绕过多因素身份验证

模拟用户行为的先进技术

新的网络攻击正在破坏 MFA 的安全性

多因素身份验证 (MFA) 长期以来一直是身份和访问管理的基石。通过要求用户使用额外的身份验证因素(从指纹到一次性密码到硬件密钥)作为对传统的用户名/密码组合的补充,组织可以更好地保护网络和数据免遭利用被盗凭证的攻击。

然而,攻击者正在寻找新的方法来规避 MFA。微软最近检测到了一次网络钓鱼活动,该活动使用在途攻击技术将目标瞄准了 10,000 多个组织。攻击者使用反向代理网站来冒充一个虚假的 Microsoft 365 登录页面,他们可以从该页面截获用户的密码和会话 cookie,从而绕过 MFA 措施并获得对许多电子邮件账户的访问权限。

一旦攻击者侵入合法的用户账户,他们就会创建收件箱规则,支持他们对毫无戒备的联系人进行有针对性的商业电子邮件泄露 (BEC) 攻击,并保持对账户的访问权限,哪怕用户后来更改了密码也可继续访问。

这次攻击向实施了 MFA 的组织敲响了警钟。毕竟,MFA 措施旨在验证用户身份,帮助证明员工、承包商、供应商和其他授权方身份无误,再授予对敏感信息和系统的访问权限。当攻击者能够成功冒充合法用户时,大门就全开了。

但 MFA 并非薄弱环节,组织也不应该因为其身份和访问管理方法不够强大而将其抛弃。相反,保护用户和数据免受高级网络攻击需要全面的 Zero Trust 安全策略,使用强大的身份验证措施来持续验证和监控企业网络上的所有账户、应用程序和端点。


攻击如何绕过传统的网络安全措施

在途攻击并非攻击者最近用来破坏 MFA 的唯一方法。联邦调查局和 CISA 报告了俄罗斯的一起网络攻击,为获得一个非政府组织的不活动账户的访问权限,该攻击使用了暴力密码攻击。攻击者一进入账户,就利用一个名为“PrintNightmare”的漏洞来运行代码,给予系统权限并绕过标准的 MFA 控制。

在另一些情况下,MFA 由于人为错误而遭到破坏。雪城大学 (Syracuse University) 在其内部电子邮件系统上实施 MFA 后,攻击者试图向学生和工作人员滥发邮件,发起“MFA 疲劳”攻击。攻击者利用网络钓鱼和其他方法获得了电子邮件凭证,然后向用户设备发送多个 MFA 请求,希望用户因太过厌烦而不再拒绝请求。一旦用户批准了授权请求(即使只是将手机静音),攻击者就能进一步访问学校资源和账户。

虽然攻击者不断寻找破坏 MFA 的新方法,但这并不表明 MFA 协议本身存在弱点。相反,主管网络和新兴技术的副国家安全顾问 Anne Neuberger 表示,使用 MFA 可以防止高达 90% 的网络攻击企图。关键是要记住,网络攻击是复杂的,攻击者并非仅瞄准 MFA 来攻破账户,而是作为一连串攻击的一部分,可能还涉及网络钓鱼、恶意软件、暴力密码破解、未打补丁的漏洞利用、盗取凭证,或其他各种战术的组合。


Zero Trust 有助于防止 MFA 利用

依靠任何单一的安全策略都无法保护组织免受日益复杂的攻击。正如攻击者依靠多种战术来访问敏感账户一样,组织需要一个多管齐下的安全策略来保护用户和数据。

Zero Trust 是现代网络安全的一个基本原则,在本质上不信任任何试图访问组织资源的用户。这使得攻击者(无论在组织外部还是内部)更难攻破网络或账户。

在实践中,Zero Trust 平台通过以下多种方法帮助组织确保网络安全:

  • 多因素身份验证:MFA 可以使用一次性密码、推送通知、用户生物特征识别(例如指纹或面部识别)、安全密钥或其他方法来验证用户和设备的身份

  • 持续监控和验证:必须不断重新験证用户和设备的身份,让攻击者即使使用盗窃的凭证也难以持续访问网络。

  • 最低权限的访问:仅授予用户需要使用的资源的访问权限,而非整个网络的访问权限。

  • 设备访问控制:连接到网络的设备必须获得授权,并监测其可疑活动迹象。

  • 防止横向移动:微分段通过限制对网络特定区域的访问权限,帮助防止横向移动。

部署 Zero Trust 策略后,基于 MFA 的攻击更不可能取得成功。即使攻击者设法访问了一个用户账户,他们也不会获得对整个网络不受限制的访问权限,也不能在没有不断重新验证用户和设备身份的情况下横向移动。


利用 Cloudflare 规避 MFA 攻击

Cloudflare Zero Trust 帮助保护企业网络和用户免受复杂的网络攻击,甚至那些试图利用 MFA 措施的攻击。通过 Cloudflare 综合的 Zero Trust 平台,组织能够简单地在云、本地和 SaaS 应用程序中实施一致的最低权限访问控制,防止攻击者破坏敏感系统和数据以及在组织内横向移动。

Cloudflare 就影响当今技术决策者的最新趋势和主题发布了系列文章,本文为其一。


关键要点

阅读本文后,您将能够了解:

  • 攻击者如何利用网络钓鱼来规避 MFA

  • MFA 破坏如何为数据盗窃和其他攻击打开大门

  • 防止 MFA 漏洞利用的关键策略


相关资源



深入探讨这个话题。

可靠的身份和访问管理策略离不开 MFA。欲了解如何将 MFA 融入整个 Zero Trust 安全模型,请获取解决方案简报《强身份验证如何帮助阻止钓鱼攻击》

Get the brief!

接收有关最流行互联网见解的每月总结。