Funkcjonalność

Weryfikacja w helpdesku

Jak działa: Dzwoniący potwierdza tożsamość, zanim ktokolwiek zresetuje dostęp lub doda urządzenie.

WIC

W skrócie

Weryfikacja w helpdesku oznacza, że pracownik helpdesku potwierdza, kto dzwoni, zanim zresetuje hasło lub umożliwi dodanie nowego faktora MFA. Bez niej przekonująca rozmowa telefoniczna może obejść silne zabezpieczenia logowania. Polityki rejestracji MFA i uwierzytelniacze odporne na phishing w Okcie określają, czego wymaga rejestracja po odzyskaniu dostępu.12

Umów rozmowęJak to robi Okta ↓
4
rodzaje ataków, przed którymi pomaga chronić

Co to jest i jakie ataki zatrzymuje

Silne MFA chroni logowanie, ale - bez odpowiednich narzędzi i procesów - helpdesk może stać się punktem obejścia zabezpieczeń. Rozmówca, który brzmi pewnie i zna kilka danych osobowych, może poprosić o reset, a będący w pośpiechu agent może się zgodzić.

Dlatego przed każdym resetem hasła lub dodaniem nowego faktora MFA helpdesk sprawdza tożsamość dzwoniącego według tych samych, z góry ustalonych zasad - niezależnie od tego, jak przekonująco brzmi rozmówca.

Utrudnia to ataki takie jak:

1

Podszywanie się pod pracownika

Rozmówca mówi, że jest użytkownikiem, który zgubił telefon, i prosi o dodanie nowego faktora logowania.

2

Podszywanie się pod przełożonego lub członka zarządu

Rozmówca powołuje się na stanowisko i naciska na agenta, by pominął kroki. Kontrola obowiązuje każdego dzwoniącego, niezależnie od tytułu.

3

Odpowiedzi z informacji publicznych

Informacje, takie jak data urodzenia czy numer pracownika, można znaleźć w sieci lub we wcześniejszych wyciekach, więc kontrola oparta tylko na takich danych jest prostsza do przejścia.

4

Presja czasu i pretekst

Rozmówca twierdzi, że jest w podróży, zablokowany przed spotkaniem lub ma termin.

Przed i po wdrożeniu funkcjonalności

Przed
Po
PrzedPewny siebie rozmówca z kilkoma danymi osobowymi dostaje reset.
PoKażdy dzwoniący przechodzi tę samą weryfikację tożsamości, zanim helpdesk zresetuje hasło lub doda nowy faktor.2
PrzedAgent ocenia za każdym razem, czy rozmówca brzmi wiarygodnie.
PoDecyduje spisany proces - agent nie musi oceniać rozmówcy.
PrzedNikt nie wie później, dlaczego reset został zatwierdzony.
PoKażdy reset przebiega tymi samymi krokami, więc zespół może sprawdzić, co zweryfikowano.

Jak to robi Okta

Weryfikacja w helpdesku to proces wsparty konfiguracją Okta. Okta określa, jakie faktory logowania rejestrują użytkownicy, a helpdesk wykonuje kontrolę, zanim cokolwiek zmieni.

1

Użytkownik kontaktuje się z helpdeskiem

Użytkownik zgłasza zgubione urządzenie, zapomniane hasło lub zablokowane konto.

2

Agent weryfikuje dzwoniącego

Agent wykonuje uzgodnioną kontrolę tożsamości, zanim dotknie konta. Kontrola powinna opierać się na czymś, co dzwoniący ma, a nie tylko na tym, co wie.

3

Użytkownik rejestruje faktor ponownie

Użytkownik rejestruje nowy faktor zgodnie z polityką rejestracji MFA, która dotyczy jego grupy.2

4

Polityka ustawia poziom

Okta obsługuje faktory logowania odporne na phishing, takie jak Okta FastPass i FIDO2 (WebAuthn). Tam, gdzie ryzyko to uzasadnia, warto wymagać ich przy nowej rejestracji.13

WIC
Kogo chroniPracownicy, kontraktorzy, admini
Polityki rejestracji MFATe polityki, konfigurowane w Okcie, wskazują z jakich faktorów MFA mają korzystać użytkownicy w zależności od przypisanej grupy.2
Okta Verify i FastPassOkta Verify na urządzeniu użytkownika obsługuje Okta FastPass - jest to jeden z rekomendowanych, silnych faktorów logowania.3
Uwierzytelniacze odporne na phishingObecnie w Okcie można wybrać FIDO2 (WebAuthn) i Okta FastPass jako faktory MFA odporne na phishing.1
Konfiguracja przez adminów w OkcieAdmini konfigurują odzyskiwanie dostępu, rejestrację i ustawienia uwierzytelniania w Okta Admin Console, zgodnie z opisem w Okta Help Center.12

Jak wdrażamy to w Zelto

Technologia za Oktą to gotowa i sprawdzona połowa - Zelto określa proces, którego trzyma się Twój helpdesk. Kontrolę tożsamości spisujemy razem z Twoim zespołem i planujemy wdrożenia grupami, aby zminimalizować ryzyko i skutki. Zaczynamy od kont, na których atakującym zależy najbardziej.

Typowy przebieg wdrożenia

  1. Sprawdzamy, jak helpdesk resetuje dostęp dziś

    Spisujemy zgłoszenia obsługiwane przez helpdesk, narzędzia agentów i procesy, które wykonują.

  2. Określamy kontrolę tożsamości

    Dla maksymalnego bezpieczeństwa uzgadniamy kontrole, które nie opierają się na informacjach, jakie atakujący może znaleźć. Spisujemy je jako krótką instrukcję, dopasowaną do narzędzi helpdesku.

  3. Dopasowujemy rejestrację w Okcie do procesu

    Konfigurujemy w Okcie polityki rejestracji MFA tak, by reset kończył się dla użytkownika nowym faktorem - zgodnym z Twoją polityką.

  4. Szkolimy i prowadzimy pilotaż w jednej grupie

    Zaczynamy od grupy adminów lub działu IT, ustalamy właściciela po Twojej stronie przed szerszym wdrożeniem i ćwiczymy scenariusze rozmów z helpdeskiem. Ustalamy też, kiedy wdrażamy zmianę i kiedy ją wycofujemy.

  5. Przeglądamy i zaostrzamy zasady

    Resety faktorów i wyjątki przeglądamy regularnie - a same wyjątki ograniczamy, gdy to tylko możliwe.

Pułapki, które uwzględniamy w planie

Rozmówca mówi, że jest członkiem zarządu i potrzebuje dostępu od razu.

−Agent pomija kontrolę, bo rozmówca jest na wysokim stanowisku albo prośba brzmi pilnie.

+Ta sama kontrola obowiązuje każdego dzwoniącego, a agent ma jasną ścieżkę eskalacji i nie ponosi winy za odmowę.

Rozmówca prosi o dodanie nowego faktora do konta.

−Agent dodaje faktor po kilku pytaniach przez telefon.

+Agent najpierw wykonuje kontrolę tożsamości, a użytkownik sam rejestruje nowy faktor zgodnie z polityką rejestracji MFA.

Kontrola opiera się na pytaniach o użytkownika.

−Używamy daty urodzenia, numeru pracownika lub nazwiska przełożonego, które atakujący często może znaleźć.

+Używamy kontroli opartej na czymś, co dzwoniący ma, albo potwierdzanej przez inną osobę, zgodnie z ustaleniami z Twoim zespołem.

Do helpdesku dzwonią konta adminów i konta uprzywilejowane.

−Traktujemy je jak każdego innego użytkownika - mimo że to konta, na których atakującym zależy najbardziej.

+Dodajemy dla tych kont silniejszą kontrolę, na przykład potwierdzenie przez drugą osobę, i przeglądamy te resety w pierwszej kolejności.

Chcesz helpdesku, którego nie da się podstępem nakłonić do resetu hasła oraz wdrożenia, które nie utknie w połowie?

Sprawdzimy, jak dziś Twój helpdesk obsługuje resety. Potem powiemy, od czego zacząć.

Umów rozmowę30 minut, bez prezentacji. Sprawdzamy, jak dziś Twój helpdesk weryfikuje dzwoniących.

Źródła

Oficjalna dokumentacja Okta i Auth0 oraz źródła prawne

  1. 1Phishing-resistant authenticationOkta Help Center
  2. 2About MFA enrollment policiesOkta Help Center
  3. 3Okta Verify and Okta FastPassOkta Help Center