Configure alertas de fraude MFA en Azure AD: una alarma para emergencias de seguridad

En el acelerado mundo digital, incluso los riesgos de inicio de sesión más pequeños se están convirtiendo rápidamente en importantes amenazas a la seguridad cibernética. Sorprendentemente, un informe reciente de Barracuda Networks encontró que cada una de cada cinco organizaciones tuvo una cuenta comprometida solo en 2021.

Afortunadamente, Microsoft ha introducido la autenticación multifactor para proteger las cuentas de usuario de los riesgos de inicio de sesión y proporciona una capa adicional de protección contra posibles infracciones. De este modo, los administradores comenzaron a configurar la autenticación multifactor en su entorno de Office 365 para defenderse contra ataques.

Aunque protege hasta cierto punto a las organizaciones de los riesgos de inicio de sesión, los ciberdelincuentes siempre encuentran formas de evitarlos de forma anónima. Por lo tanto, para evitar que los piratas informáticos invadan las organizaciones a través de cuentas de usuarios, Microsoft introdujo el concepto de alertas de fraude de autenticación multifactor. La alerta de fraude de MFA es una función para alertar a los administradores cuando los usuarios enfrentan solicitudes de MFA desconocidas en sus cuentas. Entonces, sin más demora, profundicemos en el concepto de alertas de fraude MFA y su configuración.

¿Qué es una alerta de fraude de autenticación multifactor?

Las alertas de fraude de MFA se utilizan para alertar a los administradores cuando la solicitud de autenticación multifactor se inicia sin la preocupación de los usuarios.En MFA Al alertar de fraude, los usuarios notifican a los administradores informando sobre la actividad fraudulenta que ocurrió en sus cuentas.

Los usuarios pueden denunciar la actividad fraudulenta al momento de rechazar la solicitud de MFA en la aplicación de autenticación o ingresando el código de fraude en un sistema telefónico automatizado.

¿Cuál es el propósito de las alertas de fraude de MFA?

Ahora quizás se pregunte cuál es el propósito exacto de esta alerta de fraude de MFA y qué hacen. Entonces, veamos el propósito de las alertas de fraude de MFA.

El objetivo principal de esta alerta de fraude de MFA es notificar al administrador que se ha iniciado una solicitud de MFA sospechosa para un usuario. Aunque estas notificaciones de alerta no resuelven el problema directamente, ¡te mantienen informado y bien preparado para enfrentarlo!
Lo más importante es que las alertas de fraude de MFA reducen el riesgo potencial de ataques de fatiga de MFA, también conocido como bombardeo de MFA. Una de esas técnicas fue la que atacó recientemente al gigante Uber en septiembre del año pasado.

- El ataque de fatiga MFA es una técnica de ingeniería social que utiliza el error humano para obtener información. En detalle, los atacantes roban las credenciales del usuario mediante ataques de fuerza bruta o de pulverización de contraseñas. Luego, envían solicitudes MFA continuas para solicitar al usuario que acepte una accidentalmente. Una vez que el usuario acepta una solicitud de MFA, el pirata informático accede fácilmente a la cuenta del usuario y tiende a explotarla.

Por lo tanto, evite la fatiga de MFA en la etapa inicial utilizando alertas de fraude de MFA. Le permite investigar y tomar las medidas de seguridad necesarias contra actividades fraudulentas. Entonces, veamos ahora cómo configurar las alertas de fraude de MFA en Microsoft 365.

¿Cómo configurar alertas de fraude MFA en Azure AD?

Con solo unos pocos clics, puede configurar alertas de fraude de MFA para su organización y protegerse contra actividades fraudulentas. Para habilitar la configuración, navegue por la siguiente ruta.

Centro de administración de Microsoft Entra ? Proteger y proteger ? Centro de seguridad (haga clic en 'Mostrar más') ? Administrar ? Autenticación multifactor.
Ahora, al ingresar a la página "autenticación multifactor", seleccione Alerta de fraude entre las configuraciones de seguridad.
Luego, puede configurar los ajustes de alerta de fraude a continuación.

Permitir a los usuarios enviar alertas de fraude: habilite esta configuración para permitir que los usuarios envíen un informe cuando se inicie una solicitud de MFA que no solicitaron. Como resultado, podrá identificar las cuentas de usuario objetivo de solicitudes MFA desconocidas y tomar medidas para proteger su organización contra futuras amenazas emergentes, como estafas de phishing.

Bloquear automáticamente a los usuarios que reportan fraude:Para bloquear inmediatamente las cuentas de usuario objetivo que se han intentado comprometer, presione este botón de alternancia a la condición "Activado".

PROS y CONTRAS de la opción Bloquear usuarios:

- Si esta opción de bloqueo está desactivada, el usuario no será bloqueado inmediatamente. Por lo tanto, como opción alternativa, los administradores pueden configurar para enviar notificaciones de alerta por correo electrónico a usuarios específicos sobre la solicitud MFA sospechosa. Luego, deben investigar la situación y decidir qué acción de respuesta tomar.
- ¡Si bien habilitar esta opción tiene ventajas y desventajas! Una de las mayores ventajas de habilitar esta configuración es que bloquea inmediatamente más solicitudes de los piratas informáticos.
  - Pero, lamentablemente, si un usuario informa una solicitud MFA sospechosa, la cuenta del usuario se bloqueará hasta que el administrador la desbloquee. Con el tiempo, bloquear la cuenta de usuario causará problemas a la productividad del usuario. Entonces, en última instancia, el administrador tiene que decidir si habilita esta configuración o no según la postura de seguridad de su organización.

Código para informar fraude durante el saludo inicial: De forma predeterminada, los usuarios pueden informar solicitudes de MFA sospechosas ingresando el código 0. Ahora, con esta configuración, los administradores pueden personalizar el número de código para informar una solicitud de MFA fraudulenta.

4. Después de finalizar la configuración, guárdelos usando la opción Guardar. A partir de ahora, sus usuarios podrán informar cualquier solicitud sospechosa de autenticación multifactor en la aplicación Microsoft Authenticator mientras rechazan la solicitud. A continuación se proporciona un ejemplo de la opción de informe.

Como ahora tenemos claro al configurar las alertas de fraude de autenticación multifactor, veamos cómo activar las notificaciones para el administrador o el equipo de seguridad.

Activar notificaciones sobre alertas de fraude de MFA

En lugar de ver los informes cada vez para conocer las actividades sospechosas que ocurren en la organización, los administradores pueden recibir notificaciones en tiempo real sobre cada comportamiento inusual. Para recibir notificaciones por correo electrónico cuando un usuario informa una alerta de fraude a través de la aplicación de autenticación o el sistema telefónico automatizado, los administradores deben seguir los pasos a continuación y configurar notificaciones de alerta por correo electrónico para usuarios específicos.

Centro de administración de Microsoft Entra ? Proteger y proteger ? Centro de seguridad ? Autenticación multifactor ? Notificaciones.

En la página de notificación, puede agregar la dirección de correo electrónico de las personas que desea que reciban notificaciones de solicitudes MFA desconocidas. No olvides guardarlos una vez que agregues todos los destinatarios. Mire la captura de pantalla a continuación para ver la página de notificación y el correo electrónico de alerta de fraude de MFA.

Ver informes de actividades sospechosas en los registros de auditoría de Azure AD

Cuando un usuario informa una solicitud de MFA desconocida, se registra en los registros de auditoría de Azure AD ya que el usuario ha sido bloqueado para MFA. Los administradores pueden utilizar este informe para identificar y deshabilitar a los usuarios afectados. De este modo, vea los informes navegando a la siguiente ruta:

Centro de administración de Microsoft Entra ? Usuarios ? Todos los usuarios ? Registros de auditoría.

El informe de actividad de fraude en los registros de auditoría está presente en el tipo de actividad como Fraude informado: el usuario está bloqueado para MFA y Fraude informado: no se tomó ninguna medida.

Informes de fraude de MFA en registros de inicio de sesión de Azure AD

Cuando un usuario informa una solicitud de MFA desconocida, el evento se registra en los registros de inicio de sesión ya que la solicitud de inicio de sesión fue rechazada. El informe de fraude de MFA aparece en el detalle de los resultados como parte del informe de inicios de sesión estándar de Azure AD. El informe de fraude de MFA se indica como MFA denegado: aplicación telefónica informó fraude en la columna de detalles del resultado.

También puede ver los eventos sospechosos en el informe de inicios de sesión utilizando la siguiente ruta.

Centro de administración de Microsoft Entra ? Usuarios ? Todos los usuarios ? Iniciar sesión -in registros ? Detalles de autenticación.

Por lo tanto, implemente alertas de fraude de autenticación multifactor en su inquilino para proteger su organización de amenazas a la seguridad cibernética como el bombardeo MFA.

Medidas de seguridad recomendadas para informes de alertas de fraude:

En primera instancia, cuando los administradores observan una actividad continua de informes de usuarios, pueden bloquear manualmente el inicio de sesión de un usuario específico si consideran que los riesgos son demasiado altos.
De lo contrario, pueden restablecer la contraseña del usuario objetivo, ya que esa cuenta de usuario no supone una gran amenaza para la organización.

El nuevo 'Informar actividad sospechosa' en Azure AD

La función Informar actividad sospechosa es la nueva versión actualizada de las alertas de fraude de MFA. Esta función ahora está disponible en la vista previa pública, donde las alertas de fraude de MFA operan en paralelo con este informe de actividad sospechosa.

Novedades de la función Informar actividad sospechosa en Azure AD

Esta nueva característica establece el riesgo del usuario en alto cuando se ha iniciado una solicitud MFA sospechosa.
Además, los administradores pueden utilizar políticas basadas en riesgos o habilitar opciones de autoservicio para restablecer contraseñas para una solución inmediata.

Informar por sí solo de actividades sospechosas no es suficiente para garantizar la seguridad. En cambio, informar y monitorear todos los eventos de MFA es crucial para la máxima seguridad de Microsoft 365. Terminar con métodos nativos como solución para monitorear MFA no es algo malo. Pero, ¿cuánto tiempo dirá que es suficiente monitorearlos a través del centro de administración o PowerShell y hacer todo el trabajo duro? ?

¿No pudiste encontrar un reemplazo perfecto? Entonces aquí viene el Reportero de Microsoft 365 de AdminDroid para hacer todo el trabajo duro por usted. Profundicemos en las espectaculares funciones de AdminDroid. ?

¡Adquiera informes MFA gratuitos de AdminDroid para defenderse de los ataques MFA!

¡Ningún daño tocará su Microsoft 365 con los binoculares de AdminDroid!

Tenga una vista estereoscópica de cada método de autenticación en informes de autenticación multifactor actualizados para prever problemas con los datos de tendencias pasadas. ? Los informes de AdminDroid MFA ofrecen los siguientes informes detallados.

Usuarios con y sin MFA
Administradores sin MFA
Usuarios habilitados para MFA
Usuarios aplicados por MFA
Usuarios activados y no activados por MFA
Detalles del dispositivo MFA

Además, disfrute de la herramienta gratuita de informes de Azure AD de AdminDroid que ofrece más de 190 informes granulares ? sobre usuarios, grupos y administradores de Microsoft 365. cambios de contraseña, licencias, usuarios externos, etc., para en última instancia monitorear su entorno de Azure AD.

Además de estos informes, también puede realizar análisis de MFA en profundidad con los análisis de AdminDroid. Al analizar de cerca cada evento de MFA con AdminDroid, fortalezca y asegure su espacio de Microsoft 365. ? Con los informes de MFA detallados a continuación, los administradores pueden evaluar de manera efectiva la implementación y efectividad de las medidas de MFA dentro de su entorno de Microsoft 365, garantizando un mayor nivel de seguridad y protección contra posibles amenazas. El informe de análisis de AdminDroid MFA incluye,

Aplicación de MFA por política de CA
Aplicación de la MFA por nivel de usuario
Descripción general de los métodos de autenticación de MFA a nivel organizativo y de usuario
Inicios de sesión exitosos en MFA
Falló en los desafíos de MFA
Autenticación MFA mediante mensaje de texto
Autenticación MFA a través de notificación de aplicación móvil
Autenticación MFA a través del código de verificación móvil
Autenticación MFA mediante llamada telefónica

¡No busque más! Ahora encuentre todo lo que le importa a su Microsoft 365 con AdminDroid. ? Con su interfaz fácil de usar y funciones ingeniosas de alertas, programación , filtrado y delegación de acceso granular, diga adiós a sus métodos convencionales.

Intente utilizar AdminDroid ahora con una prueba de 15 días para tener experiencia de campo pionera en informes y monitoreo de Microsoft 365. ✨

En general, comience a mejorar la postura de seguridad de su organización habilitando las alertas de fraude de MFA y Reportar actividad sospechosa en conjunto. ¡No permita que los piratas informáticos entren en su organización! Por lo tanto, configure las opciones de seguridad avanzadas anteriores y defiéndase de este tipo de intrusiones.

Espero que este blog le haya aclarado las alertas de fraude de autenticación multifactor. Deje sus pensamientos en la sección de comentarios.