"Temos a MFA ativada" não é o mesmo que "a nossa MFA está realmente a proteger-nos", e é no intervalo entre essas duas afirmações que acontece a maioria das intrusões que vemos em empresas que se julgavam protegidas. Ativar a MFA é os 80% fáceis do trabalho. Os pormenores de configuração são os outros 20% que determinam se resiste a um ataque real.
A autenticação legada é a falha mais comum
Os protocolos de autenticação mais antigos — usados por alguns clientes de email, algumas integrações de aplicações de negócio e alguns processos automatizados por script — não suportam de todo os pedidos de MFA modernos e, se não forem explicitamente bloqueados, oferecem um caminho alternativo que os atacantes procuram ativamente. Bloquear a autenticação legada através do Acesso Condicional é uma das alterações de maior impacto que fazemos num projeto de reforço da segurança do Microsoft 365, e continua frequentemente em aberto em ambientes que consideram a sua configuração de MFA concluída.
Nem todos os métodos de MFA são iguais
Os códigos por SMS são melhores do que nada, mas são vulneráveis a ataques de SIM swapping e a páginas de phishing que simplesmente reencaminham o código em tempo real. As notificações push com correspondência de números são mais robustas. Os métodos resistentes a phishing — chaves de segurança FIDO2, passkeys — são os mais fortes disponíveis e vale a pena implementá-los nas contas de administrador e em todos os utilizadores com acesso a sistemas sensíveis, mesmo que a implementação generalizada demore mais tempo.
As contas de administrador precisam de uma política própria
As contas de administrador global e outras contas privilegiadas merecem um Acesso Condicional mais restritivo do que os utilizadores comuns — sessões de duração mais curta, MFA resistente a phishing obrigatória e, na maioria dos casos, nenhum acesso de administrador permanente, privilegiando a elevação de privilégios just-in-time. Um atacante que compromete uma conta de utilizador comum é um problema contido; um atacante que compromete uma conta de administrador desprotegida é um incidente completo. A diferença de configuração entre esses dois desfechos é uma definição de política, não uma compra.