- MFA blokkeert meer dan 99% van de geautomatiseerde credential-aanvallen, volgens Microsoft's analyse van identiteitstelemetrie
- Hardwaresleutels (FIDO2/YubiKey) bieden de hoogste beveiliging; SMS is de zwakste MFA-methode en kwetsbaar voor SIM-swapping
- Begin met e-mail en externe toegang en ga vervolgens over op financiële systemen en al het andere
- MFA met alleen sms, gaten in de gebruikersdekking en het omzeilen van verouderde authenticatie zijn de drie meest voorkomende implementatiefouten
- ISO 27001 Annex A.8.5 en Cyber Essentials vereisen beide minimaal MFA op cloudservices en externe toegang
Waarom alleen wachtwoorden steeds mislukken
Een wachtwoord is één geheim. Op het moment dat dat geheim uw controle verlaat, is uw account geopend. Wachtwoorden verlaten uw controle via kanalen waar u geen zicht op heeft.
Credential vulling is de meest voorkomende aanvalsvector tegen zakelijke accounts. Aanvallers kopen databases met e-mail- en wachtwoordcombinaties die zijn gelekt van gehackte websites en voeren vervolgens geautomatiseerde tools uit die deze inloggegevens testen op Microsoft 365, Google Workspace, VPN-gateways en bankportals. De aanval werkt omdat mensen wachtwoorden hergebruiken. Een inloggegevens die vijf jaar geleden zijn gelekt bij een inbreuk in de detailhandel, openen vandaag de dag nog steeds accounts, omdat het wachtwoord nooit is gewijzigd. HaveIBeenPwned indexeert momenteel meer dan 13 miljard geschonden accounts.
Phishing overhandigt inloggegevens rechtstreeks aan aanvallers. Het bouwen en distribueren van een overtuigende inlogpagina voor Microsoft 365 of het VPN-portaal van uw bedrijf duurt minder dan een uur. De gebruiker typt zijn gebruikersnaam en wachtwoord in wat lijkt op een legitiem formulier. Aanvallers leggen de inloggegevens in realtime vast. Geen technische kwetsbaarheid vereist.
Wachtwoord spuiten hanteert de tegenovergestelde benadering van vullen. In plaats van veel wachtwoorden voor één account uit te proberen, proberen aanvallers een of twee algemene wachtwoorden voor duizenden accounts. Veelvoorkomende keuzes zoals Summer2024! of Welcome1 slagen op grote schaal omdat wachtwoordbeleid dat een hoofdletter en een cijfer vereist, voorspelbare patronen produceert, en uitsluitingsdrempels na een langzame spray niet meer blokkeren.
Alle drie de aanvallen mislukken tegen een account met MFA. Een gestolen wachtwoord zonder de tweede factor doet niets voor geautomatiseerde aanvallen. De identiteitstelemetrie van Microsoft zet het blokkeringspercentage op 99,9%.
Wat MFA is en hoe het werkt
Multi-factor authenticatie vereist dat een gebruiker twee of meer verificatiefactoren uit verschillende categorieën presenteert voordat hij toegang krijgt. De drie categorieën zijn:
- Iets wat je weet: een wachtwoord, pincode of antwoord op een beveiligingsvraag
- Iets wat je hebt: een fysiek apparaat zoals een telefoon met een authenticatie-app, een hardwarebeveiligingssleutel of een smartcard
- Iets wat jij bent: een biometrische factor zoals een vingerafdruk of gezichtsscan
Tweefactorauthenticatie (2FA) gebruikt precies twee hiervan. MFA is de bredere term die twee of meer omvat. In de praktijk gebruiken de meeste mensen de termen door elkaar, en de meeste implementaties combineren een wachtwoord met een apparaatgebaseerde tweede factor.
Een aanvaller die uw wachtwoord steelt, beschikt niet over uw telefoon. Een aanvaller die uw telefoon vindt, kent uw wachtwoord niet. Het compromitteren van beide, tegen een specifiek doelwit, op het moment van een inlogpoging, is een orde van grootte moeilijker dan het stelen van een wachtwoord uit een gehackte database en het door een geautomatiseerde tool halen.
MFA-typen gerangschikt op beveiliging
MFA-methoden variëren sterk op het gebied van beveiliging. De tabel rangschikt ze van sterk naar zwak, op basis van weerstand tegen phishing en realtime onderschepping.
FIDO2-hardwaresleutels verslaan phishing omdat de cryptografische handtekening die ze produceren wiskundig gekoppeld is aan de URL van de legitieme website. Een phishing-site op een ander domein kan geen geldig authenticatieantwoord produceren, zelfs niet als de gebruiker zijn wachtwoord erin typt. TOTP-codes zijn in realtime phishbaar: een man-in-the-middle-proxy kan het wachtwoord en de TOTP-code vastleggen en deze opnieuw afspelen voordat het venster van 30 seconden wordt gesloten.
Pushmelding MFA heeft een specifieke zwakte genaamd MFA-vermoeidheid. Aanvallers met een geldig wachtwoord sturen om 02.00 uur herhaaldelijk pushverzoeken totdat een vermoeide of verwarde gebruiker op 'Goedkeuren' tikt om de meldingen te laten stoppen. Microsoft Authenticator ondersteunt nu nummermatching, waarbij de gebruiker een tweecijferig nummer moet invoeren dat wordt weergegeven bij het inloggen op het pushmeldingsscherm, waardoor onbedoelde goedkeuringen worden voorkomen. Schakel nummermatching in uw Entra ID-beleid voor voorwaardelijke toegang in.
Sim-swapping-aanvallen op zakelijke accounts zijn tussen 2023 en 2025 toegenomen. Een aanvaller belt uw mobiele provider, beweert u te zijn en draagt uw nummer over naar een simkaart die zij beheren. Alle sms-codes worden vervolgens naar hen geleid. Het verificatieproces van de vervoerder is niet robuust. Verplaats bedrijfskritieke accounts naar TOTP- of hardwaresleutels en schakel SMS uit als reserveoptie voor die accounts.
Waar te beginnen: een implementatiereeks
Het doel is 100% MFA-dekking voor alle gebruikers en alle systemen. Begin waar een compromis de meeste schade veroorzaakt.
1. E-mail eerst
Zakelijke e-mail is de hoofdsleutel voor bijna al het andere. Voor het opnieuw instellen van het wachtwoord voor elk ander account gaat u naar e-mail. Gevoelige bedrijfsgegevens stromen via e-mail. Aanvallers die een Microsoft 365- of Google Workspace-account binnendringen, kunnen e-mail lezen, betalingsinstructies omleiden en toegang krijgen tot elke verbonden applicatie. Schakel MFA vóór alles in voor e-mail, voor elke gebruiker zonder uitzondering.
In Microsoft 365 is het snelste pad Beveiligingsstandaarden in de Entra ID-portal. Beveiligingsstandaarden dwingt MFA af voor alle gebruikers, blokkeert oudere authenticatieprotocollen en vereist MFA voor alle beheerdersacties. Het is een enkele schakelaar. Voor organisaties die meer gedetailleerde controle nodig hebben, kunt u met het beleid voor voorwaardelijke toegang definiëren welke gebruikers, applicaties, locaties en apparaatstatussen een MFA-uitdaging veroorzaken.
2. VPN en externe toegang
VPN-gateways en externe desktopservices vormen het andere primaire toegangspunt voor aanvallers. Een gecompromitteerde VPN-referentie plaatst een aanvaller binnen uw netwerkperimeter met dezelfde toegang als een legitieme werknemer. Alle oplossingen voor externe toegang, of dat nu Cisco AnyConnect, Fortinet FortiClient, Palo Alto GlobalProtect of Windows Remote Desktop Gateway is, ondersteunen op RADIUS gebaseerde MFA of directe integratie met identiteitsproviders zoals Entra ID. Configureer het voordat u externe toegang verder uitbreidt.
3. Financierings- en betalingssystemen
Online bankieren, betalingsplatforms en boekhoudsoftware zoals Exact, Twinfield of Xero bevatten de data-aanvallers die het doelwit zijn van aanvallen op zakelijke e-mail. Veel van deze platforms ondersteunen TOTP of app-gebaseerde MFA in hun beveiligingsinstellingen. Schakel het in voor elke gebruiker die betalingen kan initiëren of goedkeuren. Sommige banken geven MFA opdracht voor zakelijke rekeningen; behandel degenen die dat niet doen als uitzonderingen die een afzonderlijke risicobespreking vereisen.
4. Al het andere
Zodra de drie categorieën met het hoogste risico MFA hebben, breidt u de dekking uit naar alle resterende cloudservices: CRM-platforms, HR-systemen, bestandsopslag, ontwikkelomgevingen, DNS-beheerconsoles en domeinregistreerderaccounts. Registrar-accounts zijn waardevol en krijgen zelden MFA. Een aanvaller die uw domeinregistreerderaccount binnendringt, kan de DNS van uw hele domein omleiden.
Als de volledige uitrol van MFA op interne weerstand stuit, begin dan met beleid voor voorwaardelijke toegang dat MFA vereist voor aanmeldingen van buiten uw kantoornetwerk. Dit levert geen wrijving op voor werknemers aan hun bureau, terwijl de externe en mobiele toegang wordt beschermd. Het is geen volledige oplossing, aangezien compromissen op kantoornetwerken mogelijk zijn, maar het elimineert de meest voorkomende aanvalsvector zonder kosten voor de eindgebruiker tijdens de overgangsperiode.
Veel voorkomende implementatiefouten
Een MFA-implementatie met gaten biedt aanvallers nog steeds toegang. Dit zijn de vier fouten die de grootste fouten veroorzaken.
MFA alleen voor sms op hoogwaardige accounts
Sommige organisaties schakelen MFA in en accepteren vervolgens SMS als de enige factoroptie, omdat hiervoor geen app-installatie vereist is. Voor standaardgebruikersaccounts is dit een afweging. Voor leidinggevenden, financieel personeel, IT-beheerders en iedereen met toegang tot gevoelige gegevens is dit een onaanvaardbaar risico. Segmenteer uw MFA-vereisten: vereist TOTP of FIDO2 voor bevoorrechte gebruikers en gebruikers met een hoog risico, accepteer TOTP of push als minimum voor standaardgebruikers en blokkeer sms-berichten voor accounts met echte macht.
Dekt niet alle gebruikers
MFA-beleid dat aannemersaccounts, gedeelde serviceaccounts of "tijdelijke" gebruikers uitsluit, creëert toegangspunten. Aanvallers zoeken naar accounts buiten het belangrijkste beleidsbereik. Controleer in Entra ID uw beleid voor voorwaardelijke toegang op uitsluitingen en controleer dit elk kwartaal. Elk uitgesloten account moet een gedocumenteerde, in de tijd beperkte zakelijke rechtvaardiging hebben.
Verouderde authenticatieprotocollen toestaan
Verouderde authenticatieprotocollen, waaronder Basic Auth voor Exchange ActiveSync, IMAP, POP3 en SMTP Auth, ondersteunen MFA niet. Ze sturen inloggegevens als gebruikersnaam en wachtwoord zonder mechanisme voor een tweede factor. Als u MFA inschakelt maar deze protocollen actief laat, kan een aanvaller met een gestolen wachtwoord MFA omzeilen door verbinding te maken via IMAP. Blokkeer in Microsoft 365 verouderde authenticatie met behulp van een beleid voor voorwaardelijke toegang, waarbij de voorwaarde is ingesteld op 'Andere clients' en de toekenning is ingesteld op 'Toegang blokkeren'. Controleer de Entra ID-aanmeldingslogboeken op verouderde authenticatieactiviteiten voordat u blokkeert om apparaten of applicaties te identificeren die opnieuw moeten worden geconfigureerd.
Geen back-upcodes of herstelplan
Gebruikers die hun telefoon of hardwaresleutel verliezen en geen herstelpad hebben, worden geconfronteerd met een ondersteuningsoproep die uren kan duren om op te lossen, en IT-personeel onder druk zetten om de controles te omzeilen. Genereer back-upcodes voor elk kritisch account, sla ze op in een wachtwoordbeheerder of een afgedrukt document op een veilige locatie, en configureer alternatieve authenticatiemethoden in de Entra ID self-service wachtwoordherstel, zodat gebruikers een gedocumenteerd herstelpad hebben.
Microsoft 365 en Entra ID: specifieke begeleiding
De meeste Cyvra-clients gebruiken Microsoft 365. De onderstaande instellingen pakken de belangrijkste risico's aan.
Standaardbeveiligingsinstellingen. Open in de Azure-portal Entra ID (voorheen Azure Active Directory), vervolgens Eigenschappen en vervolgens Beheer standaardbeveiligingsinstellingen. Als u standaardbeveiligingsinstellingen inschakelt, wordt MFA-registratie voor alle gebruikers afgedwongen, is MFA vereist voor alle beheerdersbewerkingen en worden oudere authenticatieprotocollen geblokkeerd. Het is de snelste weg naar basisbescherming en is gratis voor alle Microsoft 365-licenties.
Voorwaardelijke toegang (vereist Entra ID P1 of Microsoft 365 Business Premium). Voorwaardelijke toegang geeft u gedetailleerde controle over wanneer en hoe MFA vereist is. Belangrijk beleid om te creëren: MFA vereisen voor alle gebruikers die toegang hebben tot een cloud-app; MFA vereisen vanaf alle locaties (inclusief vertrouwde netwerken) voor beheerders; oude authenticatieclients blokkeren; en vereisen een compatibel of Entra ID-gekoppeld apparaat voor toegang tot gevoelige gegevens. Het Microsoft Secure Score-dashboard in het Microsoft 365 Defender-portaal laat zien welke van deze beleidsregels van kracht zijn en beoordeelt hun impact.
Nummermatching voor pushmeldingen. Ga in Entra ID naar Beveiliging, vervolgens naar Authenticatiemethoden en vervolgens naar Microsoft Authenticator. Schakel nummermatching in om MFA-vermoeidheidsaanvallen te voorkomen. Microsoft heeft dit sinds 2023 standaard ingeschakeld voor nieuwe tenants, maar controleer of dit actief is in uw tenant.
Beleid voor authenticatiemethoden. Bekijk onder Beveiliging en vervolgens bij Authenticatiemethoden welke methoden elke gebruikersgroep kan registreren. Beperk SMS tot gebruikersgroepen waarvan u de afweging heeft beoordeeld en geaccepteerd. Vereist FIDO2- of software-OATH-tokens voor globale beheerders en geprivilegieerde identiteitsrollen.
Privileged Identity Management (PIM). Verkrijgbaar met Entra ID P2 of Microsoft 365 E3/E5, PIM dwingt just-in-time geprivilegieerde toegang af. Beheerders hebben geen permanente globale beheerdersrechten; ze vragen om verhoging voor een bepaalde periode, wat een MFA-uitdaging activeert en een auditlogboek creëert. Dit beperkt de explosieradius van een gecompromitteerd beheerdersaccount tot het actieve elevatievenster.
MFA verandert een gestolen wachtwoord van een inbreuk in een doodlopende weg. Een aanvaller met uw inloggegevens, maar niet met uw apparaat, krijgt niets.
MFA en compliance-frameworks
MFA verschijnt bij naam of directe implicatie in elk groot MKB-relevant beveiligingsframework.
ISO 27001:2022, bijlage A.8.5 (beveiligde authenticatie) stelt dat authenticatiecontroles de informatieclassificatie moeten weerspiegelen van waartoe toegang wordt verkregen, en roept specifiek multi-factor authenticatie op als controlemaatregel voor toegang op afstand en voor toegang tot gevoelige systemen. A.8.2 (Privileged Access Rights) vereist dat geprivilegieerde accounts onder strengere controles opereren dan standaardgebruikers, wat in de praktijk door de auditorgemeenschap wordt geïnterpreteerd als een vereiste dat minimaal MFA vereist is voor alle beheerdersaccounts.
Cyber Essentials (VK). De update van Cyber Essentials van januari 2022 vereist MFA op alle cloudservices waar technisch ondersteund, en op alle oplossingen voor externe toegang. De Cyber Essentials Plus-beoordeling omvat een technische audit van de authenticatieconfiguratie. Een bevinding van ontbrekende MFA op een cloudservice of VPN is een directe mislukking in strijd met de toegangscontrolevereiste van het schema.
NIS2 (EU, artikel 21). Hoewel NIS2 geen specifieke controles voorschrijft, vereist artikel 21 dat essentiële en belangrijke entiteiten "multi-factor authenticatie of continue authenticatieoplossingen" implementeren als onderdeel van hun basisveiligheidshygiëne. NIS2 noemt MFA rechtstreeks, een van de weinige bedieningselementen die de regelgeving specificeert. Nederlandse entiteiten die in aanmerking komen voor NIS2 en onder toezicht staan van het NCSC-NL of sectortoezichthouders worden geconfronteerd met handhaving waar MFA afwezig is op internetgerichte systemen.
GDPR. GDPR geeft MFA geen mandaat bij naam, maar overweging 83 en artikel 32 vereisen "passende technische en organisatorische maatregelen" om persoonsgegevens te beschermen. Gegevensbeschermingsautoriteiten in Nederland (AP) en Groot-Brittannië (ICO) hebben beide de afwezigheid van MFA genoemd als een bijdragende factor bij handhavingsacties bij inbreuken. Na een inbreuk maakt de afwezigheid van MFA op het gecompromitteerde account het moeilijker om te beweren dat u passende technische maatregelen heeft genomen.
Tijdens een ISO 27001-audit zijn de export- en aanmeldingslogboeken van uw Entra ID Conditional Access-beleid direct bewijs voor A.8.5. Exporteer de beleidsdefinities als JSON en bewaar ze bij uw Statement of Applicability-documentatie. De aanmeldingslogboeken met MFA-uitdagingen en successen laten zien dat de besturing werkt en niet alleen is geconfigureerd.