Bronnen · 24
Implementeer phishingbestendige authenticatie met veilig herstel.
Gebruik factoren die zijn gekoppeld aan de echte service en bescherm registratie, verlies en intrekking.
Bijgewerkt · 2 min
Wat deze handleiding helpt bereiken
- Toegangspaden in kaart brengen
- Een resistent protocol selecteren
- Inschrijving beveiligen
- Oefen herstel
Snelle controle
- Welke accounts hebben toegang tot kritieke gegevens of functies?
- Is de authenticatiefactor cryptografisch gekoppeld aan de legitieme service?
- Wie autoriseert een nieuwe authenticatie?
- Hoe wordt een verloren apparaat ingetrokken?
- Hebben uitzonderingen een eigenaar en een einddatum?
Stapsgewijze methode
- 1
Toegangspaden inventariseren
Applicaties, federatie, beheerders, noodaccounts en huidige methoden opsommen. Aanmeldingen identificeren die nog steeds handmatig ingevoerde codes accepteren.
Resultaat: account-, applicatie- en authenticatiefactormatrix.
- 2
De vereiste weerstand selecteren
Cryptografische protocollen evalueren die gekoppeld zijn aan een kanaal- of verificatienaam, zoals WebAuthn/FIDO2, indien de applicatie dit ondersteunt. NIST beschouwt handmatig ingevoerde OTP's niet als phishingbestendig, omdat een valse site deze kan doorsturen.
Resultaat: methodekeuze en bekende beperkingen.
- 3
Test gevoelige accounts
Test browsers, apparaten, delegatie, mogelijk offline gebruik en toegankelijkheid met een representatieve groep. Bied meer dan één geautoriseerd pad aan zonder dat er slapende toegang ontstaat.
Resultaat: pilotscenario's en succescriteria.
- 4
Inschrijving beveiligen
Identiteit en sessie verifiëren voordat een sleutel wordt toegevoegd, de gebruiker informeren en de gebeurtenis vastleggen. Test de afwijzing van een inschrijvingsverzoek vanuit een verdachte context.
Resultaat: inschrijvingsprocedure en gebeurtenisregistratie.
- 5
Plan verlies en intrekking
Documenteer rapportage, deactivering, herstel en identiteitscontroles voor een verloren authenticatie-item. Test het proces zonder de beveiliging via een zwakker kanaal te omzeilen.
Resultaat: oefening voor herstel en intrekking.
- 6
Uitbreiden en monitoren
Uitrollen per groep, dekking meten, fouten en uitzonderingen volgen en vervolgens verouderde methoden uitfaseren zodra het geteste herstelproces dit toelaat.
Resultaat: migratiedashboard en uitzonderingsregister.
Managementindicatoren
| Indicator | Wat het meet | Eerste actie |
|---|---|---|
| Dekking | Gevoelige accounts op resistente methoden | Uitrol uitbreiden |
| Registratie | Toevoegingen met controles en meldingen | Zwakke paden repareren |
| Herstel | Gesimuleerde verliezen opgelost zonder omzeiling | De oefening herhalen |
| Uitzonderingen | Resterende toegang met eigenaar en vervaldatum | Verouderde factoren uitfaseren |
Veelvoorkomende fouten
- Elke MFA-methode als phishingbestendig bestempelen
- Aanmelden beveiligen, maar zwakke registratie behouden
- Ontbrekende beheerders en noodaccounts
- Een verouderde methode uitfaseren voordat herstel werkt
Veelgestelde vragen
Is een eenmalige code voldoende?
NIST legt uit dat een handmatig ingevoerde code kan worden doorgegeven door een frauduleuze dienst en niet phishingbestendig is.
Heeft iedereen een hardwarematige sleutel nodig?
De keuze hangt af van de betrouwbaarheid en de context; sommige synchroniseerbare WebAuthn-authenticators zijn mogelijk geschikt voor bepaalde toepassingen met de juiste herstelopties.
Wat gebeurt er na verlies van het apparaat?
Trek de betreffende authenticator in, volg het geverifieerde herstelproces en stel de gebruiker op de hoogte volgens het servicebeleid.
Officiële referenties
Referenties ondersteunen de methode. Pas controles aan uw context aan; ze zijn geen certificering. Originele referentietitels en brondocumenten kunnen in een andere taal zijn.
