MFA推送轰炸与帮助台重置
某互联网公司约800人，统一使用SSO加推送式MFA。近两周安全团队收到17起“MFA推送轰炸”报告，集中在财务和HR；其中1名员工在凌晨误点“批准”，随后其邮箱出现自动转发规则。帮助台现行流程允许员工凭工号加生日通过电话重置MFA，日均23次，夜间占6次，无需主管确认，KPI要求3分钟内完成。服务账号svc_backup使用固定密码，密码硬编码在5个系统的脚本中，且该账号属于域管理员组；密码每180天由一名运维手工修改，修改后需同步5处脚本，常出现失败。公司刚上线BYOD，允许个人手机接收推送，约40%员工使用个人手机，离职时未解除绑定。审计还发现，离职员工在HR系统停用后，AD账号平均仍存活9天；有3个外包账号共享同一凭证。财务系统可发起付款审批，单笔限额500万元；MFA推送未显示登录IP和设备。SSO日志只保留30天，安全团队2人，无法7×24值守。上周已发生一次境外IP可疑登录，但未被阻断；攻击者还曾冒充IT人员电话索要6位验证码，有2人照做。管理层提出“全员强制90天改密码”，希望安全团队先给风险排序和最低成本整改方案。公司使用Microsoft 365和自建OA，财务系统通过SAML接入SSO。
1. 请把MFA疲劳、帮助台电话重置、svc_backup服务账号、离职账号四类风险排序，并说明排序依据。
Read the worked answer
排序应看“可被利用程度×影响”。第一，帮助台电话重置：仅凭工号和生日即可重置，日均23次、夜间6次，攻击者可直接绕过MFA；第二，svc_backup：固定密码、硬编码在5个脚本、且属域管理员组，一旦泄露就是全域控制；第三，MFA疲劳：已有17起报告和1次误批准，且BYOD个人手机扩大暴露面；第四，离职账号存活9天：同样是入口，但可利用窗口和权限通常小于前两者。注意，若svc_backup密码已在多个脚本中扩散，其实际风险可能高于帮助台，排序应结合“是否已观察到利用迹象”动态调整。
2. 请设计帮助台MFA重置的最低控制，要求既可操作又不被社工绕过。
Read the worked answer
最低控制：1）取消“工号+生日”作为唯一凭据，改为视频核验证件加经理在工单中确认，或回拨HR系统登记的手机号；2）夜间重置升级为二级审批，禁止单人完成；3）重置前检查风险信号，如新设备、境外IP、近期推送轰炸，命中即转安全团队；4）重置后强制新设备注册、旧会话全部失效、24小时内禁止敏感操作；5）所有重置留痕：工单、来电号码、核验方式、审批人；6）对帮助台做社工演练。KPI不能只考核3分钟完成率，否则会鼓励跳过核验。
3. 服务账号应如何治理？“全员90天强制改密码”是否合适？
Read the worked answer
服务账号应：移出域管理员组，按最小权限授予备份所需对象；改用gMSA或托管身份，避免人工知道密码；把硬编码密码迁入密钥保管库，脚本改为调用保管库；建立账号清单、负责人、用途和最后登录时间；对无法托管的旧系统做网络隔离和登录限制。
“全员90天强制改密码”不是首选：它会产生弱口令和可预测变体，且不能解决MFA疲劳、帮助台绕过和服务账号硬编码。更合适的是风险驱动：对高权限和可疑账号强制重置，全面推广号码匹配MFA、条件访问和异常登录阻断，逐步取消仅靠密码的认证路径。