16 พฤษภาคม 2566

Microsoft เริ่มบังคับใช้ฟังก์ชัน number matching ใน Microsoft Authenticator เพื่อป้องกันการโจมตีแบบ multi-factor authentication (MFA) fatigue attacks

ลักษณะดังกล่าวเรียกได้อีกแบบว่า Push Bombing หรือ MFA push spam โดยผู้โจมตีจะส่งการแจ้งเตือนแบบ push notifications เพื่อให้ผู้ใช้งานนั้น ยืนยันการเข้าสู่ระบบบัญชีขององค์กร แต่โดยส่วนใหญ่แล้วผู้ใช้งานจะกดยอมรับ push notifications MFA ทั้งที่ไม่ได้ตั้งใจ หรือเพื่อหยุดการแจ้งเตือนที่เกิดขึ้น ซึ่งจะทำให้ผู้โจมตีสามารถเข้าสู่ระบบ Microsoft ได้

โดยกลุ่มผู้โจมตีที่มีชื่อว่า Lapsus$ และ Yanluowang ได้ใช้วิธีการโจมตีดังกล่าวเพื่อเจาะเข้าสู่ระบบในองค์กรที่มีชื่อเสียง เช่น Microsoft , Cisco และ Uber

Microsoft ระบุว่าจะเริ่มบังคับใช้ฟังก์ชัน number matching โดยเป็นการแจ้งเตือน MFA ของทาง Microsoft Authenticator เพื่อเป็นการป้องกันการโจมตีในรูปแบบ MFA ซึ่งตั้งแต่วันที่ 8 พฤษภาคม 2023 เป็นต้นไป ฟังก์ชันนี้จะเปิดใช้งาน ผู้ใช้งานจะต้องระบุตัวเลขให้ตรงกันเพื่อเข้าสู่ระบบ

สำหรับแนวทางในเปิดใช้งาน number matching ให้ไปที่การตั้งค่า Security > Authentication methods > Microsoft Authenticator ในส่วนของ Azure portal

ขั้นตอนต่อไปดำเนินการดังนี้

1.ใน Tab Enable and Target คลิก Yes และ All users เพื่อเปิดใช้งาน policy หรือเพิ่มผู้ใช้ จากนั้นเลือกตั้งค่า Authentication mode เป็น Any หรือ Push

2.ในส่วนของกำหนดค่า Require number matching for push notifications ให้เปลี่ยน Status เป็น Enabled แล้วเลือกกลุ่มที่จะ include หรือ exclude จากนั้นคลิก Save

ท้ายสุดแล้ว แนะนำให้ผู้ใช้งานเปิดใช้งานฟังก์ชัน number matching สำหรับผู้ใช้งานทั้งหมด หรือจะแบบกลุ่มเดี่ยวก็ได้เช่นกัน แต่หากผู้ใช้งานมีวิธีการตรวจสอบสิทธิ์ในรูปแบบอื่นอยู่แล้ว จะไม่มีการเปลี่ยนแปลงใช้งานใดๆ ในการลงชื่อเข้าใช้งาน กรณีที่ผู้ใช้งานต้องการเพิ่มเติมการป้องกันนั้น โดยการจำกัดจำนวนความพยายามเข้าสู่ระบบผ่าน MFA ต่อผู้ใช้งานใน Microsoft, DUO, Okta โดยเมื่อเกินจำนวนที่ตั้งค่าไว้ ระบบจะทำการล็อกบัญชี แล้วส่งเตือนไปยังทีมผู้ดูแลระบบต่อไป

อ้างอิง : bleepingcomputer.com