Configurando Autenticação Multifator com Duo

Visão Geral

Implante a autenticação multifator (MFA) Cisco Duo em aplicações corporativas, VPN, RDP e pontos de acesso SSH. Esta habilidade abrange métodos de integração Duo, políticas de autenticação adaptativa, avaliação de confiança de dispositivos e implantação de MFA resistente a phishing alinhada aos requisitos NIST 800-63B AAL2/AAL3.

Quando Usar

• Ao implantar ou configurar recursos de autenticação multifator com Duo em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de gerenciamento de acesso à identidade
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Configurar MFA Duo para VPN, RDP, SSH e aplicações web
• Implementar políticas de acesso adaptativo com base no contexto do usuário, dispositivo e rede
• Implantar autenticação resistente a phishing (Duo Verified Push, WebAuthn)
• Configurar políticas de saúde do dispositivo (endpoints confiáveis, aplicação de versão do SO)
• Configurar monitoramento e relatórios do Painel de Administração Duo
• Implementar procedimentos de bypass de MFA e acesso de emergência

Conceitos Chave

Métodos de Autenticação Duo (por força de segurança)

1. Chaves de Segurança (WebAuthn/FIDO2): Resistente a phishing, capaz de AAL3
2. Duo Verified Push: Requer entrada de código, resistente a ataques de fadiga de MFA
3. Duo Push: Notificação push para o aplicativo Duo Mobile
4. TOTP (Senha Duo Mobile): Senha de uso único baseada em tempo
5. Tokens de Hardware: OTP de token físico
6. SMS/Chamada Telefônica: Menos seguro, use apenas como fallback

Arquitetura de Integração Duo

• Duo Authentication Proxy: Proxy on-premises para integração RADIUS/LDAP
• Duo Web SDK: Incorpora MFA Duo em aplicações web
• Duo OIDC/SAML: Integração SSO para aplicações em nuvem
• Duo para RDP: MFA de Logon do Windows
• Duo Unix: MFA baseado em PAM para SSH

Políticas de Acesso Adaptativo

• Redes Confiáveis: Reduz o atrito de MFA para redes corporativas
• Dispositivos Lembrados: Pula MFA para dispositivos confiáveis (duração configurável)
• Saúde do Dispositivo: Bloqueia ou exige MFA com base no nível de patch do SO, criptografia, firewall
• Autenticação Baseada em Risco: Aumenta MFA para padrões de login anômalos

Fluxo de Trabalho

Etapa 1: Configuração do Duo Authentication Proxy

1. Implante o Duo Authentication Proxy em um servidor Windows/Linux
2. Configure a autenticação primária (AD/LDAP ou RADIUS)
3. Configure as credenciais da API Duo (Chave de Integração, Chave Secreta, Nome do Host da API)
4. Defina o modo de falha (safe=negar se Duo indisponível, secure=permitir)
5. Teste a conectividade do proxy com a nuvem Duo e o AD

Etapa 2: Integração de MFA de VPN

1. Configure o concentrador VPN para autenticação RADIUS
2. Aponte o RADIUS para o Duo Authentication Proxy
3. Configure o proxy Duo com a seção [radius_server_auto]
4. Teste o login da VPN com Duo Push
5. Implante para todos os usuários de VPN com período de registro

Etapa 3: MFA de Logon do Windows/RDP

1. Instale o Duo Authentication for Windows Logon nos servidores de destino
2. Configure a aplicação Duo no Painel de Administração
3. Defina opções de acesso offline (permite N logins offline)
4. Configure o bypass para contas de serviço
5. Teste o login RDP com MFA Duo

Etapa 4: Configuração de Política Adaptativa

1. Crie grupos de usuários (Padrão, Privilegiado, Contratados)
2. Configure políticas de autenticação por grupo:
   • Padrão: Duo Push permitido, dispositivo lembrado por 7 dias
   • Privilegiado: Verified Push exigido, sem dispositivo lembrado
   • Contratados: WebAuthn exigido, sem dispositivo lembrado
3. Configure políticas de saúde do dispositivo:
   • Exigir disco criptografado
   • Bloquear versões de SO desatualizadas
   • Exigir firewall habilitado
4. Defina exceções de rede confiável para IPs corporativos

Etapa 5: Implantação de MFA Resistente a Phishing

1. Habilite o Verified Push (requer a entrada do código de 3 dígitos da tela de login)
2. Registre chaves de segurança WebAuthn/FIDO2 para usuários privilegiados
3. Desabilite SMS e chamadas telefônicas para grupos de alto risco
4. Configure a Seleção de Fator Baseada em Risco do Duo
5. Monitore padrões de ataque de fadiga de MFA

Etapa 6: Monitoramento e Resposta

1. Configure alertas no Painel de Administração Duo
2. Configure o encaminhamento de logs de autenticação para SIEM
3. Monitore: padrões de negação de MFA, uso de bypass, novos registros de dispositivos
4. Crie um playbook de resposta a incidentes para comprometimento de MFA
5. Revisão regular das políticas de bypass e exceção

…