MFA · 推行与管理
服务类别: 网络安全员工真正用得惯的多因素身份验证
我们规划并实施MFA推行，覆盖每一个重要账户，选择能够抵御现代网络钓鱼的验证方式，让员工有条不紊地完成注册，并在有人丢失手机时提供安全的恢复途径。
概览
- 服务内容
- 在 Microsoft 365、远程访问和关键业务应用中规划、推行并持续管理多因素身份验证
- 适合对象
- 员工约5至200人、MFA只覆盖部分人员、覆盖不一致或完全没有MFA的机构
- 核心内容
- 覆盖情况清点、验证方式选择、员工注册支持、恢复流程、管理员账户加固和覆盖情况报告
- 默认不包含
- 购买硬件安全密钥、为不支持MFA的应用启用MFA，以及定制集成开发
- 支持的验证方式
- 启用号码匹配的 Microsoft Authenticator、通行密钥、FIDO2安全密钥和 Windows Hello for Business；短信仅作为有书面记录的备用方式
- 计价方式
- 推行项目收取固定费用，持续管理按每用户每月计费，以书面报价确认
- 如何开始
- 预约咨询，清点哪些地方缺少MFA
MFA服务涵盖哪些内容
多因素身份验证要求在密码之外再提供一项验证，例如在应用中批准、使用手机上的通行密钥或实体安全密钥，登录才能成功。这是小型机构可以部署的最有效的控制措施之一，我们参考的每一套基线都包含它，包括加拿大网络安全中心的基线控制措施和 CIS Controls。
开启MFA很容易，全面落实却不容易。漏洞往往藏在使用密码的共享邮箱、服务账户、VPN和远程桌面网关、会计和薪资门户，以及防火墙或备份控制台的管理员账户中。员工还需要顺畅的注册过程，以及一套不会被冒充员工致电IT帮助台的攻击者利用的恢复流程。
本页介绍的是如何部署MFA并让它保持良好状态。至于何时需要MFA、从哪些设备登录、针对哪些应用，则由我们范围更广的身份安全服务负责。
我们解决的MFA问题
覆盖不完整
大多数员工都用上了MFA，但几位高管、共享账户或抱怨最多的那位同事被豁免，此后再没人回头检查。
薄弱或容易被钓鱼的验证方式
短信验证码和简单的推送批准仍是默认方式，让员工暴露在SIM卡劫持、MFA疲劳轰炸和钓鱼代理的风险之下。
Microsoft 365 以外的系统
VPN、远程桌面、防火墙控制台和业务系统门户仍然只凭密码就能登录。
不安全的恢复方式
有人换了新手机，只打一个简短的电话、未经任何身份核实，MFA就被重置了。
我们交付的内容
覆盖情况清点
列出员工登录的每一个系统，说明其是否支持MFA、是否已强制执行，以及哪些人被豁免。
验证方式策略
大多数员工使用启用号码匹配的 Authenticator，管理员和财务人员使用通行密钥或FIDO2密钥，短信和语音验证则予以停用，或仅限作为有书面记录的备用方式。
注册推广
员工通知、简明操作指南、排定的注册时段以及IT帮助台支持，确保推行不会半途停滞。
Microsoft 365 以外
通过 Entra ID 或厂商自带的MFA为VPN和远程访问启用MFA，并为支持MFA的第三方门户启用。
安全的恢复流程
针对设备丢失、临时访问通行证和重新注册，建立有书面记录的身份核实程序。
覆盖情况监控
定期检查哪些用户尚未注册验证方式、新增了哪些豁免，以及是否有绕过MFA的登录。
服务范围
通常包含
- 清点所有登录入口及其当前MFA状态
- 配置 Microsoft Entra ID 身份验证方法策略
- 推行期间提供员工通知模板和注册支持
- 为范围中列明的受支持VPN、远程访问和管理控制台启用MFA
- 有书面记录、经过身份核实的恢复和临时访问流程
- 持续管理期间提供月度MFA覆盖情况报告
需另行界定范围或报价
- 购买安全密钥或替换手机
- 不支持MFA或单点登录的应用程序
- 为内部软件添加MFA的定制开发
- 面向客户或消费者的登录系统
相关技术
- Microsoft Entra ID 多因素身份验证和身份验证方法策略
- 启用号码匹配和通行密钥的 Microsoft Authenticator
- FIDO2安全密钥，例如 YubiKey
- Windows Hello for Business 企业版人脸或指纹登录
- 用于安全入驻和账户恢复的临时访问通行证（Temporary Access Pass）
- 防火墙和VPN厂商的MFA，或通过RADIUS与 Entra ID 集成
适合哪些机构
MFA执行不一致的团队
过去曾为部分人员开启过MFA，但没有人能确认是否已全面覆盖的机构。
财务人员和高管是重点目标
付款审批人和管理层经常成为网络钓鱼目标、需要更强验证方式的企业。
面临保险公司询问的机构
申请网络保险时，必须确认电子邮件、远程访问和特权账户均已启用MFA的团队。
好处
- 单凭被盗的密码，再也打不开您的电子邮件或远程访问
- 为攻击者最常针对的人员提供更强的验证方式
- 员工能理解的推行过程，IT帮助台的意外情况更少
- 恢复流程不会成为社会工程攻击的突破口
- 为保险公司和客户提供准确的覆盖记录
推行流程
清点
我们列出每一个登录入口，记录当前的MFA状态和豁免情况。
规划
我们与您商定验证方式、推行阶段、沟通安排和恢复流程。
试点
先让一小组人员注册，以便完善操作说明和支持安排。
全机构注册
员工按排定的批次完成注册，随后强制执行并关闭豁免。
维护
我们监控覆盖情况，处理恢复请求，并在出现新系统时将MFA扩展到这些系统。
购买方式
价格为拟定价格，以书面报价确认。
MFA推行项目
固定费用项目，在全机构范围内完成MFA的清点、规划、注册和强制执行。
持续管理
按每用户每月提供覆盖情况监控和恢复请求处理，通常已包含在托管IT方案中。
纳入身份安全
在范围更广的身份安全项目中，将MFA与条件访问和管理员分离结合起来。
常见问题
基于短信的MFA可以接受吗？
它比只用密码要好，但容易受到SIM卡劫持和拦截的影响。我们建议大多数用户使用启用号码匹配的 Authenticator 或通行密钥，短信只在确有需要时作为有书面记录的备用方式保留。
如果员工不愿意使用个人手机怎么办？
我们可以发放FIDO2安全密钥，或在公司设备上使用 Windows Hello for Business，这样MFA就不依赖个人手机。
有人丢了手机怎么办？
他们联系支持人员，我们按照约定的流程核实其身份，签发临时访问通行证，然后他们在新设备上重新注册。旧的验证方式会被移除。
攻击者能绕过MFA吗？
有些攻击者可以，手段包括钓鱼代理、反复推送验证请求或窃取会话令牌。号码匹配、防钓鱼验证方式和条件访问可以降低这些风险，这也是MFA要作为更完整身份安全方案一部分的原因。