Остановите фишинг: почему Multi-Factor Authentication — ваша лучшая защита

By Mirko Peters · 2026-08-12

Automatically translated with AI from the original post. Read the English original

Titelbild: Stop Phishing in Its Tracks: Why Multi-Factor Authentication is Your Best Defense

Добро пожаловать обратно в блог к подкасту! Если вы постоянный слушатель, то знаете, что мы много говорим об управлении идентификацией и доступом. Недавно вышел эпизод, который обязательно стоит послушать: «Lock Down Microsoft Entra ID Before Phishing Hits». Если вы его ещё не слушали, советую добавить его в очередь сразу после этого разбора. Сегодня мы продолжаем тот же разговор. Подробно разберём, почему старые статические пароли вас подводят, как Multi-Factor Authentication может полностью переломить ситуацию в пользу защитников и что нужно сделать прямо сейчас, чтобы укрепить среду Microsoft Entra ID.

Почему традиционных паролей уже недостаточно

Давайте честно признаем очевидное: традиционный пароль мёртв. Ну, технически он ещё спотыкается и наводит хаос, но официально он стал самым слабым звеном в цепочке безопасности. Десятилетиями мы защищали свою цифровую жизнь сложными комбинациями букв, цифр и символов. Мы требовали от пользователей запоминать невозможные наборы, менять их каждые девяносто дней и никогда не записывать. Неудивительно, что человеческая психология взбунтовалась. Люди начали использовать одни и те же пароли для личных и рабочих учётных записей, записывать их на стикеры или придумывать варианты настолько предсказуемые, что простой скрипт взламывает их за секунды.

Киберпреступникам больше не нужно тратить вычислительные ресурсы на перебор паролей, когда социальная инженерия и фишинг работают гораздо проще. Фишинговые кампании ушли far дальше неуклюжих писем с опечатками начала 2000-х. Сегодня атакующие используют изощрённые тактики, сложные цепочки перенаправлений и фреймворки типа «человек посередине» (adversary-in-the-middle), чтобы перехватывать учётные данные в реальном времени. Когда сотрудник вводит пароль на убедительной копии страницы входа, злоумышленник мгновенно получает ключи от всего королевства. Полагаться только на пароль — то же самое, что закрывать входную дверь на верёвочку. Она может удержать честного человека, но любой, у кого есть злой умысел, пройдёт насквозь.

Как Multi-Factor Authentication блокирует более 99% попыток компрометации учётных записей

Если пароли не справляются, каково решение? Знакомьтесь: Multi-Factor Authentication, или MFA. Требуя от пользователей предоставить два или более различных подтверждения личности, MFA полностью меняет расчёт для атакующих. Даже если фишер украл пароль пользователя, он упирается в стену, когда система требует второй фактор.

Цифры говорят сами за себя. Масштабные исследования в области безопасности последовательно показывают, что грамотно внедрённая MFA может блокировать более 99% попыток компрометации учётных записей. Задумайтесь об этом на секунду. Простое включение MFA устраняет подавляющее большинство автоматизированных и целевых атак буквально за одну ночь. MFA обычно опирается на сочетание того, что вы знаете (пароль), того, что у вас есть (телефон, аппаратный токен), и того, кто вы есть (биометрический отпечаток пальца или сканирование лица). При правильной настройке в такой платформе, как Microsoft Entra ID, MFA превращает вашу позицию в области безопасности из открытой мишени в хорошо укреплённый замок.

Изучаем устойчивые к фишингу методы, например ключи FIDO2

Не все MFA одинаково полезны. Хотя push-уведомления и SMS-коды на порядок надёжнее одних только паролей, они всё ещё уязвимы для хитрых атак, таких как MFA fatigue (усталость от запросов) и продвинутые фишинговые техники «человек посередине». Именно здесь на помощь приходят устойчивые к фишингу методы аутентификации.

Устойчивые к фишингу методы MFA, такие как ключи безопасности FIDO2 и Certificate-Based Authentication, привязывают сеанс аутентификации к конкретному источнику (origin) сайта или сервиса, к которому выполняется доступ. Если пользователя обманом заставят зайти на поддельную страницу входа, ключ FIDO2 просто не выдаст учётные данные, потому что домен не совпадает. Ключ распознаёт, что место назначения фальшивое, и отказывается сотрудничать. Использование аппаратных ключей вроде YubiKey или платформенных аутентификаторов, таких как Windows Hello для бизнеса, гарантирует, что даже если пользователи окажутся мишенью самых убедительных фишинговых кампаний, атакующие уйдут ни с чем.

Защита Microsoft Entra ID от современных угроз

Защита организации не сводится к тому, чтобы просто включить MFA. Нужна комплексная стратегия, которая опирается на продвинутые функции безопасности, встроенные в Microsoft Entra ID. Чтобы по-настоящему остановить фишинг, необходимо построить многоуровневую линию защиты.

Начните с настройки политик условного доступа с учетом рисков. Эти политики в реальном времени оценивают такие сигналы, как идентичность пользователя, соответствие устройства требованиям, местоположение и поведение при входе. Если пользователь входит из незнакомой страны или с неуправляемого устройства, Entra ID может автоматически усилить защиту: потребовать MFA или полностью заблокировать попытку доступа. Далее посмотрите на Privileged Identity Management (PIM), которая позволяет убрать постоянные административные права. Благодаря доступу «just-in-time» администраторы получают повышенные разрешения только тогда, когда они действительно нужны, и только на строго ограниченное время. Добавьте к этому Continuous Access Evaluation, которая позволяет мгновенно отзывать токены при обнаружении угрозы, и вы получите среду, которая динамически адаптируется к рискам.

Заключение

Ландшафт угроз меняется быстрее, чем когда-либо, но вы не беспомощны. Отказавшись от уязвимых традиционных паролей в пользу надежной многофакторной аутентификации, устойчивой к фишингу, вы можете закрыть дверь перед подавляющим большинством кибератак. Защита Microsoft Entra ID требует бдительности, современных инструментов вроде условного доступа и PIM, а также приверженности постоянному совершенствованию. Если вы хотите глубже разобраться в практических шагах по защите инфраструктуры идентификации, обязательно послушайте сопутствующий выпуск подкаста: Lock Down Microsoft Entra ID Before Phishing Hits. Оставайтесь в безопасности, продолжайте обучать пользователей, и увидимся в следующем выпуске!