身份与 MFA 安全清单 — 锁定每一次登录

目标

验证每条登录路径都能抵御凭据窃取与会话滥用——每项检查都有具体、可复核的结果，而不是泛泛的”启用 MFA”提醒。

何时使用

在以下情况运行本清单：审查账户的安全态势时、入职新用户或服务账户时、疑似钓鱼或凭据暴露之后，或作为计划性的身份审查（例如每季度一次）。

前置条件

• 身份提供商（IdP）与组织身份平台的管理员访问权限。
• 账户清单，包括服务/特权账户。
• 文档化的登录日志 / 审计导出能力。

分步检查

1. 已启用 MFA

• 每个人类账户至少登记了一种 MFA 方法——包括旧账户与极少使用的账户。
• 服务账户与紧急访问（break-glass）账户有文档化的例外与补偿性控制；例外有时限且经过审查。
• MFA 由策略强制，而非留给用户自行选择（不允许”可选”提示）。

2. 抗钓鱼 MFA

• 特权与敏感账户使用 FIDO2/安全密钥或通行密钥，而非短信或一次性验证码。
• 无法使用抗钓鱼方法时，风险已记录在案，并为该账户附加补偿性监控。
• 验证钓鱼攻击无法捕获认证因子（一次性验证码与短信可被中继；密钥不能）。

3. 密码卫生

• 密码足够长且每个账户唯一——他处泄露不得导致此处被入侵。
• 个人与工作账户之间不共用密码。
• 存储的凭据使用密码管理器；敏感账户不建议仅用浏览器存储。

4. 恢复方法

• 恢复手机号/邮箱已验证且属于账户所有者。
• 变更恢复路径需要第二因素或管理员批准。
• 旧域名上没有可能被攻击者认领的孤儿恢复邮箱/手机号。

5. 会话安全

• 会话在定义的闲置时间后过期。
• 新设备登录需要 MFA，特权账户还需升级验证（step-up verification）。
• 活动会话可审计，并可集中撤销。

6. OAuth / 第三方访问

• 审查已授权的 OAuth 应用，撤销任何未使用或不认识的应用。
• 每项授权的范围都是所需最小值——不允许笼统的”读/写一切”授权。
• 没有第三方应用在无审查记录的情况下持有委派的管理员权限。

7. 特权账户

• 管理员角色限于已命名并经审查的用户集合。
• 特权账户排除在自助密码重置与旁路式恢复之外。
• 特权登录受到监控，并对异常位置、设备或时间告警。

8. 登录监控

• 审查登录日志中的：不可能旅行、重复失败的登录、特权账户的新设备登录，以及正常时段之外的登录。
• 异常触发文档化的响应步骤（验证用户、撤销会话、重置凭据）。
• 作为审查的一部分，审计最近 30 天的登录活动。

9. 凭据失陷响应

• 疑似失陷时：撤销会话、强制重置密码、轮换该账户持有的任何令牌/API 密钥，并检查攻击者是否添加了新的 MFA 方法或恢复变更。
• 检查关联的邮件规则与转发（攻击者常添加隐蔽转发）。
• 记录事件；若疑似数据访问，升级为调查。

什么表明存在风险

特权账户仅用短信 MFA、长期或永不过期的会话、宽泛的 OAuth 授权、超出命名集合的管理员角色、旧账户缺失 MFA，以及任何涉及特权身份的登录异常。

什么是正常情况

敏感账户使用抗钓鱼 MFA、配合管理器的唯一长密码、已验证的恢复路径、过期的会话、最小化的 OAuth 授权，以及无意外特权登录的登录日志。

工具

• 密码安全检查器 — 在不传输密码的前提下评估凭据强度。
• 邮件头分析器 — 验证 MFA 登记与凭据邮件确实来自服务提供商。

证据

按检查项记录：已审查的账户清单、MFA 登记状态、恢复路径、活动 OAuth 授权、会话策略值，以及登录日志审查日期——每一项都附审查时间戳。

升级

在以下情况立即升级：账户出现主动接管迹象（新增 MFA 方法、恢复方式被更改、添加了邮件转发、来自未知设备的特权登录），或特权凭据可能被钓鱼。将其视为事件，而非清理任务。

缓解

• 撤销会话与令牌；重置凭据并轮换 API 密钥。
• 移除攻击者添加的 MFA 与恢复条目；恢复邮件规则。
• 对受影响账户及相关账户应用补偿性监控。
• 若钓鱼是入口，执行钓鱼遏制步骤，并审查用户环境是如何被访问的。

验证

• 确认用户仍可凭自己的（新）MFA 登录，且攻击者添加的方法已消失。
• 确认不存在剩余的宽泛 OAuth 授权或邮件转发规则。
• 24 小时后重新检查受影响账户的登录日志。

发起一项新调查，按账户跟踪发现、证据与修复。

参考资料

• CISA — 实施抗钓鱼 MFA（Implementing Phishing-Resistant MFA）
• NCSC — 设置双重认证（Setting up two-factor authentication）
• FIDO Alliance — FIDO2
• CISA — 守护我们的世界（Secure Our World）