MFA認證轟炸（MFA Bombing）是針對多因素認證（MFA）系統的一種社會工程攻擊手法，主要通過不斷向受害者發送認證請求來疲勞轟炸，使其在不耐煩或不知情的情況下誤授權攻擊者訪問其帳戶或系統。這種攻擊也被稱為 MFA Fatigue Attack 或 Push Bombing。
MFA認證轟炸的運作方式
- 攻擊者獲得基本憑證：攻擊者通常通過釣魚、資料外洩、社交工程或暴力破解等方式獲得受害者的帳戶名和密碼。
- 觸發MFA請求：攻擊者利用正確的憑證發起登入請求，這會觸發受害者的MFA認證通知（如推送通知、一鍵批准或簡訊驗證碼）。
- 不斷轟炸請求：攻擊者多次重複發送認證請求，讓受害者手機或設備連續收到多次MFA通知，導致疲勞或煩躁。
- 利用心理弱點：
受害者因頻繁干擾可能會出現以下行為：
- 誤以為是系統問題：認為點擊「批准」可以停止通知。
- 不耐煩或疲勞：隨意點擊接受，導致攻擊者登入成功。
1. Cisco Duo 防止 MFA Fatigue 的功能
自適應認證（Adaptive Authentication）
- Duo 的風險感知功能可以檢測異常的登入行為，並根據用戶的地理位置、設備信任狀態和行為模式評估風險。
- 如果系統檢測到潛在的威脅，如短時間內多次重複的 MFA 請求，則可以自動封鎖這些請求或增加驗證步驟。
通知頻率限制
- Duo 提供 推送通知頻率限制，防止用戶在短時間內接收到大量的 MFA 請求，這樣可以減少用戶被疲勞轟炸的可能性。
用戶確認加強
- Duo 支持配置推送通知中的細節，包括顯示嘗試登入的 IP 地址、地理位置和應用名稱。用戶可以根據這些信息判斷請求是否合法。
- 管理員可以要求用戶在批准推送通知時執行額外的操作（例如，輸入 PIN 碼）。
阻止未知裝置或位置的請求
- Duo 支持 設備信任政策 和 地理位置封鎖：
- 僅允許信任設備進行 MFA。
- 限制來自高風險國家或未知位置的登入請求。
強化審計與警報
- Duo 提供詳細的審計日誌和即時警報，幫助系統管理員快速識別潛在的攻擊活動，例如不尋常的登入嘗試或重複的推送通知。
2. 配置建議以防範 MFA Fatigue Attacks
啟用推送通知頻率限制
- 配置 Duo 系統，使得每個用戶在一定時間內僅能接收到有限次的 MFA 推送通知。
- 預設超過此限制後，自動封鎖額外的請求。
要求更安全的 MFA 方法
- 推薦用戶使用更安全的 MFA 方法，如：
- 硬體安全金鑰（如 YubiKey）。
- TOTP（基於時間的一次性密碼）應用程序。
- 避免依賴純推送通知，因為這是攻擊者利用的主要點。
設置 IP 和地理位置限制
- 實施地理位置限制，阻止來自高風險或不受信任國家的登入請求。
- 僅允許來自已知信任網段的請求進行 MFA。
提高用戶資安意識
- Duo 提供教育材料與通知範例，幫助用戶了解如何識別合法的 MFA 請求。
- 告知用戶，若收到未發起的 MFA 請求，應立即拒絕並通知管理員。
啟用風險評估與自適應認證
- Duo 的自適應認證功能可以根據行為和上下文自動調整安全措施，例如：
- 如果檢測到來自高風險設備的重複請求，可以觸發額外的驗證步驟。
