Principais considerações ao escolher uma solução de autenticação multifator

As senhas claramente não são suficientes para proteger as redes. Qualquer orientação de segurança informará que a autenticação multifator (MFA) é um método fundamental para manter os invasores afastados. Mas que tipo de MFA sua empresa deve implantar? A escolha de tokens e ferramentas multifatores depende de sua empresa, suas necessidades e como os invasores provavelmente atingirão sua empresa. O planejamento antecipado minimizará os problemas de implantação e migração quando novos tokens ou novos telefones forem emitidos.

Essas são as considerações mais importantes ao escolher uma solução de MFA.

Saiba o que a solução de MFA protegerá e não protegerá

Você tem várias decisões a tomar ao decidir qual ferramenta de MFA usar. Primeiro, analise como a ferramenta protege sua rede. Muitas vezes, ao adicionar a MFA a aplicativos locais existentes, ela pode não proteger totalmente sua organização contra alguns ataques. O caso em questão é o recente ataque de dia zero do Exchange Server. A MFA nessa situação não protegeu os servidores. Pelo menos uma vítima usou o Exchange Server local com um aplicativo MFA de terceiros. Embora protegesse partes do processo de autenticação, ele não protegeu o Outlook Web Access (OWA), que usa autenticação básica. A MFA não protegeu essa parte do site, então os invasores poderiam contornar a MFA e atacar os servidores. Considere exatamente o que a solução de MFA que você escolher protege e, em seguida, analise quais processos de autenticação ainda estão expostos.

Implantação, migração e capacidade de atualização de MFA

A implantação, migração e capacidade de atualização de tokens multifatores são outro ponto a ser considerado. Dependendo do tamanho da sua empresa, você pode implantar tokens multifatores ou optar por habilitar aplicativos de autenticação em telefones. Dependendo das políticas de sua empresa, você pode implantar aplicativos de autenticação em dispositivos fornecidos pela empresa ou fornecer informações de implantação para funcionários usando dispositivos pessoais. Se forem usados dispositivos pessoais, pode ser necessário reembolsar para uso comercial, dependendo das leis e regulamentos locais.

A implantação desses dispositivos e o gerenciamento da substituição de telefones podem ser uma tarefa monumental. Dependendo do aplicativo de autenticação, eles migram facilmente ou precisam de backup para locais de backup não controlados pela empresa.

O caso em questão é a reimplantação de aplicativos de autenticação. Alguns aplicativos de autenticação facilitam a exportação e importação para um novo telefone. Outros são mais um processo e podem precisar ser reimplantados. Certifique-se de que sua central de suporte esteja totalmente informada e tenha testado o processo de migração em telefones comerciais e pessoais. Quando novos modelos de telefone forem lançados, sua equipe deverá saber qual suporte você fornecerá para a migração. Você pode definir limites para atualizar para novos modelos de telefone para garantir que seus usuários não sobrecarreguem o suporte técnico. Fornecer suporte a telefones geralmente leva mais tempo e mais ferramentas remotas especializadas, que permitem ao suporte técnico revisar a tela do telefone, mas não controlar remotamente os dispositivos.

Prepare a documentação para implantar e migrar corretamente os aplicativos de autenticação entre plataformas telefônicas. Embora você possa encontrar facilmente instruções na Web para ajudar na migração, certifique-se de que seu suporte técnico tenha instruções para suas necessidades de autenticação.

Não limpe um dispositivo sem garantir que as informações necessárias tenham migrado para o telefone substituto. Ao migrar para um novo telefone, talvez seja necessário reimplantar o aplicativo MFA. Por exemplo, se você usar notificações push nos telefones, esses estilos de credenciais devem ser recriados, pois estão vinculados ao hardware do dispositivo e não podem ser migrados ou exportados. As implantações push MFA ou sem senha precisarão ser reimplantadas devido ao fato de estarem vinculadas ao dispositivo telefônico. O aplicativo de autenticação da Microsoft, por exemplo, é um sucesso ou um fracasso quando se trata de restaurá-lo com sucesso para um iPhone substituto. Em uma instância, o aplicativo foi restaurado sem problemas. Em outra, as contas tiveram que ser revalidadas dependendo se os dispositivos configurados para notificações push estão vinculados ao dispositivo. Outros fornecedores, como o Google Authenticator, têm uma função de importação/exportação.

Vantagens de usar tokens de hardware versus telefone para autenticação

Em vez disso, você pode decidir implantar tokens ou keyfobs. Embora essas soluções possam ser menos econômicas, há menos necessidade de migrar. Os tokens vêm com uma sobrecarga adicional, pois nem sempre estarão com o usuário, enquanto os telefones celulares tendem a estar sempre com ele. Tokens e keyfobs podem demorar mais para se acostumar, e você precisa considerar a substituição da bateria e outras necessidades de implantação.

Opções específicas da Microsoft

Com as necessidades multifatoriais da Microsoft, você tem várias opções, começando com o Microsoft Authenticator. Se a maioria de sua equipe tiver telefones Android ou Apple, o Microsoft Authenticator é uma solução econômica que você pode implantar rapidamente. Mesmo que você não atualize para uma licença do Azure P1 (ou tenha uma licença da Microsoft que a inclua), você poderá usar o aplicativo Authenticator como um segundo fator para contas Azure AD Global Administrator.

Revise qual método de aplicativo MFA você está usando; faça logon no portal de administração do Microsoft Azure e navegue até Segurança > Métodos de autenticação. As opções sem senha variam desde o uso das chaves de segurança do Windows Hello for Business, Microsoft Authenticator e FIDO2. Você pode usar chaves de segurança FIDO2 de outros fornecedores. Muitas vezes, você pode usar chaves FIDO2 com outros aplicativos que exigem MFA para proteger aplicativos da Microsoft e fornecer um segundo fator de autenticação para ferramentas de gerenciamento de senhas, acesso remoto e outras necessidades.

Requisitos de autenticação na nuvem

Muitas vezes você não pode padronizar em apenas um aplicativo de autenticação para serviços em nuvem. Os serviços em nuvem podem se alinhar com um aplicativo de autenticação. Os administradores normalmente descobrem que precisam de uma variedade de ferramentas de MFA, incluindo aplicativos de autenticação (Microsoft, Authy, Google Authenticator), bem como aplicativos como Duo.com e tokens de hardware. Planeje com antecedência para garantir que o método de autenticação atenda aos requisitos e especificações regulamentares, como os mandatos do NIST, e possa ser gerenciado por meio de seu suporte técnico.

A MFA deve ser um mandato em sua organização, mas a forma como ela é implantada e mantida pode ajudar sua central de suporte ou sobrecarregar mais. Planeje com antecedência para escolher uma opção que seja mais fácil de gerenciar, não cause mais problemas ao atualizar e atenda às necessidades da sua organização.