2FA/MFA voor Windows-login

Waarom 2FA/MFA voor Windows aanmelden?

Gestolen of zwakke machinewachtwoorden zijn een veelvoorkomende aanvalsvector. In het Microsoft Digital Defense Report 2024 staat dat 99% van de cyberaanvallen op identiteit gebaseerd is op wachtwoorden. De vooruitgang in op aanmelding gebaseerde aanvallen betekent dat wanneer het aankomt op het veilig houden van uw systemen, het verhogen van de complexiteit van machinewachtwoorden niet voldoende is. Uitsluitend vertrouwen op wachtwoordgebaseerde verificatie, vooral op ondernemingsniveau, maakt het netwerk, de gegevens en de IT-infrastructuur van de organisatie kwetsbaar, wat kan leiden tot zijwaartse bewegingen, escalatie van bevoegdheden, exfiltratie van gegevens, ransomware-aanvallen en andere gevolgen voor de beveiliging.

Twee factor verificatie (2FA), een subset van multi-factor verificatie (MFA), is een eenvoudig maar robuust mechanisme om aanvallen op basis van aanmeldingsgegevens te dwarsbomen. Door Windows twee factor verificatie en multi-factor verificatie in te schakelen voor werkstations en servers, kunnen organisaties een aanzienlijk percentage cyberaanvallen voorkomen.

Beveilig uw aanmeldingen met een robuuste Windows twee factor verificatiestoepassingen

ManageEngine ADSelfService Plus biedt de ideale Windows login 2FA-toepassing die wordt ondersteund door robuuste verificatiemethoden, toegangscontroles op basis van risico's en offline bescherming. De uitgebreide Windows MFA-mogelijkheden versterken alle Windows eindpunten, inclusief werkstations, servers, RDP en UAC.

Hoe werkt Windows login MFA?

1. Wanneer 2FA voor Windows login is geconfigureerd, moeten gebruikers die inloggen op hun Windows machines eerst hun identiteit verifiëren met behulp van hun AD-domeinreferenties.
2. Vervolgens voltooien ze het Windows-login MFA-proces door verificatie met aanvullende methoden zoals biometrie, TOTP of sms-verificatie. Afhankelijk van de configuratie moeten gebruikers hun identiteit verifiëren via een of meer verificatiemethoden.
3. Tenslotte worden gebruikers aangemeld op hun Windows-machines zodra ze hun identiteit hebben geverifieerd met behulp van de geconfigureerde verificatiemethoden.

De toepassing ondersteunt zowel Windows lokaal als RDP MFA en biedt daarmee een verbeterde inlogbeveiliging.

Welke MFA-methoden worden ondersteund voor Windows-logins?

ADSelfService Plus ondersteunt een uitgebreide lijst van kennis-, bezit- en inlogverificatiemethoden waarmee beheerders de Windows-aanmeldings-MFA en 2FA-stromen kunnen ontwerpen die geschikt zijn voor de beoogde gebruikers. Hier is de volledige lijst van ondersteunde authenticators:

Verken alle 20 ondersteunde verificatiefactoren voor Windows-loginbeveiliging.

Hoe stel ik MFA voor Windows-logins in via ADSelfService Plus?

1. Meld u aan bij de ADSelfService Plus-webconsole met beheerdersrechten.
2. Navigeer naar Configuratie > Self-Service > Multi-factor Verificatie > MFA voor eindpunten.
3. Selecteer een beleid in het vervolgkeuzemenu Kies het beleid. Dit bepaalt welke verificatiemethoden zijn ingeschakeld voor elke set gebruikers.
4. Klik in het gedeelte MFA voor Machine Login op het selectievakje Enable __ factor verificatie, selecteer het aantal verificatiemethoden en geef in het vervolgkeuzemenu aan welke u wilt gebruiken.
5. Klik op Instellingen opslaan.

Effectieve integratie met belangrijke OS-versies voor Windows MFA

ADSelfService Plus ondersteunt het inschakelen van MFA voor Windows-logins voor de volgende OS-versies:

Naast Windows OS ondersteunt de toepassing ook 2FA voor macOS en Linux OS.

Windows 2FA op maat voor elke organisatie

Beheerders kunnen de Windows login MFA-functie van ADSelfService Plus aanpassen aan de specifieke beveiligings-, beleids- en nalevingsvereisten van hun organisatie.

• Granulaire verificatiecontroles: Specifieke authenticators inschakelen voor gebruikers in bepaalde AD-domeinen, groepen en OE's. Maak granulaire Windows login 2FA stromen die passen bij de functie van een gebruiker, het apparaatbeleid en reeds bestaande authenticators.
• Echte MFA: Configureer verschillende aantallen verificatieniveaus, met een maximum van drie, voor gebruikers op basis van hun AD-domeinen, OE's en groepen. Versterk of versoepel het verificatieproces op basis van de functierol en privileges van een gebruiker.
• Flexibel inschrijvingsbeleid: Verplichte verificatiefactoren afdwingen voor een betere beveiliging of gebruikers hun gewenste verificatiefactoren laten kiezen uit een vooraf geconfigureerde lijst.
• Vrijstelling voor vertrouwde apparaten: Geselecteerde gebruikers toestaan om MFA over te slaan voor Windows-aanmeldingen wanneer ze een vertrouwd apparaat gebruiken. Een vertrouwd apparaat verwijst naar een apparaat dat eerder is geverifieerd via het MFA-proces. Dit vertrouwen blijft geldig voor een bepaalde periode, waarna verificatie opnieuw nodig is.

MFA voor Windows RDP

RDP-toegangspogingen zijn het meest kwetsbaar, omdat externe verbindingen naar het organisatienetwerk misbruikbare beveiligingslekken kunnen hebben. Door MFA voor RDP af te dwingen, zorgt ADSelfService Plus ervoor dat externe toegang wordt beveiligd door geavanceerde verificatiemethoden. Bovendien is het Windows RDP 2FA-proces van de toepassing tweeledig, waardoor zowel de verificatie van de RDP-server als de verificatieprompts van de RDP-client worden beschermd tegen manipulator-in-the-middle, phishing en op referenties gebaseerde aanvallen.

MFA voor Windows UAC

ADSelfService Plus integreert ook MFA voor Windows UAC-verhogingsprompts. Elke keer dat een gebruiker of proces een administratieve actie probeert uit te voeren, is een tweede verificatiefactor vereist. Dit voorkomt escalatie van bevoegdheden door kwaadwillende insiders of malware die zich voordoet als vertrouwde applicaties.

Windows server MFA

Het afdwingen van Windows server MFA is cruciaal voor het beschermen van kritieke servers tegen ongeautoriseerde toegang. Windows-servers slaan vaak gevoelige gegevens op en draaien essentiële services, waardoor ze een goudmijn vormen voor bedreigingsactoren. Door Windows server 2FA te implementeren met verificatiemethoden zoals biometrie en eenmalige wachtwoorden, kunnen beheerders ervoor zorgen dat zelfs als de referenties gecompromitteerd zijn, aanvallers geen toegang kunnen krijgen tot hun Windows Server-instanties. Deze functie is compatibel met Windows Server 2008 en hoger.

Machinegerichte Windows 2FA

Bij machinegebaseerde 2FA wordt de Windows login 2FA geactiveerd op basis van de beleidsinstellingen van het apparaat in plaats van de instellingen van de individuele gebruikersaccount. Als dit is ingeschakeld, moeten alle gebruikers die inloggen op een specifieke machine hun identiteit verifiëren met 2FA. Beheerders kunnen verificatiemethoden configureren voor machinegebaseerde 2FA voor Windows, waarbij ze kunnen kiezen uit een reeks verificatiemiddelen.

2FA voor offline logins bij Windows

ADSelfService Plus ondersteunt offline 2FA voor Windows-machines en zorgt voor veilige aanmeldingen, zelfs als gebruikers op afstand zijn, offline zijn of geen verbinding kunnen maken met de productserver. Beheerders kunnen meerdere verificatiemethoden configureren voor beveiligde aanmeldingen. Om offline toegang mogelijk te maken, moeten gebruikers zich online aanmelden voor de door hen gekozen verificatiefactoren. Deze offline Windows 2FA-toepassing verbetert de beveiliging voor externe werknemers en zorgt voor continue bescherming, zelfs zonder internetverbinding.

Lokale gebruiker MFA

ADSelfService Plus breidt MFA-bescherming uit naar lokale gebruikersaccounts op Windows-machines. Dit zorgt ervoor dat zelfs accounts die niet verbonden zijn met domeincontrollers beveiligd zijn tegen ongeautoriseerde toegang. Door MFA af te dwingen voor lokale aanmeldingen kunnen organisaties aanvallen op zelfstandige systemen voorkomen en de beveiliging voor alle gebruikers verbeteren, ongeacht de netwerkconnectiviteit.

Voordelen van het implementeren van Windows multi-factor verificatie

• Eenvoudige implementatie: Het intuïtieve beheerderswebportaal vereenvoudigt de configuratie van Windows MFA en biedt een geautomatiseerde inzet van MFA-agents op basis van planningen op eindgebruikersapparaten. De MFA-agent wordt automatisch geïnstalleerd op apparaten die nieuw zijn in het domein op een ingesteld tijdstip.
• Uitgebreide configuratie: MFA strekt zich uit tot macOS- en Linux-aanmeldingen, VPN's, Outlook op het web en belangrijke bedrijfsapplicaties, en zorgt ervoor dat het aanvalsoppervlak van een onderneming zo klein mogelijk is.
• Verzekerde gebruikersregistratie: Bulkregistratie en verplichte registratieopties zijn beschikbaar om ervoor te zorgen dat de Windows-machines en domeinaccounts van gebruikers beveiligd zijn met 2FA.
• Real-time rapportage: De ingebouwde rapportagefunctie biedt logboeken die geschikt zijn voor audits en die elke verificatiepoging op eindpunten bijhouden. Deze realtime inzichten helpen beheerders om toegangspatronen te monitoren, afwijkingen te detecteren en naleving van het beveiligingsbeleid te garanderen.
• Naleving van de regelgeving: De 2FA-functie helpt organisaties te voldoen aan industriële mandaten door sterke, identiteitsgebaseerde toegangscontroles af te dwingen. Het sluit aan bij standaarden zoals AVG, PCI DSS, HIPAA en NIST CSF door het risico op ongeautoriseerde toegang tot gevoelige systemen en gegevens te minimaliseren.