Ikke flere undskyldninger! Du skal bruge multifaktorgodkendelse med Microsoft 365

Ikke flere undskyldninger! Du skal bruge multifaktorgodkendelse med Microsoft 365

Ville det ikke være fantastisk, hvis der var en forholdsvis enkel måde at fjerne omkring 90% af de online trusler, som din virksomhed støder på? Hvis jo, så har jeg gode nyheder!

Det kaldes multi-faktor autentificering (eller MFA) eller 2-faktor. Korrekt konfigureret MFA fjerner faren for et brud på jeres datasikkerhed som følge af en kompromitteret adgangskode, og da omkring 90% af cyber-angreb på virksomheder er afhængige af kompromitterede adgangskoder, er det godt givet ud.

I betragtning af at 100 millioner identiteter angribes hver måned, og at 50.000 virksomheder kompromitteres hver måned, ville det være dumt at antage, at du eller din virksomhed ikke er et mål, og at det derfor ikke er sandsynligt at I blive angrebet – for det er I.

Selvom du allerede bruger MFA med Microsoft 365, skal du måske alligevel læse videre for at sikre, at du har dækket nogle af de sårbarheder, der er tilbage, hvis du ikke løser dem korrekt.

Hvad er MFA?

For dem, der ikke ved, hvad MFA er, er her lidt baggrundsinfo.

Adgangskoder har spredt sig på tværs af vores onlineliv – de er nødvendige for hvert enkelt websted og hver enkelt webapplikation du bruger. Som du ved, kan dette være ret “træls” – der er nok ingen der nyder at klikke på ‘glemt adgangskode’ linket og skulle nulstille den for 117. gang. Historisk set brugte vi den samme gamle trofaste adgangskode til alt (og 59 % af befolkningen gør det stadig). Så indså vi hvor usikre de adgangskoder var, og de mest nervøse af os, skiftede til flere forskellige adgangskoder af højere kompleksitet.

Men uanset hvor komplicerede dine adgangskoder er, er der altid en trussel om et brute force- eller spray- angreb på at bryde din adgangskode. En phishing e-mail fanger dig, eller der sker et brud på datasikkerheden hos en virksomhed hvor dine oplysninger er registreret hos. Før du ved af det, kunne dine oplysninger kunne være til salg på det mørke net. Vil du se, om dine e-mailadresser nogensinde er blevet lækket? Tjek her på https://haveibeenpwned.com/ – det tager kun et par sekunder. Du kan også tage denne quiz fra Google for at se, om du kan spotte på en phishing-e-mail.

Det er her MFA kommer ind i billedet. MFA giver dig mulighed for at føje endnu en type af identitetsbekræftelse til dine konti ud over din adgangskode – din adgangskode er det, du ved. Den anden form for identifikation skal være noget unikt, som du har (f.eks. din mobil eller en FIDO2-sikkerhedsnøgle) eller noget, du er (f.eks. biometrisk såsom dit fingeraftryk). Disse er almindelige sekundære verifikationsfaktorer. Det betyder, at selvom dine adgangskodeoplysninger falder i hænderne på en hacker, kan de ikke komme ind på dine konti uden noget der er unikt for dig, som eksempelvis din mobiltelefon eller dit fingeraftryk. De er ikke let at få fat i for nogen, og slet ikke for en hacker, der er i Rusland eller Kina.

Et typisk MFA-system genererer  en entydig kode, hver gang du forsøger at logge ind med den kode, der er knyttet til din konto. For eksempel vil du indtaste din adgangskode, og så vil du blive bedt om at indtaste en kode, der er blevet sendt til din mobil via en SMS eller en e-mail.

Men SMS MFA er ikke noget din virksomhed bør stole på. Selvom det er bedre end slet ingen MFA så kan hackere opfange SMS-beskeder relativ nemt, delvis på grund af vores gamle telefon routing-system og så med muligheden for bruge SIM swap-angreb.

Den nyeste og mere sikre version af MFA, sender en godkendelsesmeddelelse til en godkender-app på din mobilenhed, som giver dig mulighed for blot at klikke på “godkend” eller “afvis” til anmodningen. Du kan hurtigt trykke “godkend” på notifikationen, og så får du adgang.

MFA til Microsoft 365

Hvis din virksomhed bruger Microsoft 365, er det vigtigt at du implementerer MFA – som i øvrigt er inkluderet i alle licenser. Microsoft 365-konti er ekstremt almindelige mål for hackere. Det betyder ikke noget, hvis du arbejder for en lille virksomhed eller en global virksomhed, hackere vil tilfældigt angribe konti, bare fordi de bruger Microsoft 365. Hvis I har konfigureret jeres konti med MFA, vil langt de fleste af disse angreb ikke kunne gennemføres.

Hvis du vil bruge MFA sammen med Microsoft 365, er det nemmest og hurtigst at bruge Microsoft Authenticator-appen på en mobilenhed. Dette kan være en medarbejders arbejdsmobil eller deres personlige enhed; det skal bare være den enhed som de altid har på dem, når de logger ind på deres Microsoft 365-konto.

Brugeroplevelse

Personligt synes jeg at MFA giver en god brugeroplevelse. Når jeg logger på Microsoft 365 med min adgangskoden, får jeg besked om, at jeg skal acceptere en MFA-notifikation på min telefon. Så skal jeg bare låse min telefon op og klikke på ‘godkend’. Hvis jeg derudover markerer “Spørg ikke igen får om 60 dage”, behøver jeg ikke at gøre det igen, når jeg logger på Microsoft 365 fra den samme enhed i de næste 60 dage. Det er en god brugeroplevelse i mine øjne; sikkerhedsfordelene opvejer den minimale indsats, der kræves for at godkende notifikationen.

Hvis medarbejderne synes det er træls at skulle acceptere en notifikation, har du mulighed for at aktivere nogle sikre lokationer, hvilket giver dig mulighed for at tilføje specifikke IP-adresser til din MFA. En sikker lokation betyder, at du i det store helt, kan fritage virksomhedens kontor fra at skulle reagere på MFA-notifikationer og det kun vil være de medarbejdere, der arbejder eksternt (på forskellige IP-adresser), der skal godkende notifikationen. Denne mulighed findes dog kun i visse licenser såsom Microsoft 365 Business Premium.

Medarbejderens involvering

Chefer er ofte bange for potentielt brok fra medarbejdere, hvis de bliver bedt om at installere en arbejdsrelateret app på deres personlige enhed.

Derfor er det afgørende, at du uddanner dine medarbejdere om vigtigheden af MFA; Et brud på datasikkerheden udgør en trussel mod virksomhedens omdømme og kan medføre potentielle bøder i henhold til GDPR. Virksomhedens penge eller vigtige kundedata kan blive stjålet. Så mens medarbejderne måske ikke føler, at det er deres ansvar at beskytte sådanne ting – er det vigtigt at pointere at det er det. Fuldstændig ligesom de skal huske at låse efter sig. En enkelt kompromitteret Microsoft 365-brugerkonto giver en hacker nøglerne til din virksomhed. Når det gælder sikkerhed, skal alle hjælpe til – ikke kun IT. Ellers kan folks job og virksomhedens fremtid være på spil.

Pas på ældre protokoller

Mens opsætning af MFA i Microsoft 365 er et stort skridt i den rigtige retning, vil der stadig være nogle få, men vigtige sikkerhedshuller tilbage. I Microsoft 365 findes der nogle ældre protokoller, som ikke er kompatible med MFA. MFA vil derfor ikke bede om en godkendelse, hvis du forsøger at få adgang via ældre programmer som f.eks.:

Ældre Office-klienter, der ikke bruger moderne godkendelse

Klienter, der bruger mailprotokoller, f.eks. IMAP/SMTP/POP

Spray angreb (som involverer at en hacker ‘sprøjter’ lækket kodeord på tværs af tusindvis af konti) er især fokuseret på ældre autentificering protokoller.

Dette er ikke et problem, Microsoft 365 Business Premium som indeholder muligheden for at bruge betinget adgang. Betinget adgang giver dig mulighed for at blokere ældre godkendelser fra brugere, og derved lukke de resterende huller i din sikkerhed, hvor MFA ikke er tilgængelig.

Vi kan ikke understrege nok, hvor vigtigt det er at blokere gamle protokoller. Vi overvåger vores kunders konti, og billedet er klart: Virksomheder i alle størrelser angribes – igen og igen. Dem der tager deres sikkerhed alvorligt, er godt rustet til at håndtere de angreb, og arbejdet fortsætter uden afbrydelse.

Næste skridt

Hvis din virksomhed bruger Microsoft 365, skal du udrulle MFA.

Der er ikke tid til at forhale processen over emner som brugeroplevelse eller medarbejder involvering. Business casen er allerede foran dig: Du betaler allerede for Microsoft 365, du har MFA, og den kan beskytte dig mod 90 % af angrebene på dine konti, hvilket i sidste ende er uundgåeligt. Dette er det absolutte minimum, som en virksomhed bør gøre.

Vi anbefaler på det kraftigste, at du beskytter dig selv mod de trusler, der er forbundet med ældre protokoller, ved at betale for adgangsstyring. Det er som tidligere nævnt en del af Microsoft 365 Business Premium pakken.

Tag fat i os og hør mere om mulighederne.