Política de acceso adaptativo
Configurar la Política de Acceso Adaptativo (MFA) para los usuarios es fundamental debido a los privilegios elevados que poseen. Ciertos usuarios tienen acceso a determinados niveles de sistemas y datos confidenciales, lo que los convierte en objetivos para actores maliciosos.
Los administradores pueden ajustar dinámicamente los requisitos de autenticación en función de factores de riesgo como la ubicación, el dispositivo y el comportamiento mediante la implementación de la autenticación multifactor adaptativa. Esto garantiza que, incluso si un atacante obtiene acceso a las credenciales de administrador, seguirá enfrentándose a importantes obstáculos, lo que reduce la probabilidad de una intrusión exitosa.
Además, si bien equilibrar la seguridad y la experiencia de usuario es vital para los usuarios habituales, la seguridad de las cuentas de administrador debe tener prioridad. La MFA adaptativa permite políticas de autenticación más estrictas para los administradores sin afectar el flujo de trabajo diario de los usuarios habituales.
Nota:
El Autenticación adaptable La sección se ha movido del menú de navegación izquierdo. Ahora puede acceder y administrar las políticas de autenticación adaptativa navegando a Políticas >> Política de acceso adaptativo.
Configuración de MFA adaptativa
- Inicie sesión en la consola de administración de miniOrange y navegue hasta la Políticas >> Política de acceso adaptativo.
- Haga clic en el elemento Crear política botón en la parte superior derecha.
- Ingrese un Nombre de directiva para su Política de autenticación adaptativa en el campo requerido.
1. Condiciones de la póliza
En una política de acceso adaptativo, puede configurar cuatro secciones diferentes:
1.1 Restricción de acceso basada en IP
En la restricción de IP, el administrador configura una lista de direcciones IP para permitir o denegar el acceso. Cuando un usuario intenta iniciar sesión en cualquier aplicación configurada con la Política de Acceso Adaptativo, su dirección IP se compara con la lista de IP configurada y se decide la acción según la configuración (es decir, Permitir, Denegar o Requerir verificación).
Cómo configurar la dirección IP:
- Ampliar la opción Restricción de acceso basada en IP En esta sección, haga clic en el icono desplegable para configurar las reglas de acceso basadas en IP.
- Haga clic en el elemento Agregar rango de IP Botón para agregar una nueva dirección IP o un rango de IP a la política.
- Seleccionar Agregar IP Si el Usuario Dirección IP no está en la lista configurada.
- Especifique la dirección IP que desea incluir en la lista blanca. Para rangos de IP distintos a los incluidos en la lista blanca, puede seleccionar la configuración anterior para que se refleje.
- Elija permitir o rechazar seleccionando el botón de opción al lado.
- Si un usuario intenta iniciar sesión con la dirección IP incluida en la lista blanca, siempre se le permitirá el acceso.
- Admitimos el rango de direcciones IP en tres formatos, es decir, IPv4, CIDR IPv4 e IPv6. Puede elegir el que más le convenga en el menú desplegable.
- Puede agregar varias direcciones IP y rangos de IP haciendo clic en el Agregar rango de IP.
1.2 Restricción de acceso basada en dispositivos
La restricción de dispositivos permite a los administradores controlar el acceso a las aplicaciones mediante la confianza en los dispositivos. Puede utilizar Restricción de dispositivos sin agente (huella digital basada en el navegador) o Restricción de dispositivos basada en agentes (agente instalado con puntuación de riesgo) según sus requisitos de seguridad.
Cómo configurar la restricción de acceso basada en dispositivos:
- Active la característica de Configuración del dispositivo palanca.
- Puede configurar la restricción del dispositivo utilizando Sin agente o basado en agente métodos:
Restricción de dispositivos sin agente
- Número de registros de dispositivos permitidos: Especifica el número máximo de dispositivos que un usuario puede registrar.
- Habilitar restricción de dispositivos móviles: Bloquea los intentos de inicio de sesión desde dispositivos móviles.
- Habilitar el registro automático del dispositivo: Permite el registro automático del dispositivo.
Restricción de dispositivos basada en agentes
- Requisitos previos para habilitar la restricción de dispositivos basada en agentes:
- Todos los usuarios finales deben instalar el Agente del dispositivo en sus dispositivos antes de acceder a la aplicación.
- Los usuarios que no tienen el agente están bloqueados y ven: Instale el agente de dispositivo miniOrange en su dispositivo e inténtelo de nuevo.
- El agente del dispositivo actualmente es compatible con Solo para dispositivos Windows.
- Haga clic en descargar Agente para obtener el archivo de instalación para los usuarios finales.
- En Método de registro del dispositivoElija una de las siguientes opciones:
- Autoregistro por Usuario: Los usuarios pueden registrar sus propios dispositivos hasta el límite definido. Ofrece flexibilidad con seguridad moderada.
- Número de registros de dispositivos permitidos: Especifica el número máximo de dispositivos que un usuario puede registrar.
- Habilitar restricción de dispositivos móviles: Bloquea los intentos de inicio de sesión desde dispositivos móviles.
- Habilitar el registro automático del dispositivo: Permite el registro automático del dispositivo.
- Solo dispositivos confiables preaprobados: Mayor seguridad. El administrador gestiona manualmente la información de los dispositivos de confianza. Seleccione esta opción y haga clic. Cargar dispositivos de confianza preaprobados (CSV) para importar dispositivos (puede omitir este paso si los dispositivos ya están cargados).
- Sube un archivo CSV Contiene usuarios y dispositivos previamente aprobados (los usuarios ya deben existir en miniOrange). Descargar muestra CSV para referencia.
- Configure las siguientes opciones:
- Habilitar restricción de dispositivos móviles: Bloquea los intentos de inicio de sesión desde dispositivos móviles.
- Habilitar el registro automático del dispositivo: Permite el registro automático del dispositivo.
- Configurar el motor de riesgo para la evaluación de la confianza del dispositivo
El motor de riesgo permite evaluar la confiabilidad del dispositivo analizando sus atributos y calculando una puntuación de riesgo. Con base en esta puntuación, se controla el acceso del usuario. permitido, desafiado or negado durante el inicio de sesión y el registro del dispositivo.
- Navegue a la pestaña Motor de riesgo sección y clic Configurar.
- Configurar parámetros de riesgo:
- En la sección Parámetros de riesgo Pestaña, revise la lista de atributos del dispositivo agrupados por categoría.
- El Identificadores de dispositivos La categoría contiene atributos obligatorios (como ID de instalación, UUID del BIOS, SID de la máquina, etc.). Estos atributos siempre están habilitados y no se pueden deshabilitar ni reordenar, ya que son fundamentales para la identificación del dispositivo.
- Para otras categorías (Hardware, Red, Software, Ubicación), habilite los atributos que desee utilizar para la evaluación de confianza del dispositivo.
- Establezca una prioridad para cada atributo habilitado:
- Alta: Fuerte impacto en la puntuación de riesgo
- Media: Impacto moderado
- Bajo: Impacto mínimo
- Haga clic en Guardar Cambios.
- Configurar puntuación de riesgo
- En la sección Puntuación de riesgo, definir los rangos de puntuación (0–100) que determinan el resultado de la autenticación durante el inicio de sesión del usuario.
- Los puntajes de riesgo más bajos indican dispositivos confiables.
- Los puntajes de riesgo más altos indican posibles riesgos de seguridad o anomalías.
- Configure los umbrales de la siguiente manera:
- Permitir: Permitir que el usuario se autentique sin desafío ni registro.
- El Desafío: Permitir la autenticación de usuarios con un desafío, por ejemplo, cuando se excede el límite del dispositivo.
- Negar: Denegar la autenticación del usuario, por ejemplo, cuando se excede el límite del dispositivo o cuando el atributo del dispositivo no coincide.
1.3 Restricción de acceso basada en la ubicación
En las restricciones de ubicación, el administrador configura una lista de ubicaciones donde desea permitir o denegar el acceso a los usuarios finales según las condiciones que haya establecido. Cuando un usuario intenta iniciar sesión con la Política de Acceso Adaptativo habilitada, sus atributos de ubicación, como latitud, longitud y código de país, se verifican con la lista de ubicaciones configurada por el administrador. En función de esto, se le permitirá, se le solicitará o se le denegará el acceso.
Cómo configurar la restricción de acceso basada en la ubicación:
- Ampliar la opción Restricción de acceso basada en la ubicación En esta sección, haga clic en el icono desplegable para configurar las reglas de restricción de acceso basadas en la ubicación.
- Haga clic en Agregar Direccion.
- En el campo de entrada Ingresar ubicación, ingrese el nombre de la ubicación y luego seleccione la ubicación correcta de los resultados de la búsqueda utilizando las teclas de navegación ARRIBA y ABAJO.
- Agregue la distancia dentro y alrededor de su ubicación en el siguiente campo de entrada. Esta será el área total dentro y alrededor de la ubicación que hemos configurado usando los puntos de Latitud y Longitud.
- En la siguiente lista desplegable, seleccione el parámetro de distancia como KMS (kilómetros) o Millas. Para cada ubicación que agregue, puede permitirla o denegarla activando o desactivando el interruptor correspondiente.
- Puede hacer clic en el Agregar Direccion para agregar más de una ubicación.
- Guarde los cambios realizados desplazándose hacia abajo en la parte inferior de la página.
1.4 Restricción de acceso basada en el tiempo
En la restricción horaria, el administrador configura una zona horaria con horas de inicio y fin, y los usuarios pueden acceder, acceder o ser interrogados según la condición establecida en la política. Cuando un usuario intenta iniciar sesión con la Política de Acceso Adaptativo habilitada, sus atributos relacionados con la zona horaria, como la zona horaria y la hora actual del sistema, se verifican con la lista configurada por el administrador. Según la configuración, el usuario puede acceder, acceder o ser interrogado.
Cómo configurar la restricción de acceso basada en el tiempo:
- Ampliar la opción Restricción de acceso basada en el tiempo En esta sección, haga clic en el icono desplegable para configurar las reglas de restricción de acceso basadas en el tiempo.
- Haga clic en Agregar tiempo.
- En la lista Seleccionar zona horaria, seleccione la zona horaria. En las listas Hora de inicio y Hora de finalización, seleccione los valores apropiados. Para cada configuración de hora que agregue, use el menú desplegable para seleccionar si desea Permitir or Denegar él.
- Introduzca el valor en minutos en el campo de entrada que aparece junto a la Tiempo de espera de la ventana de inicio de sesión (minutos)Este valor permite especificar un margen de tiempo antes de la hora de inicio y después de la hora de finalización. (Por ejemplo, si la hora de inicio es a las 6:00 y la hora de finalización a las 18:00, con una diferencia horaria de 30 minutos, la política considerará el periodo comprendido entre las 5:30 y las 18:30). Si no se introduce ningún valor en este campo, se utiliza el valor predeterminado de 0 minutos.
- Puede hacer clic en el Botón Agregar hora para incluir más de una configuración de tiempo y luego seguir el paso anterior.
- Haga clic en Siguiente.
2. Acción para el cambio de comportamiento
3. Alertas por correo electrónico y mensajes de error personalizados
Esta sección gestiona las notificaciones y alertas relacionadas con la autenticación adaptativa. Ofrece las siguientes opciones:
- Enviar alertas por correo electrónico: Configure los destinatarios que deben recibir notificaciones por correo electrónico cuando se produzcan eventos de autenticación adaptativa. Las alertas pueden enviarse a administradores, usuarios finales o a ambos, según sus requisitos de supervisión y seguridad.
- Enviar alertas por correo electrónico a los administradores: Habilite esta opción para notificar a los administradores cuando se activen los eventos de autenticación adaptativa configurados. Opcionalmente, puede especificar una dirección de correo electrónico en Dirección de correo electrónico del administrador para recibir alertas para recibir alertas; de lo contrario, las alertas se envían a la cuenta de administrador predeterminada.
- Enviar alertas por correo electrónico a los usuarios finales: Habilite esta opción para notificar a los usuarios finales cuando los eventos de autenticación adaptativa afecten sus intentos de inicio de sesión o registros de dispositivos.
- El número de registros de dispositivos ha superado el límite permitido: Cuando está habilitada, los usuarios finales reciben una notificación por correo electrónico si intentan registrar más dispositivos de los permitidos por la política de restricción de dispositivos configurada.Disponible únicamente para notificaciones a usuarios finales.)
- Reciba alertas por correo electrónico si los usuarios inician sesión desde dispositivos o ubicaciones desconocidas: Los administradores deben habilitar esta opción para recibir alertas para diferentes opciones de alerta.
| Opción |
Mareas Ideales para Lecciones |
| Los usuarios inician sesión desde direcciones IP, dispositivos o ubicaciones desconocidos |
Habilitar esta opción le permitirá iniciar sesión desde direcciones IP o dispositivos desconocidos e incluso ubicaciones. |
| Desafío completado y dispositivo registrado |
Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío y registra un dispositivo. |
| Desafío completado pero dispositivo no registrado |
Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío pero no registra el dispositivo. |
| Desafío fallido |
Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final no completa el desafío. |
- En caso de que desee que varias cuentas de administrador reciban alertas, puede habilitar la opción para administrador y luego ingresar los correos electrónicos de administrador separados por una ',' en el campo de entrada junto a Correo electrónico del administrador para recibir alertas etiqueta. Para habilitar alertas para los usuarios finales, puede habilitar la Usuario final casilla de verificación.
- En caso de que desee personalizar el mensaje de denegación que recibe el usuario final en caso de que su autenticación sea denegada debido a la política adaptativa, puede hacerlo ingresando el mensaje dentro Denegar mensaje caja de texto.
4. Revisar
Antes de crear la política de autenticación adaptativa, revise las condiciones de la política configuradas, las acciones de cambio de comportamiento, la configuración de alertas por correo electrónico y los mensajes de error personalizados. Este paso ofrece una vista consolidada de todas las configuraciones, lo que le permite verificar la configuración de la política y realizar los cambios necesarios antes de guardarla.
- Una vez que haya verificado todas las configuraciones, haga clic en Crear política para guardar y activar la póliza.
- Verá la política listada una vez que se haya agregado correctamente.
- Haga clic en el elemento Editar icono junto a la política de inicio de sesión que desea editar.
