Для адміністраторів безпеки та розробників систем автентифікації впровадження зіставлення чисел (number matching) у push-повідомленнях MFA є важливим кроком для захисту від атак типу «втома від MFA» (MFA fatigue) та фішингу.
31 жовтня 2022 року CISA рекомендувала цей підхід як ефективний проміжний захід. Суть методу полягає в тому, що користувач повинен ввести на своєму пристрої число, яке відображається на екрані входу, замість простого натискання кнопки «Схвалити». Це гарантує, що користувач дійсно ініціював запит на вхід, а не просто відповів на спам-запит зловмисника.
Рекомендації:
- Оцініть поточні налаштування MFA у вашій організації.
- Увімкніть функцію зіставлення чисел у налаштуваннях вашого постачальника ідентифікаційних послуг (IdP).
- Проведіть інструктаж для співробітників щодо важливості введення лише тих чисел, які збігаються з їхнім поточним запитом на вхід.
- Розгляньте перехід на стійкі до фішингу методи автентифікації, такі як FIDO2/WebAuthn, як довгострокову стратегію.
Що це означає для бізнесу
Атаки типу «втома від MFA» стають все більш поширеними, оскільки зловмисники намагаються обійти захист через соціальну інженерію. Впровадження зіставлення чисел (number matching) є ефективним способом переконатися, що запит на вхід ініційований саме користувачем, що значно підвищує стійкість системи автентифікації до фішингу.
Практичний крок: Оцініть поточні налаштування MFA та увімкніть функцію зіставлення чисел у вашому IdP. Зверніться до Softline для отримання плану впровадження сучасних методів автентифікації, включаючи перехід на FIDO2/WebAuthn для максимального захисту від фішингу.
Використані джерела
- content.govdelivery.com (content.govdelivery.com)