איך מגינים על חשבונות Google Workspace באמצעות אתגרי אבטחה

המשתמש בוחר איך לאמת את הזהות שלו

‫Google משתמשת באפליקציה שמותקנת בטלפון של המשתמש כדי לאמת את הזהות

‫Google שולחת הודעת טקסט עם קוד אימות

‫Google מתקשרת לטלפון של המשתמש ומספקת קוד אימות

אם הוספתם את האפשרות להשתמש במזהה העובד כאמצעי לאימות הזהות, המשתמשים יכולים להשתמש במזהה הזה כדי לאשר את הזהות שלהם.

המשתמש יכול להקליד את כתובת האימייל לשחזור כאתגר אימות זהות לכניסה.

לרוב המשתמשים שמוצג להם אתגר מסוג "צריך לאמת את הזהות שלך" כדי לבצע פעולה רגישה, מוצג חלון עם הכותרת פעולה רגישה נחסמה. המשתמש מקבל הנחיה לנסות שוב ממכשיר שהוא משתמש בו בתדירות גבוהה (למשל, מהטלפון או מהמחשב הנייד שלו) או מהמיקום שבו הוא נכנס לחשבון בדרך כלל.

יש משתמשים שיש להם מכשירים או מפתחות אבטחה שנוספו לאחרונה לחשבון שלהם, ולכן הם לא יכולים לאמת את הזהות שלהם באופן מיידי בתגובה לאתגר אבטחה. למשתמשים האלה מוצג חלון עם הכותרת אי אפשר להשלים את הפעולה הזו כרגע. המשתמשים האלה יכולים לאמת את הזהות שלהם אחרי שהמכשיר, מספר הטלפון או מפתח האבטחה שויכו לחשבון שלהם במשך 7 ימים לפחות.

אלו כמה דוגמאות לפעולות רגישות:

• השבתת האימות הדו-שלבי
• מתן אישור לאפליקציה לגשת לנתונים בחשבון Google
• שינוי כתובת האימייל או מספר הטלפון לשחזור החשבון
• הורדת נתוני החשבון
• שינוי השם בחשבון

הפעלת אתגרי אימות זהות בכניסה לחשבון באמצעות SSO

אם בארגון שלכם משתמשים בספקי זהויות (IdP) של צד שלישי כדי לאמת משתמשים בכניסה יחידה (SSO) באמצעות SAML, אתם יכולים להציג למשתמשים האלה אתגרי אימות זהות נוספים לכניסה שמבוססים על סיכון, ולהחיל עליהם אימות דו-שלבי (אם הוא מוגדר), אחרי שספק הזהויות מאמת את המשתמש במהלך הכניסה.

הגדרת האימות שמוגדרת כברירת מחדל אחרי כניסה יחידה (SSO) משתנה לפי סוג המשתמש ב-SSO:

• למשתמשים שנכנסים באמצעות פרופיל ה-SSO מדור קודם של הארגון, הגדרת ברירת המחדל היא לדלג על אתגרי אימות זהות נוספים בכניסה ועל אימות דו-שלבי.
• למשתמשים שנכנסים באמצעות פרופילי SSO אחרים, הגדרת ברירת המחדל היא הפעלת אתגרי אימות זהות נוספים בכניסה ואימות דו-שלבי.

כדי לשנות את הגדרות ברירת המחדל של אחד מסוגי המשתמשים, פועלים לפי השלבים שמפורטים בקטע הגדרת אימות לאחר כניסה יחידה (SSO) שבהמשך.

למשתמש מוצג אתגר אימות זהות בכניסה כשמזוהה כניסה חשודה לחשבון, למשל אם המשתמש לא פועל לפי דפוסי הכניסה שבהם הוא השתמש בעבר. אם למשתמש יש פעילות ברמת סיכון והוא מנסה לבצע פעולה רגישה, יוצג לו אתגר מסוג "צריך לאמת את הזהות שלך".

חשוב: Google מחליטה איזה סוג של אתגר אבטחה מתאים להצגה למשתמש על סמך מספר גורמים שקשורים לאבטחה ולנוחות השימוש. לדוגמה, יכול להיות שאתגר אימות הזהות בכניסה באמצעות מזהה העובד לא יוצג תמיד למשתמש ספציפי, גם אם הפעלתם אותו.

אימות דו-שלבי (2SV) הוא סוג של אתגר אימות זהות בכניסה. אדמינים יכולים לקבוע שהמשתמשים שלהם צריכים לעבור אתגר אימות זהות דו-שלבי כדי להיכנס לחשבון. כך, המשתמשים לא יקבלו אתגר אימות זהות אחר שמבוסס על רמת הסיכון.

אם לא הגדרתם אימות דו-שלבי למשתמשים שלכם, או אם משתמש מסוים לא הפעיל אימות דו-שלבי, Google תחליט איזה סוג של אתגר אימות זהות בכניסה יתאים למשתמש הזה. סוג האתגר המתאים מבוסס על גורמים רבים שקשורים לאבטחה ולנוחות השימוש. לדוגמה, יכול להיות שאתגר אימות הזהות בכניסה באמצעות מזהה העובד לא יוצג תמיד למשתמש ספציפי, גם אם הפעלתם אותו.

כן. פרטים נוספים זמינים במאמר בנושא הגדרה של מספר טלפון או כתובת אימייל לשחזור החשבון.

אימות דו-שלבי (2SV) הוא סוג של אתגר אימות זהות בכניסה. אם המשתמשים הפעילו אותו, לא יוצג להם אתגר אחר לאימות הזהות כדי להיכנס לחשבון. מאותה סיבה, כל אימות דו-שלבי מוצג בדוחות האדמין כאתגר אימות זהות בכניסה.

זה תלוי באופן שבו הגדרתם את ה-SSO בארגון:

• אם הגדרתם פרופיל SSO מדור קודם בארגון – כברירת מחדל, אתגרי אימות הזהות בכניסה לא מופעלים. עם זאת, אפשר להגדיר אימות אחרי כניסה יחידה כדי להפעיל אתגרי אימות זהות נוספים שמבוססים על רמת הסיכון ואימות דו-שלבי (2SV), אם הוא מוגדר.
• אם אתם משתמשים בפרופיל SSO אחר – כל אתגרי אימות הזהות הנוספים (כולל אימות דו-שלבי, אם הוא מוגדר) מופעלים באופן אוטומטי.

כן, כל המהדורות של Google Workspace כוללות שאלות אבטחה ואתגרי אימות זהות נוספים.

אנחנו קובעים אם הכניסה חשודה כשהמערכת שלנו לניתוח סיכונים מזהה ניסיון כניסה שחורג מהדפוס הרגיל של התנהגות המשתמש. לדוגמה, משתמש יכול לנסות להיכנס לחשבון ממיקום חריג או באופן שקשור להתנהלות פוגעת.

כן, יש סוגים שונים של אתגרי אימות זהות בכניסה. בהתאם למידע שזמין בחשבון של המשתמש, המערכת תציג לו את אחד מסוגי האתגרים, כמו בקשה להקליד את מזהה העובד או את כתובת האימייל לשחזור החשבון. אם למשתמש אין גישה לטלפון שלו, הוא יכול להשתמש בקודי גיבוי כדי להיכנס לחשבון. פרטים נוספים זמינים במאמר בנושא כניסה באמצעות קודי גיבוי.

המשתמש יכול לעדכן את פרטי השחזור דרך הגדרות החשבון.

אם המשתמש לא מקליד מספר טלפון לשחזור החשבון, המערכת תציג סוגים אחרים של אתגרי אימות זהות כדי להיכנס לחשבון, כמו הזנת כתובת האימייל לשחזור החשבון או שימוש במזהה העובד.

כן, אדמינים יכולים להשבית את אתגרי האבטחה מסוג "אימות זהות" או מסוג "צריך לאמת את הזהות שלך" למשך 10 דקות.

יש מצבים שבהם משתמש מורשה לא יכול לאמת את הזהות שלו. לדוגמה, אין קליטה בטלפון שלו ולכן אין לו אפשרות לקבל את קוד האימות. או, שהמשתמש לא זוכר או לא מוצא את מספר העובד שלו. במקרים כאלה, סופר-אדמינים יכולים להשבית את אתגרי האבטחה מסוג "אימות זהות" או מסוג "צריך לאמת את הזהות שלך" למשך 10 דקות כדי לאפשר למשתמש להיכנס לחשבון או להשלים את הפעולה הרגישה. חשוב להפעיל שיקול דעת כשמשביתים את אתגרי האבטחה, כי במהלך חלון הזמן של 10 דקות החשבון פחות מאובטח מפני פריצות.

לא, אי אפשר להשבית את התכונה הזו לכל הארגון. אפשר להשבית את אתגרי האבטחה באופן זמני רק ברמת המשתמש.

לא, רק אדמין יכול להשבית זמנית את אתגר אימות הזהות בכניסה או אתגרי האבטחה.

אדמינים יכולים לקבל שוב גישה לחשבון שלהם על ידי ביצוע ההוראות בדף הכניסה לאיפוס הסיסמה.

אתם אדמינים ב-Google Workspace ונתקלתם בבעיה בכניסה לחשבון האדמין? כך משחזרים גישה של אדמין לחשבון.

אם משתמש עם הרשאת סופר-אדמין לא מצליח לאמת את הזהות שלו, סופר-אדמין אחר (אם יש כזה) יכול להשבית באופן זמני את אתגר אימות הזהות בכניסה עבורו, כמו שמתואר בשלבים שלמעלה.

לחלופין, סופר-אדמינים יכולים לעקוף את אתגר אימות הזהות בכניסה על ידי איפוס הסיסמה שלהם.

הערה: האפשרות לאיפוס סיסמה אוטומטי לא זמינה לכל הסופר-אדמינים. מידע נוסף על שחזור חשבון אדמין זמין במאמר הוספת אפשרויות שחזור לחשבון האדמין.