Tắt bảo mật mặc định trong Microsoft 365 Azure AD

Để tránh việc Microsoft 365 bắt buộc đổi mật khẩu thường xuyên, bạn có thể truy cập vào đường link bên dưới bằng quyền admin, và tắt chế độ bảo mật mặc dịnh của Microsoft

https://aad.portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Properties

Microsoft đang cung cấp mặc định bảo mật cho tất cả mọi người, vì việc quản lý bảo mật có thể khó khăn. Các cuộc tấn công liên quan đến danh tính như phun mật khẩu, phát lại và lừa đảo là phổ biến trong môi trường ngày nay. Hơn 99,9% các cuộc tấn công liên quan đến danh tính này được ngăn chặn bằng cách sử dụng xác thực đa yếu tố (MFA) và chặn xác thực kế thừa. Mục tiêu là đảm bảo rằng tất cả các tổ chức có ít nhất một mức độ bảo mật cơ bản được kích hoạt mà không phải trả thêm phí.

Mặc định bảo mật giúp bảo vệ tổ chức của bạn khỏi các cuộc tấn công liên quan đến danh tính này dễ dàng hơn với các cài đặt bảo mật được định cấu hình trước:

Yêu cầu tất cả người dùng đăng ký Xác thực đa yếu tố Azure AD.
Yêu cầu quản trị viên thực hiện xác thực đa yếu tố.
Yêu cầu người dùng xác thực đa yếu tố khi cần thiết.
Chặn các giao thức xác thực kế thừa.
Bảo vệ các hoạt động đặc quyền như quyền truy cập vào cổng Azure.

Vì sao cần bảo mật Microsoft

Các tổ chức muốn tăng cường bảo mật, nhưng không biết bắt đầu như thế nào và từ đâu.
Các tổ chức sử dụng cấp phép Azure Active Directory miễn phí.
Ai nên sử dụng Quyền truy cập có điều kiện?
Nếu bạn là một tổ chức hiện đang sử dụng chính sách Truy cập có Điều kiện, mặc định bảo mật có thể không phù hợp với bạn.
Nếu bạn là tổ chức có giấy phép Azure Active Directory Premium, mặc định bảo mật có thể không phù hợp với bạn.
Nếu tổ chức của bạn có các yêu cầu bảo mật phức tạp, bạn nên xem xét Quyền truy cập có điều kiện.

Tắt bảo mật mặc định của Microsoft

Nếu đối tượng thuê của bạn được tạo vào hoặc sau ngày 22 tháng 10 năm 2019, thì các mặc định bảo mật có thể được bật trong đối tượng thuê của bạn. Để bảo vệ tất cả người dùng của chúng tôi, các mặc định bảo mật đang được triển khai cho tất cả người thuê mới khi tạo.

Để bật mặc định bảo mật trong thư mục của bạn:

Đăng nhập vào Cổng thông tin du lịch với tư cách là quản trị viên bảo mật, quản trị viên Quyền truy cập có điều kiện hoặc quản trị viên toàn cầu.
Duyệt đếnAzure Active Directory> Thuộc tính.
Chọn Quản lý mặc định bảo mật.
Đặt chuyển đổi Bật mặc định bảo mật thành Có.
Chọn Lưu.

Ảnh chụp màn hình của cổng Azure với nút chuyển đổi để bật mặc định bảo mật

Các chính sách bảo mật bắt buộc

Yêu cầu tất cả người dùng đăng ký Xác thực đa yếu tố Azure AD
Tất cả người dùng trong đối tượng thuê của bạn phải đăng ký xác thực đa yếu tố (MFA) dưới dạng Xác thực đa yếu tố Azure AD. Người dùng có 14 ngày để đăng ký Xác thực đa yếu tố Azure AD bằng ứng dụng Microsoft Authenticator. Sau 14 ngày trôi qua, người dùng không thể đăng nhập cho đến khi hoàn tất đăng ký. Khoảng thời gian 14 ngày của người dùng bắt đầu sau lần đăng nhập tương tác thành công đầu tiên của họ sau khi bật mặc định bảo mật.

Yêu cầu quản trị viên thực hiện xác thực đa yếu tố
Quản trị viên đã tăng quyền truy cập vào môi trường của bạn. Do sức mạnh của những tài khoản có đặc quyền cao này, bạn nên đối xử với chúng một cách đặc biệt. Một phương pháp phổ biến để cải thiện việc bảo vệ các tài khoản đặc quyền là yêu cầu hình thức xác minh tài khoản mạnh hơn để đăng nhập. Trong Azure AD, bạn có thể nhận được xác minh tài khoản mạnh mẽ hơn bằng cách yêu cầu xác thực đa yếu tố.

Tips

Chúng tôi khuyên bạn nên có các tài khoản riêng cho các tác vụ quản trị và năng suất tiêu chuẩn để giảm đáng kể số lần quản trị viên của bạn được nhắc cho MFA.

Sau khi đăng ký với Xác thực đa yếu tố Azure AD hoàn tất, các vai trò quản trị viên Azure AD sau sẽ được yêu cầu thực hiện xác thực bổ sung mỗi khi họ đăng nhập:

Quản trị viên toàn cầu
Quản trị viên ứng dụng
Quản trị viên xác thực
Quản trị viên thanh toán
Quản trị viên ứng dụng đám mây
Quản trị viên quyền truy cập có điều kiện
Quản trị viên Exchange
Quản trị viên bộ phận trợ giúp
Quản trị viên mật khẩu
Quản trị viên xác thực đặc quyền
Quản trị viên bảo mật
Quản trị viên SharePoint
Quản trị viên người dùng
Yêu cầu người dùng thực hiện xác thực đa yếu tố khi cần thiết
Chúng tôi có xu hướng nghĩ rằng tài khoản quản trị viên là tài khoản duy nhất cần thêm các lớp xác thực. Quản trị viên có quyền truy cập rộng rãi vào thông tin nhạy cảm và có thể thực hiện các thay đổi đối với cài đặt trên toàn bộ đăng ký. Nhưng những kẻ tấn công thường nhắm mục tiêu vào người dùng cuối.

Sau khi những kẻ tấn công này có được quyền truy cập, chúng có thể yêu cầu quyền truy cập thông tin đặc quyền cho chủ tài khoản ban đầu. Họ thậm chí có thể tải xuống toàn bộ thư mục để thực hiện một cuộc tấn công lừa đảo vào toàn bộ tổ chức của bạn.

Một phương pháp phổ biến để cải thiện khả năng bảo vệ cho tất cả người dùng là yêu cầu hình thức xác minh tài khoản mạnh mẽ hơn, chẳng hạn như xác thực đa yếu tố, cho tất cả mọi người. Sau khi người dùng hoàn tất đăng ký, họ sẽ được nhắc xác thực khác bất cứ khi nào cần thiết. Azure AD quyết định khi nào người dùng sẽ được nhắc xác thực đa yếu tố, dựa trên các yếu tố như vị trí, thiết bị, vai trò và nhiệm vụ. Chức năng này bảo vệ tất cả các ứng dụng đã đăng ký với Azure AD bao gồm các ứng dụng SaaS.