V1.2.3 Authentication Architecture

Requirement:

Verify that the application uses a single vetted authentication mechanism that is known to be secure, can be extended to include strong authentication, and has sufficient logging and monitoring to detect account abuse or breaches.

Explanation:

Требование определяет необходимость использования единого надежного механизма аутентификации, который является безопасным, расширяемым для включения строгой аутентификации и иметь средства логирования и мониторинга для обнаружения нарушений в работе учетной записи.

1 Single Vetted Authentication Mechanism:

• Требование предполагает использование в приложении единого, хорошо отлаженного метода аутентификации
• Надежный механизм аутентификации - это механизм, прошедший тщательное тестирование, оценку и проверку на соответствие лучшим практикам и стандартам безопасности.

2 Known to be Secure:

• Выбранный механизм аутентификации следует рассматривать с точки зрения его безопасности, т.е. он должен быть устойчив к распространенным угрозам, связанных с аутентификацией.

3 Extensibility for Strong Authentication:

• Выбранный механизм должен быть расширяемым, то есть при необходимости в него могут быть легко встроены методы строгой аутентификации.
• Для усиления безопасности используются многофакторная аутентификация (MFA), биометрия или аппаратные токены.

4 Logging and Monitoring:

• Механизм аутентификации должен иметь средства логирования и мониторинга для обнаружения и предотвращения подозрительных действий, таких как злоупотребление учетной записью или нарушение безопасности.

---

• Security: Использование единого проверенного механизма аутентификации снижает сложность управления несколькими методами аутентификации, упрощая их обслуживание и повышая безопасность.

• Consistency: Единый подход к аутентификации обеспечивает последовательное применение средств контроля безопасности, таких как политики паролей и правила блокировки учетных записей.

• Strong Authentication: Возможность расширения механизма строгой аутентификации позволяет повысить уровень безопасности при работе с конфиденциальными данными или учетными записями пользователей.

• Monitoring: Надежные средства логирования и мониторинга необходимы для обнаружения и предотвращения попыток несанкционированного доступа, атак методом "грубой силы" и других инцидентов безопасности.

К примеру, вы разрабатываете приложение для интернет-банкинга. В качестве механизма аутентификации вы решили использовать OAuth 2.0, что обусловлено его широким распространением, безопасностью и расширяемостью. Вот как можно решить это требование:

• Secure Mechanism: OAuth 2.0 - широко распространенный и безопасный протокол аутентификации.

• Extensibility for Strong Authentication:  OAuth 2.0 позволяет использовать методы строгой аутентификации, такие как одноразовые пароли (TOTP) или биометрическая аутентификация, необходимые для выполнения конфиденциальных операций.

• Logging and Monitoring: Реализация OAuth 2.0 предусматривает всестороннее протоколирование событий аутентификации, включая успешные и неудачные попытки входа в систему. Для обнаружения подозрительных действий и реагирования на них предусмотрен мониторинг в режиме реального времени.

• Account Abuse Detection: Реализованы механизмы обнаружения злоупотреблений, позволяющие выявлять и реагировать на необычные модели входа в систему, такие как несколько неудачных попыток входа в систему в течение короткого периода времени.

Такой подход позволяет обеспечить эффективную защиту учетных записей пользователей с помощью единого, надежного и расширяемого механизма аутентификации, а также надежных средств регистрации, мониторинга и контроля безопасности.

Remediation:

Для выполнения этого требования выполните следующие действия:

1 Select a Secure Authentication Mechanism:

• В зависимости от требований приложения выберите хорошо зарекомендовавший себя и надежный механизм аутентификации, например OAuth 2.0, OpenID Connect или SAML.

2 Extend for Strong Authentication:

•  Убедитесь, что выбранный механизм поддерживает расширение для строгой аутентификации. Это может включать в себя реализацию опций многофакторной аутентификации (MFA).

3 Logging and Monitoring:

• Обеспечьте всестороннее протоколирование событий аутентификации, включая успешные и неудачные попытки.
• Организуйте мониторинг и оповещение в режиме реального времени о подозрительных действиях по аутентификации, например, о многочисленных неудачных попытках входа в систему.

4 Account Abuse Detection:

• Реализуйте механизмы обнаружения злоупотреблений учетными записями для выявления и реагирования на подозрительные действия, такие как атаки "bruteforce" или нестандартные шаблоны входа в систему

5 Documentation:

• Документирование выбранного механизма аутентификации, включая его функции безопасности, параметры конфигурации и возможности расширения для усиления аутентификации.

6 Testing and Validation:

• Проведите тестирование и проверку механизма аутентификации на соответствие стандартам безопасности и эффективность защиты от распространенных угроз.

Additional:

https://cheatsheetseries.owasp.org/cheatsheets/Microservices_security.html

https://owasp.org/www-project-mobile-top-10/2014-risks/m5-poor-authorization-and-authentication