Een van de meest voorkomende soorten cyberaanvallen is waarbij cybercriminelen de internetgegevens van het slachtoffer proberen te achterhalen. Met behulp van phishing-aanvallen via e-mail en steeds overtuigender wordende social engineering-technieken, worden slachtoffers misleid om hun gebruikers-ID en wachtwoord op te geven.

Volgens rapport Global State of Cybersecurity in Small and Medium-Sized Businesses 2019 heeft meer dan de helft (57%) van het MKB dat jaar te maken gehad met phishing / social engineering-aanvallen en heeft bijna een derde (30%) ervaring met diefstal.

Wat online inloggegevens zo aantrekkelijk maakt voor cybercriminelen, is de toegang die deze inloggegevens bieden tot online bankieren, Office 365, Azure-apps via Azure Active Directory, financiële applicaties, klantgegevens en meer. Toegang krijgen tot dit soort applicaties en gegevens kan nadelig zijn voor het MKB en kan er zelfs voor zorgen dat ze hun deuren sluiten.

Hoe kun je als MSP je klanten helpen beschermen tegen dit soort cyberaanvallen?  Een van de gemakkelijkste oplossingen is Multi-Factor Authentication (MFA).

We kijken naar de basisprincipes van MFA en om vervolgens te bespreken hoe jij deze beveiligingscontrole kan opnemen in je serviceaanbod.

Deze factoren zijn onder meer:

• Sms-berichten naar de smartphone van de gebruiker

• Codes naar een alternatief e-mailadres verzenden

• Aanvullende beveiligingsvragen stellen

• Secundaire authenticatie gebruiken voor vertrouwde bronnen van derden

• Biometrie (zoals vingerafdruk of retina-scan)

• Gezichtsherkenning

• Beveiliging hardware token apparaat

• Beveiligingstoken-app op de smartphone van een gebruiker

• Certificaten

Afhankelijk van de gebruikte MFA-oplossing kan hier o.a. details over wanneer en van waar het authenticatieverzoek kan worden gedaan, aan worden toegevoegd. Dit is bijvoorbeeld gebaseerd op locatie, dag / tijd, IP-adres, MAC-adres van het apparaat, 

Al deze factoren - in een of andere vorm - vallen onder een van de drie algemeen aanvaarde authenticatiefactoren:

We hebben het over meervoudige authenticatie. De focus hierbij is dat meerdere factoren worden gebruikt bij je klanten. Waarom? Omdat elk van deze factoren individueel gemakkelijk gehackt of vervalst kunnen worden. Simkaarten van mobiele apparaten kunnen worden omgewisseld voor een door een aanvaller bestuurd apparaat, wachtwoorden kunnen worden gekraakt en zelfs vingerafdrukken blijken spoof-baar te zijn met behulp van 3D-printen.

Met MFA authentiseert de gebruiker door een aantal factoren op te geven: hoeveel hangt af van het vereiste beveiligingsniveau, de rol van het individu binnen de organisatie etc. Over het algemeen geeft de gebruiker eerst zijn gebruikelijke gebruikersnaam en wachtwoord op. Eenmaal verstrekt, krijgen ze vervolgens een of meer aanvullende uitdagingen te zien, waarbij aan de hierboven genoemde geïmplementeerde factoren moet worden voldaan.

Er zijn tientallen en tientallen softwareleveranciers die MFA aanbieden. In veel gevallen wordt het aangeboden als onderdeel van een grotere identiteits- en toegangsbeheeroplossing, die misschien te complex is om simpelweg MFA te implementeren voor je MKB-klanten. Microsoft biedt Azure Multi-Factor Authentication om de toegang tot Azure Active Directory, Office 365, op Azure gebaseerde VM's, applicaties en gegevens te beveiligen, en om een ​​vertrouwde autoriteit te zijn voor cloud toepassingen en -platforms van derden. Deze service is eenvoudig genoeg om af te stemmen op de behoeften van een MKB. En zoals gezegd, bieden meerdere leveranciers MFA-oplossingen aan die eenvoudig en kosteneffectief genoeg zijn voor een MSP.

Jij en jouw klanten lopen evenveel risico op cyberaanvallen, datalekken, ransomware-aanvallen en meer. Het is absoluut noodzakelijk dat elke vorm van externe toegang tot applicaties, platforms en gegevens wordt beschermd via MFA. Zo zorg je ervoor dat cybercriminelen geen gebruik kunnen maken van verkregen inloggegevens om gegevens te stelen, e-mails met malware te verzenden, toegang te krijgen tot bedrijfsgegevens of fraude te plegen. Mocht een aanval erin slagen een gebruiker te misleiden om zijn ID en wachtwoord op te geven, dan beschikt de cybercrimineel niet over de aanvullende authenticatiefactoren om iets te doen met deze inloggegevens. In wezen zijn de inloggegevens waardeloos voor de cybercrimineel.

Het is belangrijk op te merken dat MFA niet alleen bedoeld is voor geselecteerde gebruikers bij een klant; het is noodzakelijk dat elke afzonderlijke gebruiker is ingeschreven en verplicht is om MFA te gebruiken om de organisatie te beveiligen.

Er zijn een paar manieren om dit te doen. De eerste is om eenvoudig de kosten van het opzetten van MFA te absorberen en deze gratis aan te bieden. Microsoft Azure MFA heeft een gratis versie, een zeer rendabele optie. Als je Managed Office 365-services of Managed Security-services aanbiedt, wordt aangeraden MFA te bundelen als onderdeel van die services. Voor grotere MKB-klanten die een MFA-integratie met single-sign-on toegang tot meerdere cloudapplicaties nodig hebben, kun je kijken naar leveranciers met meerdere integraties.