mcpField
C
configuring-multi-factor-authentication-with-duo

configuring-multi-factor-authentication-with-duo

github.com/mukul975安全35.2k87 次安装8 周前更新
代码仓库

关于 configuring-multi-factor-authentication-with-duo

这是一项用于规划和配置 Cisco Duo 多因素认证的安全技能，适用于企业应用、VPN、RDP 和 SSH。内容涵盖认证方式、自适应访问、设备检查、抗钓鱼认证及运行监控。

主要功能

  1. 01为 VPN、RDP、SSH 和 Web 应用配置 Duo MFA
  2. 02依据用户、设备和网络设置自适应策略
  3. 03部署 WebAuthn 和 Verified Push
  4. 04配置设备健康与可信网络控制
  5. 05设置监控、报告和紧急访问

适用场景

  1. 01为企业远程访问部署 MFA
  2. 02为特权账户要求更强认证
  3. 03依据设备健康状况实施访问规则
  4. 04检查 MFA 告警和绕过流程

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill configuring-multi-factor-authentication-with-duo

安装后在 Claude Code 中输入/configuring-multi-factor-authentication-with-duo确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

使用 Duo 配置多因素认证

概述

在企业应用、VPN、RDP 和 SSH 接入点中部署 Cisco Duo 多因素认证。本技能涵盖 Duo 集成方法、自适应认证策略、设备信任评估，以及符合 NIST 800-63B AAL2/AAL3 要求的抗钓鱼 MFA 部署。

何时使用

  • 在您的环境中部署或配置使用 Duo 的多因素认证能力时
  • 建立与合规要求一致的安全控制措施时
  • 为该领域构建或改进安全架构时
  • 执行需要此实现的安全评估时

先决条件

  • 熟悉身份访问管理的概念和工具
  • 可访问测试或实验环境以安全执行
  • 已安装所需依赖项的 Python 3.8+
  • 对任何测试活动具有适当的授权

目标

  • 为 VPN、RDP、SSH 和 Web 应用配置 Duo MFA
  • 基于用户、设备和网络上下文实施自适应访问策略
  • 部署抗钓鱼认证（Duo Verified Push、WebAuthn）
  • 配置设备健康状况策略（受信任端点、操作系统版本强制）
  • 设置 Duo Admin Panel 监控和报告
  • 实施 MFA 绕过和紧急访问流程

关键概念

Duo 认证方法（按安全强度）
  1. 安全密钥（WebAuthn/FIDO2）：抗钓鱼，支持 AAL3
  2. Duo Verified Push：需要输入代码，可抵御 MFA 疲劳攻击
  3. Duo Push：向 Duo Mobile 应用推送通知
  4. TOTP（Duo Mobile 一次性密码）：基于时间的一次性密码
  5. 硬件令牌：来自物理令牌的 OTP
  6. SMS/电话呼叫：安全性最低，仅用作后备方案
Duo 集成架构
  • Duo Authentication Proxy：用于 RADIUS/LDAP 集成的本地代理
  • Duo Web SDK：在 Web 应用中嵌入 Duo MFA
  • Duo OIDC/SAML：面向云应用的 SSO 集成
  • Duo for RDP：Windows 登录 MFA
  • Duo Unix：基于 PAM 的 SSH MFA
自适应访问策略
  • 受信任网络：减少企业网络的 MFA 摩擦
  • 已记住的设备：对受信任设备跳过 MFA（可配置时长）
  • 设备健康状况：基于操作系统补丁级别、加密、防火墙来阻止或要求 MFA
  • 基于风险的认证：对异常登录模式进行逐步升级 MFA

工作流

第 1 步：Duo Authentication Proxy 设置
  1. 在 Windows/Linux 服务器上部署 Duo Authentication Proxy
  2. 配置主认证（AD/LDAP 或 RADIUS）
  3. 配置 Duo API 凭据（Integration Key、Secret Key、API Hostname）
  4. 设置 failmode（safe=Duo 无法访问时拒绝，secure=允许）
  5. 测试代理到 Duo 云和 AD 的连接
第 2 步：VPN MFA 集成
  1. 为 VPN 集中器配置 RADIUS 认证
  2. 将 RADIUS 指向 Duo Authentication Proxy
  3. 使用 [radius_server_auto] 节配置 Duo 代理
  4. 使用 Duo Push 测试 VPN 登录
  5. 在注册期内向所有 VPN 用户部署
第 3 步：RDP/Windows 登录 MFA
  1. 在目标服务器上安装 Duo Authentication for Windows Logon
  2. 在 Admin Panel 中配置 Duo 应用
  3. 设置离线访问选项（允许 N 次离线登录）
  4. 为服务账户配置绕过
  5. 使用 Duo MFA 测试 RDP 登录
第 4 步：自适应策略配置
  1. 创建用户组（Standard、Privileged、Contractors）
  2. 配置按组的认证策略：
    • Standard：允许 Duo Push，记住设备 7 天
    • Privileged：要求 Verified Push，不记住设备
    • Contractors：要求 WebAuthn，不记住设备
  3. 配置设备健康状况策略：
    • 要求加密磁盘
    • 阻止过时的操作系统版本
    • 要求启用防火墙
  4. 为企业 IP 设置受信任网络例外
第 5 步：抗钓鱼 MFA 部署
  1. 启用 Verified Push（需要从登录界面输入 3 位数字代码）
  2. 为特权用户注册 WebAuthn/FIDO2 安全密钥
  3. 为高风险群体禁用短信和电话呼叫
  4. 配置 Duo 基于风险的因素选择
  5. 监控 MFA 疲劳攻击模式
第 6 步：监控与响应
  1. 配置 Duo 管理面板警报
  2. 设置将身份验证日志转发到 SIEM
  3. 监控：MFA 拒绝模式、绕过使用、新设备注册
  4. 为 MFA 泄露创建事件响应手册
  5. 定期审查绕过和例外策略

安全控制措施

控制措施NIST 800-53描述
MFAIA-2(1)网络访问的多因素身份验证
特权账户 MFAIA-2(2)特权账户访问的 MFA
防重放IA-2(8)防重放身份验证
设备识别IA-3设备身份与信任
身份验证器管理IA-5MFA 注册与生命周期

常见陷阱

  • 未为特权账户部署抗钓鱼 MFA（Verified Push/FIDO2）
  • 在生产环境中将 failmode 设置为 "safe"（Duo 宕机时允许访问）
  • 未为具有应用能力的设备用户禁用短信/电话呼叫
  • 忘记为笔记本电脑配置离线访问
  • 未监控 MFA 疲劳/提示轰炸攻击

验证

  • VPN 登录需要 Duo MFA
  • 到服务器的 RDP 需要 Duo MFA
  • SSH 访问需要 Duo MFA
  • 为特权用户启用 Verified Push
  • 设备健康策略阻止不合规设备
  • 身份验证日志转发到 SIEM
  • 绕过/紧急访问程序已测试
  • MFA 疲劳检测警报已配置

评论

支持 Markdown