احراز هویت دو عاملی در دسترسی از راه دور؛ راهنمای سازمان‌ها

زمان تقریبی مطالعه: ۴ دقیقه

تیم محتوای ریموتو · ۱۹ مهر ۱۴۰۵

کارشناس پشتیبانی با حساب خود می‌تواند به رایانه‌های سازمان دسترسی پیدا کند. اگر رمز همان حساب افشا شود، دامنه آسیب ممکن است از یک صندوق ایمیل فراتر برود. احراز هویت دو عاملی یک لایه محافظتی اضافه می‌کند، اما اجرای درست آن به انتخاب روش، تعریف فرایند بازیابی و مدیریت مجوزها وابسته است.

دو عامل مستقل یعنی چه؟

در این روش، ورود با دو نوع شاهد متفاوت تأیید می‌شود؛ برای نمونه رمز عبوری که کاربر می‌داند و کدی که روی ابزار احراز هویت او تولید می‌شود. وارد کردن دو رمز ثابت، دو عامل مستقل محسوب نمی‌شود. همچنین تأیید ورود به پنل فروش الزاماً به معنی فعال بودن عامل دوم برای حساب کنترل از راه دور نیست؛ هر مسیر ورود باید جداگانه بررسی شود.

از کدام حساب‌ها شروع کنیم؟

ابتدا حساب‌های مدیر سیستم، کارشناسان دارای دسترسی گسترده و افرادی را پوشش دهید که با اطلاعات حساس کار می‌کنند. در ادامه، الزام را به سایر حساب‌های دسترسی از راه دور گسترش دهید. برای هر شخص یک حساب مستقل داشته باشید؛ حساب مشترک باعث می‌شود نتوان فعالیت‌ها و مسئولیت بازیابی را به فرد مشخصی نسبت داد.

CISA توصیه می‌کند MFA برای دسترسی از راه دور و حساب‌های دارای مجوز بالا الزامی شود. در روش‌های پشتیبانی‌شده، گزینه‌های مقاوم در برابر فیشینگ حفاظت بیشتری فراهم می‌کنند. این توصیه عمومی است و پشتیبانی هر روش در نسخه انتخابی محصول باید بررسی شود.

روش مناسب را با شرایط واقعی انتخاب کنید

کد پیامکی، برنامه تولید کد و کلید امنیتی تجربه و محدودیت‌های متفاوتی دارند. در انتخاب روش، دسترسی کاربران به تلفن، امکان استفاده از دستگاه شخصی، پوشش شبکه و فرایند جایگزینی ابزار را در نظر بگیرید. کدهای یک‌بارمصرف همچنان ممکن است در صفحه جعلی از کاربر گرفته شوند؛ آموزش تشخیص نشانی ورود و خودداری از ارائه کد به دیگران ضروری است.

بازیابی حساب را پیش از گم‌شدن تلفن طراحی کنید

کاربر ممکن است تلفن خود را عوض کند یا به ابزار تأیید دسترسی نداشته باشد. مشخص کنید چه کسی هویت او را بررسی می‌کند، چه مدرکی لازم است و لغو عامل قبلی چگونه ثبت می‌شود. اگر کد بازیابی ارائه می‌شود، آن را در محل امن و جدا از ابزار اصلی نگه دارید. مدیر نباید تنها به یک پیام یا تماس ناشناس برای غیرفعال‌کردن عامل دوم اعتماد کند.

عامل دوم جایگزین محدودکردن مجوزها نیست

حتی پس از ورود موفق، کارشناس فقط باید دستگاه‌ها و قابلیت‌های موردنیاز خود را ببیند. امکان انتقال فایل، مدیریت کاربران و تغییر تنظیمات را بر اساس مسئولیت تعیین کنید. برای طراحی مجوزها، راهنمای کنترل دسترسی مبتنی بر نقش را بخوانید. حسابی با مجوز بیش‌ازحد، پس از تأیید هویت هم می‌تواند ریسک ایجاد کند.

چه آزمون‌هایی قبل از الزام عمومی لازم است؟

1. ورود یک کارشناس و یک مدیر با عامل دوم را در محیط آزمایشی بررسی کنید.
2. کد اشتباه و تلاش با ابزار تأیید نامعتبر را آزمایش کنید.
3. تعویض تلفن و بازیابی دسترسی را با مسئول تعیین‌شده تمرین کنید.
4. بررسی کنید مسیرهای ورود دیگر الزام را دور نمی‌زنند.
5. رویداد ورود و تغییر عامل دوم را در گزارش‌های در دسترس بررسی کنید.
6. راهنمای کوتاهی برای کاربران و مسیر تماس هنگام مشکل تهیه کنید.

در ریموتو چه چیزی را بررسی کنیم؟

در ارزیابی نسخه موردنظر، فعال‌سازی عامل دوم، روش‌های قابل استفاده، الزام برای مدیران و مسیر بازیابی را با یک حساب آزمایشی بررسی کنید. قابلیت درج‌شده در طرح را به یک سناریوی قابل اندازه‌گیری تبدیل کنید: کارشناس با حساب مستقل وارد شود، فقط گروه مجاز را ببیند و در صورت از دست دادن ابزار تأیید، طبق فرایند مشخص بازیابی شود.

منبع و مطالعه بیشتر

راهنمای CISA درباره الزام احراز هویت چندعاملی