Politica di accesso adattivo

Configurare i criteri di accesso adattivo (MFA) per gli utenti è fondamentale a causa degli elevati privilegi di cui godono. Alcuni utenti hanno accesso a determinati livelli di sistemi e dati sensibili, il che li rende potenziali bersagli per malintenzionati.

Gli amministratori possono adattare dinamicamente i requisiti di autenticazione in base a fattori di rischio come posizione, dispositivo e comportamento, implementando l'autenticazione a più fattori adattiva. Ciò garantisce che, anche qualora un utente malintenzionato riuscisse ad accedere alle credenziali di amministratore, si troverebbe comunque ad affrontare ostacoli significativi, riducendo la probabilità di una violazione riuscita.

Inoltre, sebbene bilanciare sicurezza ed esperienza utente sia fondamentale per gli utenti abituali, la sicurezza degli account amministratore dovrebbe avere la precedenza. L'MFA adattiva consente policy di autenticazione più rigorose per gli amministratori, senza influire sul flusso di lavoro quotidiano degli utenti tipici.

Nota:

Migliori Autenticazione adattiva La sezione è stata spostata dal menu di navigazione a sinistra. Ora puoi accedere e gestire le policy di autenticazione adattiva navigando a Norme >> Norme sull'accessibilità adattiva.

Configurazione MFA adattiva

Accedi alla console di amministrazione di miniOrange e vai a Norme >> Norme sull'accessibilità adattiva.
Clicca sul Crea politica pulsante in alto a destra.

Entrare in un Nome della politica Inserisci i dati relativi alla tua policy di autenticazione adattiva nel campo richiesto.

1. Condizioni della polizza

Esistono quattro sezioni diverse che è possibile configurare in una policy di accesso adattivo:

Restrizione dell'accesso basata su IP
Restrizione dell'accesso basata sul dispositivo
Restrizione di accesso basata sulla posizione
Restrizione di accesso basata sul tempo

Politica di accesso adattato: Condizioni della politica

1.1 Restrizione dell'accesso basata sull'indirizzo IP

Nella restrizione IP, l'amministratore configura un elenco di indirizzi IP per consentire o negare l'accesso. Quando un utente tenta di accedere a un'applicazione configurata con i criteri di accesso adattivi, il suo indirizzo IP viene confrontato con l'elenco IP configurato e l'azione viene decisa in base alla configurazione (ad esempio, Consenti, Nega o Richiedi).

Come configurare l'indirizzo IP:

espandere la Restrizione dell'accesso basata su IP nella sezione, cliccando sull'icona a discesa, è possibile configurare le regole di accesso basate su IP.
Clicca sul Aggiungi intervallo IP pulsante per aggiungere un nuovo indirizzo IP o intervallo IP alla policy.

Criteri di accesso adattivo: aggiungi intervallo IP

Seleziona Aggiungi IP se l'Utente Indirizzo IP non è presente nell'elenco configurato.
Specifica l'indirizzo IP che desideri inserire nella whitelist. Per gli intervalli IP diversi da quello inserito nella whitelist, puoi selezionare l'impostazione sopra indicata.
Scegli se consentire o negare selezionando il pulsante di scelta accanto.
Se un utente tenta di accedere utilizzando un indirizzo IP presente nella lista bianca, l'accesso sarà sempre consentito.
Supportiamo l'intervallo di indirizzi IP in tre formati, ovvero: IPv4, IPv4 CIDR e IPv6Puoi scegliere quello più adatto a te dal menu a discesa.
È possibile aggiungere più IP e intervalli IP facendo clic su Aggiungi intervallo IP.

Restrizione IP adattiva dell'autenticazione a più fattori (MFA)

1.2 Restrizione dell'accesso basata sul dispositivo

La restrizione del dispositivo consente agli amministratori di controllare l'accesso alle applicazioni utilizzando la fiducia del dispositivo. È possibile utilizzare Restrizione dei dispositivi senza agente (impronta digitale basata su browser) o Restrizione del dispositivo basata su agente (agente installato con punteggio di rischio) a seconda dei requisiti di sicurezza.

Come configurare la restrizione di accesso basata sul dispositivo:

Attivare la Configurazione del dispositivo commutare.

Restrizioni di accesso basate sul dispositivo

È possibile configurare la restrizione del dispositivo utilizzando uno dei due Senza agente o basato su agente metodi:

Restrizione dei dispositivi senza agente

Numero di registrazioni di dispositivi consentite: Specifica il numero massimo di dispositivi che un utente può registrare.
Abilita restrizione dispositivi mobili: Blocca i tentativi di accesso da dispositivi mobili.
Abilita la registrazione automatica del dispositivo: Consente la registrazione automatica del dispositivo.

Restrizione adattiva del dispositivo MFA

Restrizione del dispositivo basata su agente

Prerequisiti per l'attivazione della restrizione dei dispositivi basata su agenti:

Tutti gli utenti finali devono installare il Agente dispositivo sui loro dispositivi prima di accedere all'applicazione.
Gli utenti senza l'agente vengono bloccati e visualizzano: Installa miniOrange Device Agent sul tuo dispositivo e riprova.
L'agente dispositivo è attualmente supportato su Solo dispositivi Windows.
Clicchi Scarica agente per ottenere il file di installazione per gli utenti finali.

Sotto Metodo di registrazione del dispositivo, scegli una delle seguenti opzioni:

Autoregistrazione da parte dell'utente: Gli utenti possono registrare i propri dispositivi fino al limite definito. Offre flessibilità con un livello di sicurezza moderato.

Politica di accesso adattivo: Autoregistrazione da parte dell'utente

Numero di registrazioni di dispositivi consentite: Specifica il numero massimo di dispositivi che un utente può registrare.
Abilita restrizione dispositivi mobili: Blocca i tentativi di accesso da dispositivi mobili.
Abilita la registrazione automatica del dispositivo: Consente la registrazione automatica del dispositivo.

Solo dispositivi attendibili pre-approvati: Maggiore sicurezza. L'amministratore gestisce manualmente le informazioni sui dispositivi attendibili. Seleziona questa opzione e fai clic Carica i dispositivi attendibili pre-approvati (CSV) per importare i dispositivi (è possibile saltare questo passaggio se i dispositivi sono già stati caricati).

Carica a file CSV contenente utenti e dispositivi pre-approvati (gli utenti devono già esistere in miniOrange). Scarica il campione CSV per riferimento.
Configurare le seguenti opzioni:

Abilita restrizione dispositivi mobili: Blocca i tentativi di accesso da dispositivi mobili.
Abilita la registrazione automatica del dispositivo: Consente la registrazione automatica del dispositivo.

Configurare Risk Engine per la valutazione dell'affidabilità del dispositivo
Il Risk Engine consente di valutare l'affidabilità del dispositivo analizzandone molteplici attributi e calcolando un punteggio di rischio. In base a questo punteggio, l'accesso dell'utente è consentito, contestato or negato durante l'accesso e la registrazione del dispositivo.

Passare alla Motore di rischio sezione e clicca Configurazione.

Autenticazione adattiva: configura il motore di rischio

Configurare i parametri di rischio:

Nel Parametri di rischio scheda, rivedere l'elenco degli attributi del dispositivo raggruppati per categoria.
Migliori Identificatori del dispositivo La categoria contiene attributi obbligatori (ad esempio ID di installazione, UUID del BIOS, SID della macchina, ecc.). Questi attributi sono sempre abilitati e non possono essere disabilitati o ridefiniti, poiché sono fondamentali per l'impronta digitale del dispositivo.
Per altre categorie (Hardware, Rete, Software, Posizione), abilitare gli attributi che si desidera utilizzare per la valutazione dell'affidabilità del dispositivo.
Imposta una priorità per ogni attributo abilitato:

Alto: Forte impatto sul punteggio di rischio
Medium: Impatto moderato
Basso: Impatto minimo

Autenticazione adattiva: parametro di rischio

Fare clic su Salva modifiche.

Configurare il punteggio di rischio

Nel Punteggio di rischio, definire gli intervalli di punteggio (0–100) che determinano l'esito dell'autenticazione durante l'accesso dell'utente.
I punteggi di rischio più bassi indicano dispositivi affidabili.
I punteggi di rischio più elevati indicano potenziali rischi per la sicurezza o anomalie.
Configurare le soglie come segue:

Permettere: Consentire all'utente di autenticarsi senza verifica e registrazione.
La sfida Consentire l'autenticazione dell'utente con una sfida, ad esempio quando viene superato il limite del dispositivo.
Negare: Nega l'autenticazione dell'utente, ad esempio quando viene superato il limite del dispositivo o quando l'attributo del dispositivo non corrisponde.

Autenticazione adattiva: archivio dei rischi

1.3 Restrizione dell'accesso in base alla posizione

Nelle restrizioni di posizione, l'amministratore configura un elenco di posizioni in cui desidera consentire o negare l'accesso agli utenti finali in base alle condizioni impostate dall'amministratore stesso. Quando un utente tenta di accedere con la Politica di accesso adattiva abilitata, i suoi attributi di posizione, come latitudine, longitudine e codice paese, vengono verificati rispetto all'elenco di posizioni configurato dall'amministratore. In base a questa verifica, all'utente verrà consentito, richiesto l'accesso o negato.

Come configurare le restrizioni di accesso basate sulla posizione:

espandere la Restrizione di accesso basata sulla posizione nella sezione, cliccando sull'icona a discesa, è possibile configurare le regole di restrizione dell'accesso basate sulla posizione.
Fare clic su Aggiungi luogo.

Politica di accesso adattivo: configurazione della posizione

Nel campo di immissione Inserisci posizione, inserisci il nome della posizione e poi seleziona la posizione corretta dai risultati della ricerca utilizzando i tasti di navigazione SU e GIÙ.
Aggiungi la distanza In and Around per la tua posizione nel campo di input successivo. Questa sarà l'area totale dentro e intorno alla posizione che abbiamo configurato usando i punti di latitudine e longitudine.
Nel successivo elenco a discesa, seleziona il parametro di distanza tra KMS (chilometri) e miglia. Per ogni posizione aggiunta, puoi scegliere se consentirla o meno attivando o disattivando l'interruttore accanto ad essa.
È possibile fare clic sul Aggiungi luogo per aggiungere più di una posizione.

Restrizione di posizione per l'autenticazione a più fattori adattiva

Salva le modifiche apportate scorrendo verso il basso nella parte inferiore della pagina.

1.4 Restrizione dell'accesso in base al tempo

Nella restrizione oraria, l'amministratore configura un fuso orario con orari di inizio e fine e agli utenti viene consentito, negato o richiesto l'accesso in base alla condizione definita nella policy. Quando un utente finale tenta di accedere con la policy di accesso adattivo abilitata, i suoi attributi relativi al fuso orario, come il fuso orario e l'ora di sistema corrente, vengono verificati rispetto all'elenco configurato dall'amministratore. In base alla configurazione, all'utente viene consentito, negato o richiesto l'accesso.

Come configurare la restrizione di accesso basata sul tempo:

espandere la Restrizione di accesso basata sul tempo nella sezione, cliccando sull'icona a discesa, è possibile configurare le regole di restrizione dell'accesso in base al tempo.

Espandere la restrizione di accesso temporale

Fare clic su Aggiungi tempo.

Politica di accesso adattivo: restrizione dell'accesso in base al tempo

Dall'elenco Seleziona fuso orario, seleziona il fuso orario. Dagli elenchi Ora di inizio e Ora di fine, seleziona i valori appropriati. Per ogni configurazione oraria che aggiungi, usa il menu a discesa per selezionare se Consentire or Rifiuta esso.

Limitazione temporale dell'autenticazione a più fattori adattiva

Inserisci il valore in minuti nel campo di input accanto a Tempo di buffer della finestra di accesso (minuti)Questo valore consente di specificare un periodo di tolleranza prima dell'orario di inizio e dopo l'orario di fine. (Ad esempio, se l'orario di inizio è alle 6:00 e l'orario di fine è alle 18:00 con un valore di differenza oraria impostato a 30 minuti, la policy considererà il periodo dalle 5:30 alle 18:30). Se non viene inserito alcun valore in questo campo, viene impostato il valore predefinito di 0 minuti.
È possibile fare clic sul Pulsante Aggiungi ora per includere più di una configurazione temporale e quindi seguire il passaggio precedente.
Fare clic su Avanti.

2. Azione per il cambiamento del comportamento

È possibile configurare una delle tre azioni possibili per i criteri di accesso adattivo, come spiegato di seguito:

Politica di accesso adattivo: azioni per il cambiamento comportamentale

Attributo	Descrizione
Consentire	Consenti agli utenti di autenticarsi e utilizzare i servizi se la condizione della politica di accesso adattivo è vera.
Rifiuta	Negare l'autenticazione dell'utente e l'accesso ai servizi se la condizione della politica di accesso adattivo è vera.
La sfida	Prova gli utenti con uno dei tre metodi indicati di seguito per verificare l'autenticità dell'utente.

Opzioni tipo di sfida:

fattori	Descrizione
Secondo fattore utente	L'utente deve autenticarsi utilizzando il secondo fattore che ha selezionato o che gli è stato assegnato, come ad esempio OTP tramite SMS Notifica PUSH OTP tramite e-mail e molti di più.
KBA	Il sistema chiederà all'utente di rispondere a 2 delle 3 domande configurate nella propria Console Self-Service. Solo dopo aver fornito risposte corrette a entrambe le domande, l'utente potrà procedere.
OTP tramite e-mail alternativa	L'utente riceverà un OTP all'indirizzo email alternativo configurato tramite la Self Service Console. Una volta fornito l'OTP corretto, potrà procedere.

3. Avvisi e-mail e messaggi di errore personalizzati

Questa sezione gestisce le notifiche e gli avvisi relativi all'autenticazione adattiva. Offre le seguenti opzioni:

Invia avvisi via email: Configura i destinatari che devono ricevere notifiche via e-mail quando si verificano eventi di autenticazione adattiva. Gli avvisi possono essere inviati agli amministratori, agli utenti finali o a entrambi, a seconda dei requisiti di monitoraggio e sicurezza.

Invia avvisi via e-mail agli amministratori: Abilita questa opzione per notificare agli amministratori quando vengono attivati gli eventi di autenticazione adattiva configurati. Puoi facoltativamente specificare un indirizzo e-mail in Indirizzo e-mail dell'amministratore per ricevere gli avvisi per ricevere gli avvisi; in caso contrario, gli avvisi vengono inviati all'account amministratore predefinito.

Autenticazione adattiva Invia avvisi via e-mail

Invia avvisi via e-mail agli utenti finali: Attiva questa opzione per notificare agli utenti finali quando gli eventi di autenticazione adattiva influiscono sui loro tentativi di accesso o sulla registrazione dei dispositivi.

Numero di registrazioni di dispositivi superato il limite consentito: Quando abilitata, gli utenti finali ricevono una notifica via e-mail se tentano di registrare più dispositivi del numero massimo consentito dalla policy di restrizione dei dispositivi configurata.Disponibile solo per le notifiche agli utenti finali.)

Autenticazione adattiva Ricevi avvisi via email

Ricevi avvisi via email se gli utenti effettuano l'accesso da dispositivi o posizioni sconosciute: Gli amministratori devono abilitare questa opzione per poter ricevere avvisi relativi a diverse tipologie di notifica.

Opzione	Descrizione
Gli utenti accedono da indirizzi IP, dispositivi o posizioni sconosciuti	Abilitando questa opzione è possibile effettuare l'accesso da indirizzi IP o dispositivi sconosciuti e persino da posizioni diverse.
Sfida completata e dispositivo registrato	Abilitando questa opzione è possibile inviare un avviso via e-mail quando un utente finale completa una sfida e registra un dispositivo.
Sfida completata ma dispositivo non registrato	Abilitando questa opzione è possibile inviare un avviso via e-mail quando un utente finale completa una sfida ma non registra il dispositivo.
Sfida fallita	Abilitando questa opzione è possibile inviare un avviso via e-mail quando un utente finale non riesce a completare la sfida.

Nel caso in cui desideri che più account amministratore ricevano avvisi, puoi abilitare l'opzione per l'amministratore e quindi inserire gli indirizzi email dell'amministratore separati da una ',' nel campo di input accanto a Indirizzo email dell'amministratore per ricevere gli avvisi etichetta. Per abilitare gli avvisi per gli utenti finali, è possibile abilitare l' Utente finale casella di controllo.
Nel caso in cui si desideri personalizzare il messaggio di rifiuto che l'utente finale riceve nel caso in cui la sua autenticazione venga negata a causa di una politica adattiva, è possibile farlo inserendo il messaggio all'interno Nega messaggio casella di testo.

4. Revisione

Prima di creare la policy di autenticazione adattiva, esamina le condizioni della policy configurate, le azioni di modifica del comportamento, le impostazioni degli avvisi e-mail e i messaggi di errore personalizzati. Questo passaggio fornisce una panoramica completa di tutte le impostazioni configurate, consentendoti di verificare la configurazione della policy e apportare le modifiche necessarie prima del salvataggio.

Dopo aver verificato tutte le configurazioni, fai clic Crea politica per salvare e attivare la policy.
Una volta aggiunta correttamente, la policy verrà visualizzata nell'elenco.

Clicca sul Modifica icona accanto alla policy di accesso che si desidera modificare.

Contenuti