MFA i Conditional Access — pierwszy krok do bezpiecznego M365

Zdecydowana większość włamań na konta Microsoft 365 zaczyna się od przejęcia samego hasła — najczęściej w wyniku phishingu lub wycieku danych z innej usługi, gdzie ten sam użytkownik użył identycznego hasła. Uwierzytelnianie wieloskładnikowe (MFA) i Conditional Access to dwa mechanizmy, które w praktyce eliminują większość takich prób, zanim dojdzie do realnej szkody.

Czym jest MFA

MFA wymaga od użytkownika dodatkowego potwierdzenia tożsamości — najczęściej zatwierdzenia logowania w aplikacji Microsoft Authenticator, kodu jednorazowego albo klucza sprzętowego FIDO2 — obok samego hasła. Nawet jeśli hasło zostanie wykradzione, atakujący nie zaloguje się bez drugiego składnika, którego fizycznie nie posiada.

W praktyce widzimy trzy najczęstsze metody MFA u naszych klientów:

• Powiadomienie push w Microsoft Authenticator — najwygodniejsze dla użytkowników, jedno kliknięcie na telefonie.
• Kod jednorazowy (TOTP) — działa nawet bez internetu na telefonie, dobre rozwiązanie zapasowe.
• Klucz sprzętowy FIDO2 — najwyższy poziom bezpieczeństwa, rekomendowany dla kont administracyjnych i osób zarządzających finansami firmy.

Czym jest Conditional Access

Conditional Access pozwala definiować reguły dostępu w oparciu o kontekst logowania, a nie tylko samo hasło i MFA. Typowe polityki, które wdrażamy u klientów:

• Wymagaj MFA przy logowaniu spoza firmowej sieci lub zaufanych lokalizacji.
• Blokuj logowania z krajów, w których firma nie prowadzi działalności.
• Wymagaj, aby urządzenie było zarządzane i zgodne z polityką (Intune), zanim uzyska dostęp do poczty.
• Wymuszaj zmianę hasła lub dodatkową weryfikację przy logowaniu ocenionym jako ryzykowne (Identity Protection).
• Blokuj starsze, mniej bezpieczne protokoły uwierzytelniania (legacy authentication), które nie obsługują MFA.

Częsty błąd: MFA bez Conditional Access

Samo włączenie MFA per-user (tzw. „security defaults” lub ręczne wymuszenie w starym panelu) często zostawia furtki — np. starsze protokoły pocztowe (IMAP, POP, SMTP AUTH) potrafią ominąć MFA całkowicie. Dlatego zalecamy przejście na Conditional Access z jawnym blokowaniem legacy authentication, a nie poleganie wyłącznie na ustawieniach domyślnych.

Od czego zacząć — kolejność wdrożenia

1. Włącz MFA dla wszystkich kont administracyjnych — to najwyższe ryzyko.
2. Zablokuj legacy authentication (IMAP/POP/SMTP AUTH) politykami Conditional Access.
3. Wprowadź politykę wymagającą MFA dla pozostałych użytkowników, najlepiej etapami po działach.
4. Ogranicz liczbę kont z uprawnieniami administracyjnymi do niezbędnego minimum.
5. Włącz Identity Protection i monitoruj alerty logowań z nietypowych lokalizacji lub urządzeń.

Wdrażanie etapami, a nie „wszystkim naraz w piątek po południu”, znacząco ogranicza liczbę zgłoszeń do helpdesku i opór ze strony zespołu — to jedna z najczęstszych przyczyn, dla których firmy odkładają to wdrożenie, mimo że jest jednym z tańszych i najskuteczniejszych zabezpieczeń, jakie można wprowadzić w M365.

MFA i Conditional Access konfigurujemy w ramach każdego wdrożenia — zobacz więcej w sekcji Managed M365 — Defender lub sprawdź, jak wpływa to na Twój wynik Secure Score.