AUT-0184· Безпека та відповідність
Контроль відновлення входу після втрати способів автентифікації
Запит працівника проходить перевірку належності акаунта, дозволений маршрут відновлення й підтвердження нового способу входу.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Підтримка закриває звернення після скидання параметрів, хоча працівник досі не входить або тимчасовий спосіб лишився чинним.
02 / Результат
Визначений акаунт має підтверджений новий спосіб входу, перевірений результат відновлення та завершений тимчасовий маршрут без зміни робочих повноважень.
03 / Процес
ТригерПрацівник повідомив, що втратив доступ до всіх зареєстрованих способів автентифікації робочого акаунта.
Пов’язати акаунт, власника й систему та перевірити чинність права користуватися ним; схожого імені або нової адреси недостатньо.
Визначити недоступні способи й ознаки інциденту; компрометацію передати на окремий маршрут, не вважати її звичайною заміною пристрою.
За затвердженою процедурою перевірити належність акаунта та отримати дозвіл відповідального; не зберігати секрети або копії біометрії у відкритій задачі.
Уповноважений адміністратор або перевірений провайдер виконує дозволений маршрут; результат тестової перевірки не називати фактичним відновленням.
Підтвердити реєстрацію нового дозволеного способу й успішний контрольний вхід; тимчасове підтвердження не замінює завершення реєстрації.
Перевірити завершення тимчасового способу й обробку втрачених методів за політикою; зберегти докази стану без розширення робочих прав.
04 / Реалізація2 варіанти
Приклад · Відновлення з перевіреним новим входом
Працівник втратив пристрій і не мав іншого методу. Перевірка в тестовому режимі пройшла, але акаунт ще не відновили. Підтримка лишила звернення відкритим до дозволеного відновлення, реєстрації нового методу й підтвердженого входу; нової ролі працівнику не надали.
Спосіб реалізації
- Проєктна модель PlanFix: звернення, перевірений акаунт, дозвіл, провайдерський стан і докази завершення. Адміністративні дії та чинні механізми відновлення перевіряють у джерелі автентифікації.
Що потрібно для реалізації
- Є авторитетний акаунт, чинний власник і дозволена процедура перевірки належності.
- Визначено адміністратора, підтриманий механізм відновлення та докази нового входу й завершення тимчасового способу.
- Є дозволена перевірка належності акаунта.
- Погоджено фактичні докази нового входу.
Обмеження
- Відновлення входу не надає нових ролей або доступу до інших ресурсів.
- Скидання пароля не вирішує автоматично втрати всіх способів автентифікації.
- Повідомлення працівника або збіг імені не є достатнім доказом належності акаунта.
- Microsoft Entra Evaluation перевіряє досвід без відновлення акаунта; Production і підтримка механізму перевіряються окремо.
- Години попередні; послуги перевірки особи, біометрична обробка, ліцензії та повне реагування на інцидент не включені.
- Публічний телефон у профілі не є перевіреним способом багатофакторного входу.
- Скидання пароля, повторна реєстрація MFA та відкликання сеансів мають різні результати; потрібну дію та її вплив перевіряє адміністратор.
- Не змінює робочі повноваження.
- Не закриває інцидент без окремого рішення.
Що потрібно уточнити (2)
- Чи потрібно отримувати докази відновлення з провайдера автентифікації?
Укажіть підтриманий механізм, область акаунтів і докази реєстрації та входу.
- Чи потрібні різні маршрути перевірки для чутливих акаунтів або ознак інциденту?
Погодьте відповідальних, достатні докази й підстави передавання на окремий маршрут.