設置 Azure 條件式存取 + 多因素認證 MFA

教學

設置 Azure 條件式存取 + 多重身分驗證 MFA。今天的網絡威脅環境不斷演變。不久之前，可以假定您的帳戶使用密碼是安全的。不再是這樣。網絡犯罪已經發展，網絡罪犯已經設計出新的、複雜的方法來竊取密碼，使其使用不足，公司已經注意到。

因此，Azure AD 中的條件式存取政策被設計為一種對策，讓您根據不同的條件和標準來保護 Microsoft 365 應用程式。該政策允許您在特定情況下提示用戶進行多重身分驗證。

本文是對 Microsoft Azure 中條件式存取和多重身分驗證政策的全面分析，以及如何為您的帳戶設置這些政策。同時閱讀 Azure 安全最佳實踐 – 以符合 (清單) 為目的

什麼是Azure中的條件存取政策？

現代安全系統的邊界現在不僅包括網絡，還包括用戶的設備及其身份。作為一種安全措施，許多組織今天基於身份驅動的信號來做出存取控制的決定。這就是為什麼，Azure是這方面的優秀例子。Azure AD條件存取將信號整合到決策和政策執行中。

I’d phrase Conditional Access policies as a statement: if a certain user wants to access a certain resource, then they need to pass a security measure. For example, if a user wants to access their account in Azure, then they need to do multi factor authentication to access it.

必須注意，條件式存取原則是在完成第一因素驗證後才執行的。根據用戶是否通過了前述條件，條件式存取原則將授予或阻止存取。

最常見的條件式存取原則包括：

要求管理用戶進行多因素驗證。
阻止來自顯示可疑行為的設備的登入。
要求進行多因素驗證以進行Azure管理任務。
限制或允許從指定位置的存取。
要求可信位置進行Azure AD多因素驗證註冊。

另請閱讀使用PowerShell創建Active Directory安全報告

什麼是多因素驗證？

這裡有一個有趣的統計數據：網絡犯罪分子已經從不安全的系統中竊取了將近150億個機密憑證。如果他們獲得了您的憑證，可能會導致機密數據的丟失，以及對您的公司造成重大的財務和聲譽損害。這就是為什麼多因素認證應運而生。

基本上，多因素認證是為了加強您的系統防禦，以防止此類攻擊。

整合多因素身份驗證並不會消除用戶名和密碼。相反，它是在另一種驗證方法上添加一層，以確保只有授權的人員才能獲得訪問權限，而詐騙者則被拒之門外。

此外，多因素身份驗證已被證明在防止黑客攻擊方面非常有效。根據微軟的說法，MFA如此有效，以至於它幾乎可以100%阻止帳戶被黑。它簡單但非常有效。

超過55%的組織使用多因素身份驗證來保護他們的系統，而且這一數字每年都在增加。越來越多的組織認識到實施它的重要性，因此微軟Azure在這方面處於領先地位也就不足為奇了。

另請閱讀Azure AD群組類型解釋 – 安全/Microsoft 365群組

它是如何工作的？

多因素認證通過結合至少兩個不同的因素來加強系統的防禦。一個是你熟悉的，比如你的電子郵件地址或用戶名和密碼。然後另一個因素是：

你擁有的東西（你的手機、鑰匙卡，甚至是你的USB）

A typical MFA process in Azure has the following sequence of events:

註冊：一個人將某物鏈接到系統，例如，他們的電話號碼。
登錄：用戶然後輸入他們的用戶名和密碼以進入系統。
驗證：系統然後連接到已註冊的物品。隨後，將驗證碼發送到用戶的手機。如果用戶正在使用驗證器應用程序，則系統會顯示一個QR碼，當掃描時，它會給用戶一個驗證碼。
獲取訪問權限：用戶然後輸入發送給他們的驗證碼，他們將被授予訪問權限。