AUT-0184· Безпека та відповідність
Контроль відновлення входу після втрати способів автентифікації
Запит працівника проходить перевірку належності акаунта, дозволений маршрут відновлення й підтвердження нового способу входу.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Підтримка закриває звернення після скидання параметрів, хоча працівник досі не входить або тимчасовий спосіб лишився чинним.
02 / Результат
Визначений акаунт має підтверджений новий спосіб входу, перевірений результат відновлення та завершений тимчасовий маршрут без зміни робочих повноважень.
03 / Процес
ТригерПрацівник повідомив, що втратив доступ до всіх зареєстрованих способів автентифікації робочого акаунта.
Пов’язати акаунт, власника й систему та перевірити чинність права користуватися ним; схожого імені або нової адреси недостатньо.
Визначити недоступні способи й ознаки інциденту; компрометацію передати на окремий маршрут, не вважати її звичайною заміною пристрою.
За затвердженою процедурою перевірити належність акаунта та отримати дозвіл відповідального; не зберігати секрети або копії біометрії у відкритій задачі.
Уповноважений адміністратор або перевірений провайдер виконує дозволений маршрут; результат тестової перевірки не називати фактичним відновленням.
Підтвердити реєстрацію нового дозволеного способу й успішний контрольний вхід; тимчасове підтвердження не замінює завершення реєстрації.
Перевірити завершення тимчасового способу й обробку втрачених методів за політикою; зберегти докази стану без розширення робочих прав.
04 / Реалізація2 варіанти
Приклад · Адміністраторський маршрут повторної реєстрації MFA
Працівнику скинули пароль, але втрачений Authenticator лишився перешкодою. Адміністратор перевірив належний маршрут і вплив повторної реєстрації; номер із відкритого профілю не скопіював як перевірений метод. Звернення лишилось відкритим до реєстрації дозволеного способу й контрольного входу; відкликання сеансів не назвали доказом відновлення.
Спосіб реалізації
- Проєктна модель PlanFix: перевірений власник, акаунт, погоджена адміністративна дія, її фактичний результат і окреме підтвердження нового входу. Метод, повноваження, наслідки й залишкові засоби перевіряють у джерелі; паролі та коди не зберігають у задачі.
Що потрібно для реалізації
- Є авторитетний акаунт, чинний власник і дозволена процедура перевірки належності.
- Визначено адміністратора, підтриманий механізм відновлення та докази нового входу й завершення тимчасового способу.
- Адміністратор має належні повноваження й погоджений спосіб перевірки особи.
- Доступні докази потрібної дії, дозволеної реєстрації й нового входу.
Обмеження
- Відновлення входу не надає нових ролей або доступу до інших ресурсів.
- Скидання пароля не вирішує автоматично втрати всіх способів автентифікації.
- Повідомлення працівника або збіг імені не є достатнім доказом належності акаунта.
- Microsoft Entra Evaluation перевіряє досвід без відновлення акаунта; Production і підтримка механізму перевіряються окремо.
- Години попередні; послуги перевірки особи, біометрична обробка, ліцензії та повне реагування на інцидент не включені.
- Публічний телефон у профілі не є перевіреним способом багатофакторного входу.
- Скидання пароля, повторна реєстрація MFA та відкликання сеансів мають різні результати; потрібну дію та її вплив перевіряє адміністратор.
- Не вимикає захист для всіх користувачів за одним зверненням.
- Не припускає, що одна дія видаляє всі методи чи негайно завершує всі сеанси.
- Не використовує публічні контактні поля як доказ належності акаунта.
Що потрібно уточнити (2)
- Чи потрібно отримувати докази відновлення з провайдера автентифікації?
Укажіть підтриманий механізм, область акаунтів і докази реєстрації та входу.
- Чи потрібні різні маршрути перевірки для чутливих акаунтів або ознак інциденту?
Погодьте відповідальних, достатні докази й підстави передавання на окремий маршрут.