Microsoft เตรียมบังคับใช้ MFA สำหรับการจัดการทรัพยากรบน Azure ในเดือนตุลาคมนี้

 

ตั้งแต่เดือนตุลาคมเป็นต้นไป Microsoft จะบังคับใช้ Multi-Factor Authentication (MFA) สำหรับการดำเนินการจัดการทรัพยากรบน Azure ทั้งหมด เพื่อปกป้องผู้ใช้ Azure จากความพยายามในการเข้าถึงที่ไม่ได้รับอนุญาต

การเปลี่ยนแปลงดังกล่าวเป็นส่วนหนึ่งของโครงการ Secure Future Initiative (SFI) ของบริษัท ซึ่งจะถูกนำมาปรับใช้กับ tenant ทั่วโลกแบบค่อย ๆ ปรับเปลี่ยน โดยกำหนดให้ผู้ใช้ต้องเปิดใช้งาน MFA บน Azure CLI, PowerShell, SDKs และ APIs เพื่อให้แน่ใจว่าบัญชีของตนได้รับการปกป้องจากการโจมตี

เพื่อหลีกเลี่ยงปัญหาความเข้ากันได้ Microsoft ยังแนะนำให้ผู้ใช้อัปเกรด Azure CLI เป็นเวอร์ชัน 2.76 หรือใหม่กว่า และ Azure PowerShell เป็นเวอร์ชัน 14.3 หรือใหม่กว่า

ผู้ดูแลระบบระดับ Global ที่ต้องการเวลาเพิ่มเติมในการปรับตัวเพื่อให้สอดคล้องตามนโยบายดังกล่าว สามารถยื่นเรื่องขอเลื่อนวันบังคับใช้ออกไปได้จนถึงเดือนกรกฎาคม 2026

Microsoft ได้ระบุบนเว็บไซต์สนับสนุนว่า “ตั้งแต่วันที่ 1 ตุลาคม 2025 เป็นต้นไป การบังคับใช้ MFA จะเริ่มขึ้นแบบค่อย ๆ ปรับเปลี่ยนสำหรับบัญชีที่เข้าสู่ระบบ Azure CLI, Azure PowerShell, แอปพลิเคชัน Azure บนมือถือ, เครื่องมือ IaC (Infrastructure as Code) และ REST API endpoints เพื่อดำเนินการ Create, Update หรือ Delete ข้อมูลใด ๆ ก็ตาม”

นอกจากนี้ Microsoft ยังระบุเพิ่มเติมผ่าน Microsoft 365 Message Center ว่า "การบังคับใช้ดังกล่าวมีผลกับ tenants ของ Azure ทั้งหมดบน public cloud และผู้ใช้ทุกคน รวมถึงระบบอัตโนมัติ และสคริปต์ที่ใช้ user identities (แทนที่จะเป็น Application ID)”

เมื่อหนึ่งปีก่อน ในเดือนสิงหาคม 2024 Microsoft ได้เคยแจ้งเตือนผู้ดูแลระบบระดับ Global ของ Entra ให้เปิดใช้งาน MFA สำหรับ tenant ของตนภายในวันที่ 15 ตุลาคม 2024 เพื่อให้แน่ใจว่าผู้ใช้จะไม่สูญเสียสิทธิ์ในการเข้าถึง admin portals

ผู้ดูแลระบบสามารถตรวจสอบได้ว่าใครลงทะเบียนใช้งาน MFA แล้วบ้าง โดยใช้ authentication methods registration report หรือใช้สคริปต์ PowerShell เพื่อดูรายงานสรุปอย่างรวดเร็วของผู้ใช้ทั้งหมดในระบบ

นโยบายดังกล่าวยังเป็นผลสืบเนื่องมาจากการประกาศเมื่อเดือนพฤษภาคม 2024 ที่ระบุว่าจะบังคับใช้ MFA กับผู้ใช้ทุกคนที่เข้าสู่ระบบ Azure เพื่อจัดการทรัพยากร และการประกาศเมื่อเดือนพฤศจิกายนเกี่ยวกับการเริ่มใช้นโยบาย Conditional Access ที่กำหนดให้ต้องใช้ MFA สำหรับผู้ดูแลระบบทุกคนที่เข้าสู่ระบบ admin portals ของ Microsoft, สำหรับผู้ใช้บนแอปพลิเคชันคลาวด์ทั้งหมด และสำหรับการเข้าสู่ระบบที่มีความเสี่ยงสูง

จากการศึกษาของ Microsoft พบว่า 99.99% ของบัญชีที่เปิดใช้งาน MFA สามารถป้องกันความพยายามในการโจมตีระบบได้ และ MFA ยังช่วยลดความเสี่ยงในการถูกโจมตีบัญชีลงได้ถึง 98.56% แม้ว่าผู้โจมตีจะใช้ข้อมูล credentials ที่ขโมยมาเพื่อพยายามเข้าสู่ระบบแล้วก็ตาม

นอกจากนี้ GitHub ที่เป็นบริษัทในเครือของ Microsoft ก็ได้เริ่มบังคับใช้ Two-factor authentication (2FA) สำหรับนักพัฒนาที่ใช้งานอยู่ทั้งหมดตั้งแต่เดือนมกราคม 2024 เป็นต้นมา ซึ่งเป็นส่วนหนึ่งของความพยายามเดียวกันในการส่งเสริมการใช้งาน MFA ให้แพร่หลายมากขึ้น

ที่มา : bleepingcomputer