Sisällys
Järjestelmänvalvojan tili on yrityksen arvokkain tili. Jos hyökkääjä saa sen, hänen ei tarvitse murtaa enää mitään muuta – hän ottaa haltuunsa kaikkien postin, tiedostot ja identiteetit. Siksi järjestelmänvalvojien tilien toisen tekijän on oltava sellainen, jota ei voi varastaa tietojenkalastelusivulla (phishing). SMS ja sovelluskoodit eivät ole sellaisia.
Miksi SMS ja koodit eivät riitä
Nykyaikainen tietojenkalastelu ei ole ”syötä salasanasi”. Se on välittäjäsivu, joka näyttää Googlen tai Microsoftin kirjautumiselta, välittää salasanasi ja heti perään kuusinumeroisen koodisi oikealle palvelimelle ja kaappaa istunnon. Koodi on voimassa 30 sekuntia, mutta hyökkääjälle riittää kolme. Samasta syystä ”push”-vahvistus puhelimessa ei riitä – käyttäjät hyväksyvät kymmenennen ilmoituksen jälkeen mitä tahansa.
FIDO2-pohjainen fyysinen suojausavain (YubiKey, Google Titan, Feitian ja muut) toimii toisin: se allekirjoittaa haasteen, joka sisältää sivuston verkkotunnuksen. Jos sivu ei ole oikea, allekirjoitus ei kelpaa. Käyttäjällä ei ole mitään syötettävää eikä mitään ”vahingossa hyväksyttävää”. Se on ainoa laajasti saatavilla oleva menetelmä, jota Google ja Microsoft pitävät tietojenkalastelun kestävänä, ja CIS Benchmark vaatii sitä järjestelmänvalvojille.
Vähimmäiskäytäntö järjestelmänvalvojille
- Vain suojausavaimet. Google Workspace: 2SV:n pakottaminen asetuksella ”Only security key” järjestelmänvalvojien organisaatioyksikössä (OU). Microsoft 365: Conditional Access -käytäntö, joka vaatii järjestelmänvalvojan rooleilta tietojenkalastelun kestävän todennusvahvuuden.
- Kaksi avainta jokaiselle. Yksi arkikäytössä, toinen kassakaapissa tai yrityksen johtajalla. Perjantai-iltana katoava avain ilman varakappaletta tarkoittaa järjestelmänvalvojaa ilman pääsyä maanantaihin asti – tai pahempaa, kiireistä ”tilapäistä” heikennystä.
- Ei SMS:ää eikä puhelua. Poista ne sallituista menetelmistä järjestelmänvalvojilta kokonaan, älä vain jätä käyttämättä.
- Palautusmenettely paperilla. Kuka saa palauttaa järjestelmänvalvojan pääsyn, miten identiteetti tarkistetaan, mihin se kirjataan. Google varaa tämän toimenpiteen pääkäyttäjälle (super admin), joten vähintään kahdella henkilöllä yrityksessä on oltava avaimet.
- Erilliset järjestelmänvalvojan tilit. Järjestelmänvalvoja lukee päivittäisen postinsa tavallisella tilillä; järjestelmänvalvojan tili on erillinen, ilman postilaatikkoa tai minimaalisella, ja sitä käytetään vain hallintaan.
Myös ulkoisille palveluntarjoajille
Sama koskee IT-palveluntarjoajasi tilejä ympäristössäsi – ja voit pakottaa sen teknisesti, ei vain kirjata sopimukseen. Palveluntarjoajan tilit ovat erillisessä organisaatioyksikössä, johon sovelletaan suojausavainkäytäntöä; Enterprise-versioissa lisäksi kontekstiriippuvaisen pääsyn taso, joka sallii kirjautumisen vain hallitusta laitteesta ja Latviasta.
Mitä se maksaa
Avain maksaa 30-70 EUR. Viidelle järjestelmänvalvojalle kaksi avainta kullekin – alle 700 EUR kertamaksuna. Se on halvin tietoturvatoimenpide suurimmalla vaikutuksella, jonka yritys voi hankkia; loppu on tunti konfigurointia ja puoli tuntia menettelyohjeen laatimista.
Ja muille käyttäjille?
Tavallisille käyttäjille pakotettu 2SV Google Authenticatorilla tai Google-kehotteella on hyvä minimi. Pääsyavaimet (passkeys) puhelimessa tai tietokoneessa ovat tietojenkalastelun kestäviä kuten suojausavaimet eivätkä maksa mitään – se on seuraava askel järjestelmänvalvojien jälkeen. Mutta aloita järjestelmänvalvojista: heidän tilinsä ovat ne, joiden vuoksi kaikki muut voivat menettää kaiken.
Kaksivaiheinen vahvistus kaikille käyttäjille ja suojausavaimet järjestelmänvalvojille sisältyvät jokaiseen ylläpitopakettiimme.
