Conturile de acces de urgență nu sunt doar încă un admin protejat prin MFA

Fiecare MSP ajunge, la un moment dat, să fie întrebat de ce un client are nevoie de conturi dedicate de acces de urgență dacă fiecare admin este deja obligat să folosească autentificarea multi-factor. Răspunsul este că conturile de acces de urgență rezolvă o problemă diferită: să rămână utilizabile atunci când furnizorul de identitate sau sistemul MFA în sine este indisponibil, nu să adauge încă un strat peste un sistem care deja funcționează.

Ce recomandă Microsoft

Ghidul Microsoft pentru Entra ID cere cel puțin două conturi de acces de urgență doar în cloud, care să nu fie sincronizate dintr-un director on-premises sau federate printr-un furnizor de identitate extern — pentru că un cont care depinde de aceeași infrastructură pe care ar trebui să o salveze nu este cu adevărat un cont de urgență. Microsoft recomandă autentificare rezistentă la phishing, cum ar fi cheile FIDO2 sau autentificarea bazată pe certificate, în mod deliberat independentă de metodele folosite de adminii obișnuiți, și o atribuire permanentă — nu eligibilă sau limitată în timp — a rolului de Administrator Global în Privileged Identity Management, deoarece un flux de activare este exact ceea ce s-ar putea să nu funcționeze în timpul unei întreruperi. Aceste conturi ar trebui să fie în continuare acoperite de politici de Acces Condiționat care impun MFA rezistent la phishing; excluderea recomandată este în mod specific de la blocarea bazată pe geolocalizare, nu de la controalele de acces în general, având în vedere cazuri anterioare în care autentificări legitime au fost clasificate greșit din punct de vedere geografic timp de ore întregi.

Ce adaugă NIST și OWASP

Controlul AC-2(2) din NIST SP 800-53 definește conturile de urgență ca fiind ceva activat pentru o criză definită și apoi dezactivat sau eliminat automat după aceea, nu menținut la nesfârșit. Ghidul OWASP privind MFA semnalează procesele de recuperare și ocolire ca fiind o țintă pentru atacatori în sine: orice mecanism care restabilește accesul în timpul unei urgențe nu trebuie să devină, pe nesimțite, o modalitate de a sări peste MFA în condiții normale.

Cum arată „dovedește că funcționează”

• Monitorizează autentificările în aceste conturi în mod specific, cu o alertă la fiecare încercare — reușită sau eșuată.
• Rulează exerciții de acces după un program fix, de obicei la fiecare 90 de zile, în loc să presupui că configurarea încă funcționează.
• Scrie o scurtă analiză post-incident după fiecare utilizare reală sau exercițiu și ajustează configurarea pe baza concluziilor.
• Documentează cine poate recupera credențialele și cum, deoarece redundanța fără un proces de recuperare nu este cu adevărat redundanță.

Un design de acces de urgență care nu a fost niciodată testat în condiții simulate de defecțiune nu este o măsură de protecție — este o presupunere.

Surse: Microsoft Learn — conturi de acces de urgență, NIST SP 800-53 Rev. 5.