کاهش هزینه‌های عملیاتی سازمان با پیاده‌سازی Self-Service Password Reset (SSPR)

ما همه گاهی نیاز داریم رمز عبور خود را بازنشانی کنیم — چه به دلیل یک فراموشی ساده و چه در نتیجهٔ نگرانی‌های گسترده‌تر امنیتی. با این حال، همین فرایند می‌تواند هزینه‌های قابل‌توجهی را برای سازمان‌ها ایجاد کند. به همین دلیل، قابلیت بازیابی رمز عبور به‌صورت سلف‌سرویس (Self-Service Password Reset – SSPR) دیگر یک قابلیت «اختیاری» نیست، بلکه ضرورتی حیاتی است.

بدیهی است که بازنشانی رمز عبور بخشی اجتناب‌ناپذیر از کار روزمرهٔ تیم‌های IT است. بنا بر گزارش Gartner، حدود ۴۰٪ تماس‌های مرکز خدمات (Help Desk) مربوط به انقضا، تغییر یا بازنشانی رمز عبور هستند. همچنین، بر اساس برآورد Forrester، هر بازنشانی رمز عبور به‌طور میانگین ۷۰ دلار هزینه دارد — بنابراین روشن است که این هزینه‌ها به‌سرعت می‌توانند به مبالغ چشمگیری تبدیل شوند.

در این نقطه، نقش SSPR پررنگ می‌شود. چون این قابلیت به کاربران امکان می‌دهد رمز عبور خود را به‌صورت ایمن و بدون تماس با مرکز خدمات بازنشانی کنند، منجر به صرفه‌جویی مالی قابل‌توجهی برای سازمان‌ها می‌شود.

در واقع، طبق تحلیل شرکت Specops بر پایهٔ بیش از ۷۰۰ سازمان از میان مشتریان خود، میانگین صرفه‌جویی برای هر کاربر نهایی که از راهکار uReset SSPR استفاده می‌کند، حدود ۱۳۶ دلار بوده است. این رقم نه‌تنها صرفه‌جویی مالی چشمگیری است، بلکه زمان کارکنان و تیم‌های خدماتی را نیز آزاد می‌کند.

به‌بیان ساده، زمانی که کاربران بتوانند رمز عبور خود را شخصاً بازنشانی کنند، سریع‌تر به کار بازمی‌گردند و تیم‌های پشتیبانی می‌توانند تمرکز خود را بر سایر وظایف حیاتی‌تر بگذارند.

لزوم تمرکز بر امنیت

با این حال، پیاده‌سازی SSPR می‌تواند چالش‌هایی نیز به‌همراه داشته باشد؛ بنابراین، ضروری است که این فناوری به‌درستی و با رعایت اصول امنیتی به‌کار گرفته شود. به‌ویژه باید اطمینان حاصل کرد که سامانهٔ مورد استفاده ایمن است تا مسیر سوءاستفاده برای مهاجمان، کلاهبرداران و سایر مجرمان سایبری بسته شود. در غیر این صورت، احتمال به خطر افتادن حساب‌های کاربری وجود دارد.

سازمان‌ها باید نسبت به نشانه‌های ظریف بروز مشکل هوشیار باشند — برای مثال، فعالیت‌هایی که برای کاربر ناآشنا هستند، از جمله دریافت پیام‌های بازنشانی رمز عبور یا تغییرات در تنظیمات امنیتی.

مهاجمان می‌توانند از روش‌هایی مانند کلاهبرداری با تعویض سیم‌کارت (SIM-swapping fraud) استفاده کنند؛ در این روش، شمارهٔ تلفن قربانی به یک سیم‌کارت جعلی منتقل می‌شود تا کدهای احراز هویت دومرحله‌ای رهگیری شوند و در ادامه، رمز عبور حساب قربانی بازنشانی شود. هدف از این کار می‌تواند دسترسی به حساب‌های بانکی یا پروفایل‌های شبکه‌های اجتماعی باشد.

راهکار چیست؟
به گفتهٔ مرکز ملی امنیت سایبری بریتانیا (NCSC)، یک سامانهٔ ایمن و مؤثر باید بر اساس لایه‌های مشخص و سطح‌بندی‌شده بر پایهٔ ریسک کاربران طراحی شود — از سطح پایین تا سطح بالا. عناصر بسیار حساس می‌توانند شامل اعتبارنامه‌های مدیریتی (administration credentials) برای یک پایگاه دادهٔ حاوی اطلاعات شخصی (Personally Identifiable Information – PII) باشند.

سطوح پایین‌تر، اما همچنان مهم، می‌توانند شامل حساب کاربری یک توسعه‌دهنده در پنل کنترل سرویس ابری مربوط به محیط باشند.

گزینه‌های بازیابی رمز عبور نیز باید بر اساس سطح ریسک هر حساب تعیین شوند — از استفاده از ابزارهای احراز هویت چندمرحله‌ای گرفته تا مداخلهٔ مستقیم تیم خدمات پشتیبانی. همچنین، لازم است اصول درستی ثبت‌نام رعایت شود؛ از جمله صدور کدهای بازیابی و انجام بازتأیید دوره‌ای.

برای نمونه، شرکت Specops با افزودن یک لایهٔ امنیتی دیگر مبتنی بر MFA برای Windows Logon، RDP و VPN، به تقویت دفاع در برابر حملات مرتبط با رمز عبور در Active Directory کمک می‌کند.

امن‌سازی رمزهای عبور Active Directory با Specops Password Policy

طبق گزارش Verizon’s Data Breach Investigation Report، حدود ۴۴.۷ درصد از نقض‌های امنیتی شامل استفاده از credentials‌های سرقت‌شده هستند.

با استفاده از Specops Password Policy می‌توانید به‌صورت آسان، Active Directory خود را با سیاست‌های رمز عبور منطبق با استانداردها ایمن کنید، بیش از ۴ میلیارد رمز عبور افشا‌شده را مسدود نمایید، سطح امنیت را افزایش دهید و بار پشتیبانی را به شکل چشمگیری کاهش دهید.

شناسایی تهدیدات

برای افزایش توانایی در شناسایی خطرات احتمالی، می‌توان از مجموعه‌ای از روش‌ها استفاده کرد. به عنوان مثال، استفاده از rate limiting می‌تواند تعداد درخواست‌هایی را که یک کاربر در بازهٔ زمانی مشخص ارسال می‌کند، محدود و پایش کند.

Cloud APIها از این روش استفاده می‌کنند تا اطمینان حاصل شود که حجم بالای درخواست‌ها موجب overload یا اختلال در عملکرد سرویس نمی‌شود.

سایر روش‌های قابل استفاده شامل موارد زیر هستند:

• بازنشانی موقعیت‌های غیرعادی: اگر کاربری از موقعیتی غیرمعمول وارد سیستم شود ــ یا حتی از دو موقعیت جغرافیایی دور از هم در فاصلهٔ زمانی کوتاه ــ این امر می‌تواند نشانه‌ای از compromised account و password باشد.
• بررسی اعتبار IP/Device: ارزیابی سوابق دستگاه‌ها یا وب‌سایت‌ها می‌تواند در محافظت از سامانه‌ها در برابر خطرات بالقوه مؤثر باشد. برای نمونه، قابلیت External Attack Surface Management (EASM) در Specops می‌تواند بررسی اعتبار را بر روی mail servers انجام دهد.

• ردیابی ممیزی:
  با نظارت بر تاریخچهٔ یک حساب کاربری یا پلتفرم خاص، کاربران می‌توانند مشکلات احتمالی را شناسایی کنند. این فرایند می‌تواند منجر به انجام یک بررسی در SOC (Security Operations Center) شود.

تجربهٔ کاربر:
بدیهی است که تجربهٔ کاربر از اهمیت بالایی برخوردار است. با استفاده از رویکرد progressive profiling می‌توان مانع در فرآیند جمع‌آوری داده‌ها و اطلاعات مرتبط را به حداقل رساند و این فرآیند را تا حد ممکن روان و بدون دردسر انجام داد.

همچنین می‌توان telemetry مرتبط با false rejections را ایجاد کرد تا در صورت بروز مواردی که در آن کاربران مجاز به اشتباه از دسترسی منع می‌شوند، از وقوع آن مطلع شوید.

استفاده از یک برنامهٔ A/B Test نیز می‌تواند در اندازه‌گیری کاهش تعداد تیکت‌ها و ریست‌های جعلی مؤثر باشد و شواهدی ارائه دهد که نشان می‌دهد شما واقعاً امنیت را افزایش داده‌اید، در حالی که در زمان کارکنان نیز صرفه‌جویی می‌شود.

مزیت Specops uReset
محصول Specops uReset به‌منظور فراهم‌سازی مزایای Self-Service Password Reset (SSPR) طراحی شده است و با حذف دردسرهای مرتبط با password reset، در عین حال امنیت را افزایش می‌دهد. کاربران می‌توانند به‌صورت ایمن رمز عبور Entra ID یا Active Directory خود را از هر مکان، دستگاه یا مرورگری بازنشانی کنند؛ قابلیتی که آن را به گزینه‌ای ایده‌آل برای تیم‌های دورکار و ترکیبی (remote و hybrid) تبدیل می‌کند.

این سامانه برای سهولت کاربران و تیم‌های IT طراحی شده است؛ مدیران سیستم می‌توانند کاربران را به‌صورت خودکار ثبت‌نام کنند، در حالی‌که ابزارهای گزارش‌گیری uReset وضعیت ثبت‌نام را به‌صورت مستمر نمایش می‌دهند.

افزونهٔ First Day Password نیز به این معناست که کارکنان IT دیگر هرگز نیازی به اشتراک‌گذاری رمز عبور روز اول با کارمندان تازه‌وارد نخواهند داشت.

نکتهٔ مهم این است که این ابزار با تکیه بر MFA و استفاده از مرحلهٔ تأیید هویت کاربر نهایی، به افزایش سطح امنیت در سراسر سازمان کمک می‌کند؛ به‌طوری که کارکنان تا زمانی که هویت آن‌ها تأیید نشده باشد، نمی‌توانند رمز عبور خود را بازنشانی کنند.

ریست رمزهای عبور نه‌تنها هزینه‌بر است، بلکه از همه مهم‌تر، می‌تواند زمان ارزشمند کارکنان را نیز تلف کند. با استفاده از ابزارهای مناسب Self-Service Password Reset (SSPR)، می‌توان فرآیند ریست رمز عبور را به شکلی روان، ایمن و کارآمد پیاده‌سازی کرد.