با گسترش استفاده از Passkeyها که فرآیند ورود (Sign-in) را در برابر حملات فیشینگ (Phishing) بسیار مقاوم می‌کنند، استراتژی عامل‌های تهدید (Threat Actors) نیز تغییر یافته است. مهاجمان اکنون به جای تلاش برای شکستن پروتکل‌های رمزنگاری، فرآیند صدور اعتبارنامه‌های جدید (Credential Issuance) را هدف قرار می‌دهند.
تغییر تاکتیک مهاجمان: از فیشینگ به مهندسی اجتماعی
بسیاری از نفوذهای هویتی بزرگ در سال‌های اخیر از طریق دور زدن مکانیزم‌های MFA انجام شده‌اند. مهاجمان با استفاده از مهندسی اجتماعی (Social Engineering) و جعل هویت کارمندان، میز کمک (Help-desk) را متقاعد می‌کنند تا فرآیند بازنشانی MFA یا ثبت یک دستگاه جدید را انجام دهند. زمانی که مهاجم بتواند یک روش احراز هویت تحت کنترل خود را ثبت کند، تمام کنترل‌های مقاوم در برابر فیشینگ در مراحل بعدی، به جای محافظت از سازمان، از دسترسی مهاجم محافظت خواهند کرد.
راهکارهای امن‌سازی در محیط Microsoft Entra ID
برای جلوگیری از سوءاستفاده از فرآیند ثبت (Enrollment)، مدیران امنیت باید بر چهار محور اصلی تمرکز کنند:
- محافظت از ثبت خودکار (Self-service registration): استفاده از سیاست‌های دسترسی مشروط (Conditional Access) برای کنترل عملیات ثبت اطلاعات امنیتی. یکی از چالش‌های رایج، تداخل سیاست‌های BYOD (استفاده از دستگاه شخصی) با اپلیکیشن Microsoft Authenticator است که می‌تواند فرآیند ثبت را مسدود کند. راهکار، استثنا کردن سرویس Azure Credential Configuration Endpoint از سیاست‌های سخت‌گیرانه اپلیکیشن است.
- مدیریت گذرگاه دسترسی موقت (Temporary Access Pass – TAP): استفاده از TAP به عنوان یک روش امن برای استخدام‌های جدید یا بازیابی حساب. توصیه می‌شود طول عمر (Lifetime) این گذرگاه کوتاه و برای استفاده‌های یک‌باره (One-time use) تنظیم شود تا ریسک سرقت آن کاهش یابد.
- کمپین‌های ثبت (Registration Campaigns): مدیریت نحوه ترغیب کاربران به استفاده از Passkey. سازمان‌ها باید با دقت تصمیم بگیرند که آیا از مدیریت خودکار مایکروسافت استفاده کنند یا سیاست‌های سفارشی خود را برای محدود کردن دفعات تعویق (Snooze) اعمال کنند.
- فرآیند بازیابی امن (Secure Recovery): فرآیند بازیابی نباید به یک میان‌بر برای دور زدن امنیت تبدیل شود.
طراحی سلسله‌مراتب تایید هویت در بازیابی
مدیران باید فرآیند بازیابی را بر اساس سطح دسترسی کاربران طراحی کنند:
- کارکنان عادی: تایید از طریق تماس با شماره ثبت شده در منابع انسانی و تایید مدیر مستقیم.
- نقش‌های حساس: تایید توسط مدیر امنیت و استفاده از تایید هویت ویدئویی زنده.
- مدیران سطح بالا (Tier 0): تایید حضوری یا استفاده از کنترل دوگانه (Dual Control) مشابه پروتکل‌های Break-glass.
نکته کلیدی برای SOC: هرگونه درخواست فوری و با فشار روانی (مانند “مدیرعامل نیاز دارد همین الان دسترسی داشته باشد”) باید به عنوان یک نشانه هشدار (Warning Sign) برای حملات مهندسی اجتماعی در نظر گرفته شود.
