، روشهای مقاوم در برابر فیشینگ و دسترسی مشروط این ریسکها را کاهش میدهند؛ به همین دلیل MFA بخشی از یک رویکرد گستردهتر امنیت هویت است.
خدمات مرتبط
محصولات و بسته‌ها
صنایعی که پشتیبانی میکنیم
شکاف‌های MFA را که نمی‌بینید ببندید
جاهایی را که MFA ندارند فهرست میکنیم و برنامه راه‌اندازی و هزینه ثابت را به‌صورت کتبی پیشنهاد می‌دهیم.