Заблакіраваны доступ да кансолі адміністратара Google Workspace або Microsoft 365: захоп і аднаўленне DNS TXT¶

Выявіўшы, што ваша кампанія, юрыдычная фірма, медыцынская практыка або некамерцыйная арганізацыя цалкам заблакіраваны ў сваёй Google Workspace (admin.google.com) або Microsoft 365 / Entra ID (admin.microsoft.com) арандатар воблака, таму што адзіны Суперадміністратар або Глабальны адміністратар страціў свой смартфон са сваімі сідамі Microsoft/Google Authenticator MFA, пакінуў кампанію на варожых умовах і змяніў пароль, або нечакана памёр, - гэта экзістэнцыяльны крызіс бесперапыннасці бізнесу. Без доступу адміністратара вы не можаце дадаваць або выдаляць супрацоўнікаў, скідваць заблакіраваныя паролі карыстальнікаў, абнаўляць білінгавыя карткі, тэрмін дзеяння якіх заканчваецца, перш чым уся электронная пошта вашай кампаніі (MX) і інфраструктура SharePoint/Google Drive прыпынена, або адклікаць токены сеансу былога адміністратара. На шчасце, і Google, і Microsoft ствараюць свае карпаратыўныя ідэнтыфікацыйныя платформы на падставе асноўнай крыптаграфічнай ісціны: канчатковае юрыдычнае права ўласнасці на воблачны арандатар карыстальніцкага дамена належыць суб'екту, які кантралюе аўтарытэтную публічную зону DNS даменнага імя ў рэгістратара дамена (напрыклад, Cloudflare, AWS Route 53, GoDaddy або Namecheap). Нават калі ніхто з адміністратараў не можа ўвайсці ў сістэму і ўсе апаратныя праграмы YubiKey або Authenticator адсутнічаюць, вы можаце выканаць аварыйны DNS TXT або CNAME Выклік па захопу права ўласнасці на дамен (альбо праз аўтаматызаваны Google toolbox.googleapps.com/apps/recovery/form канвеер, Microsoft Internal Admin Takeover (Unmanaged Tenant) паток або Каманда па абароне даных Microsoft (DPT) Білет праверкі DNS), каб выдаліць MFA з заблакіраванага ўліковага запісу адміністратара або павысіць існуючы стандартны ўліковы запіс супрацоўніка да поўнага супер/сусветнага адміністратара. Калі варожы былы супрацоўнік або зламыснік актыўна крадзе карпаратыўныя банкаўскія сродкі або даныя пацыента, блакуючы вас, патэлефануйце ў мясцовы нумары экстраных службаў (911 у Злучаных Штатах і Канадзе, 999 у Вялікабрытаніі, 112 ва ўсім Еўрапейскім Саюзе) або неадкладна паведаміце аб уварванні ў ФБР IC3 / CISA. Аб надзвычайных сітуацыях, звязаных з даменам, уліковым запісам і двума фактарамі, глядзіце нашы даведнікі захоп даменных імёнаў, пратэрмінаваны DNS і захоп вэб-сайтаў, забароны хмарных уліковых запісаў і апеляцыі на выдаленне дадзеных, і двухфактарная аўтэнтыфікацыя, перапрацоўка нумара тэлефона і блакіроўка SMS.

Зрабіце гэта зараз¶

1. Спачатку забяспечце імгненны доступ да свайго рэгістратара грамадскага дамена і аўтарытэтнага хоста DNS. Перш чым дакранацца да форм аднаўлення Google або Microsoft, пераканайцеся, што вы можаце ўвайсці ў аўтарытатную зону DNS для асноўнага дамена вашай кампаніі (yourcompany.com). Паглядзіце свае актыўныя серверы імёнаў (NS запісы) выкарыстоўваючы dig NS yourcompany.com +short або whois yourcompany.com. Незалежна ад таго, размешчаны ваш DNS на Cloudflare, AWS Route 53, GoDaddy, Namecheap або Network Solutions, кожны, хто можа апублікаваць новы TXT або CNAME запіс у корані (@) вашай даменнай зоны змяшчае галоўны ключ для пацверджання права ўласнасці Google і Microsoft.
2. Аўдыт ЛЮБЫХ другарадных адміністратараў або пастаўшчыка воблачных рашэнняў (CSP / Рэсэлер) па-ранейшаму мае частковы доступ. Многія арганізацыі лічаць, што ў іх ёсць толькі "адзін" адміністратар, забываючы, што:
3. Знешні пастаўшчык кіраваных паслуг (MSP) або Пастаўшчык воблачных рашэнняў (CSP) пасярэднік (напрыклад, Pax8, Ingram Micro, CDW, Sherweb або GoDaddy) мае Дэталёвыя дэлегаваныя правы адміністратара (GDAP / DAP) у ваш арандатар Microsoft 365 або Google Workspace і можа скінуць MFA вашага глабальнага адміністратара за 60 секунд; АБО
4. Другасны менеджэр выконвае ролю прывілеяванага адміністратара аўтэнтыфікацыі ў ідэнтыфікатары Microsoft Entra (які мае ўсе паўнамоцтвы для скіду MFA і пароляў нават для глабальных адміністратараў).
5. Калі доступ да Google Workspace заблакіраваны (admin.google.com), запусціце аўтаматызаваны DNS TXT/CNAME Неадкладна запусціце майстар аднаўлення адміністратара. Не марнуйце дні на спробы скіду пароля спажыўца Gmail. Перайсці да admin.google.com, увядзіце заблакіраваны адрас электроннай пошты суперадміністратара, націсніце "Забылі пароль?", праходзьце міма запытаў MFA, пакуль сістэма не прапануе Аднаўленне праверкі дамена, АБО перайдзіце непасрэдна да спецыяльнай Формы Google для аднаўлення кансолі адміністратара Workspace (toolbox.googleapps.com/apps/recovery/form). Укажыце даступны дадатковы адрас электроннай пошты і ўстаўце унікальны google-site-verification=... TXT токен у зону DNS вашага дамена.
6. Калі доступ да Microsoft 365 заблакіраваны (admin.microsoft.com), адкрыйце «Каманду абароны даных (DPT)" Сур'ёзнасць-тэлефонны білет неадкладна. У адрозненне ад Google, Microsoft не прадастаўляе агульнадаступную вэб-форму самаабслугоўвання, каб абыйсці адзінага глабальнага адміністратара камерцыйнага арандатара, які ўжо кіруецца камерцыйным арандатарам. Вы павінны патэлефанаваць у Камерцыйную службу падтрымкі Microsoft (нумары пазначаны ў нашай рэгіянальнай табліцы ніжэй), перайсці да галасавога падказкі штучнага інтэлекту, сказаўшы "Заблакіраваны доступ да глабальнага адміністратара, няма іншых адміністратараў, маршрут у каманду па абароне даных" і атрымаеце 16-значны нумар справы па абароне даных. Адкрыйце кансоль DNS, каб вы маглі неадкладна апублікаваць праверку TXT запісвайце электронныя лісты інжынера па абароне даных.
7. Захоўвайце сваю актыўную плацежную крэдытную карту і ніколі не вяртайце банкаўскія плацяжы, пакуль вы заблакіраваны. Калі штомесячны рахунак-фактура вашай кампаніі Google Workspace або Microsoft 365 трапляе на вашу карпаратыўную крэдытную карту, пакуль вы заблакіраваны ў кансолі адміністратара, не блакіруйце картку і не адпраўляйце зваротны плацёж. Ініцыяванне адмены плацяжу або вяртання плацяжу для актыўнага камерцыйнага арандатара можа прывесці да таго, што аўтаматызаваныя сістэмы барацьбы з махлярствам прыпыняць працу ўсіх паштовых скрынь карыстальнікаў (550 5.1.1 User Unknown адмовы) і запланаваць канчатковае выдаленне сховішча SharePoint/Drive арандатара на працягу 30-90 дзён.

Дрэва рашэнняў: аднаўленне кантролю над заблакіраваным арандатарам Google Workspace або Microsoft 365¶

flowchart TD
    A["Поўная блакіроўка адзінага суперадміністратара (Google Workspace) або глабальнага адміністратара (Microsoft 365)"] --> B{"Ці куплялі вы ліцэнзіі праз рэсэлера / MSP (GoDaddy, Pax8, Ingram, CDW)?"}
    B -->|"Так: набыта праз рэсэлера / CSP"| C["Самае хуткае выпраўленне (15 хвілін): патэлефануйце ў службу падтрымкі рэсэлераў / MSP, каб выкарыстаць іх API дэлегаванага адміністратара (GDAP) для скіду MFA адміністратара або прасоўвання другога карыстальніка"]
    B -->|"Не: набыта непасрэдна ў Google або Microsoft"| D{"Якая воблачная платформа заблакіравана?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["Крок 1: паспрабуйце Automated Admin Recovery Flow на admin.google.com -> «Паспрабуйце іншы спосаб» -> «Праверыць з хостам дамена»"]
    E --> F{"Аўтаматызаваны паток выклікаў выклік DNS?"}
    F -->|"так"| G["Дадаць унікальны запіс 'google-site-verification=...' TXT або CNAME у рэгістратара дамена; Google скідае суперадміністратар на працягу 24-72 гадзін"]
    F -->|"Няма / Форма завес"| H["Адпраўце аднаўленне адміністратара з падтрымкай падтрымкі на toolbox.googleapps.com/apps/recovery/form + Прасоўванне стандартнага карыстальніка праз DNS TXT Proof"]
    D -->|"2. Microsoft 365 / Entra ID (admin.microsoft.com)"| I{"Гэта «ценявы / вірусны» некіравальны арандатар або цалкам камерцыйны кіраваны арандатар?"}
    I -->|"Shadow / Viral Tenant (Супрацоўнікі зарэгістраваліся праз бясплатную пробную версію PowerBI/Teams)"| J["Выканайце самаабслугоўванне 'ўнутранага адміністратара' праз PowerShell / майстар M365 з выкарыстаннем імгненнай праверкі DNS TXT"]
    I -->|"Поўны камерцыйны кіраваны арандатар (адзіны глабальны адміністратар страціў МЗС / пакінуў / памёр)"| K["Тэлефануйце ў камерцыйную службу падтрымкі Майкрасофт -> Запытайце эскалацыю «Групы абароны даных (DPT)» -> Прайдзіце DNS TXT + Аўдыт уласнасці на бізнес"]

Google Workspace супраць Microsoft 365: чым адрозніваецца архітэктура аднаўлення арандатара¶

Хоць і Google, і Microsoft належаць на аўтарытэтны DNS TXT Праверка, каб даказаць, хто законна валодае даменным імем, далучаным да воблачнага арандатара, іх працэсы адміністрацыйнага аднаўлення вельмі розныя. Ведаючы, якія рычагі існуюць на кожнай платформе, вы зэканоміце некалькі дзён тупіковых квіткоў у падтрымку:

Playbook 1: выратаванне заблакаванага суперадміністратара Google Workspace (admin.google.com)¶

Калі вы страцілі доступ да свайго адзінага ўліковага запісу Google Workspace Super Admin, ці то з-за таго, што ваш тэлефон з Google Authenticator зламаўся, апаратны ключ бяспекі FIDO2 быў згублены, ІТ-падрадчык, які сышоў, змяніў пароль або вы ўключылі "Enforce 2-Step Verification" без папярэдняй рэгістрацыі ўліковага запісу адміністратара, выканайце гэтыя тры крокі ў дакладным парадку:

Метад А: аўтаматызаваны admin.google.com Праверка дамена (самы хуткі - ад 1 да 24 гадзін)¶

1. Адкрыйце акно браўзера ў рэжыме інкогніта / прыватнага браўзера на камп'ютары, які знаходзіцца ў вашай звычайнай офіснай або хатняй сетцы Wi-Fi (сістэма рызыкі Google ацэньвае знаёмыя IP-падсеткі вышэй) і перайдзіце да https://admin.google.com.
2. Увядзіце адрас электроннай пошты заблакіраванага суперадміністратара (admin@yourcompany.com) і націсніце Далей.
3. Калі вы ведаеце пароль, але заблакіраваны 2-этапнай праверкай (MFA), увядзіце пароль, затым націсніце "Паспрабаваць іншы спосаб" унізе экрана 2FA, пакуль не вычарпаеце ўсе недаступныя метады. Калі вы не ведаеце пароль, націсніце "Забылі пароль?" і націсніце "Паспрабаваць іншы спосаб" пасля кожнага недаступнага запыту.
4. Пасля таго, як усе стандартныя варыянты аднаўлення на дамене Google Workspace з адным адміністратарам вычарпаны, аўтаматызаваны механізм аднаўлення Google прадстаўляе экран праверкі права ўласнасці на дамен:
5. Вам прапануецца ўвесці кантактны адрас электроннай пошты, які вы зараз можаце праверыць (напрыклад, асабісты @gmail.com адрас або працоўны стандартны адрас электроннай пошты супрацоўніка).
6. Google адпраўляе электронны ліст з унікальным CNAME або TXT праверачны запіс інструкцыі.
7. Увайдзіце ў панэль кіравання DNS вашага рэгістратара дамена (Cloudflare, Route 53, GoDaddy, Namecheap) і дадайце дакладны TXT або CNAME запіс у корані (@) з yourcompany.com з TTL 300 секунд (5 хвілін).
8. Прафесійная парада для карыстальнікаў Cloudflare: Пры даданні a CNAME праверачны запіс у Cloudflare DNS, націсніце значок аранжавага воблака, каб зрабіць яго шэрым (DNS Only). Калі аранжавае воблака Cloudflare (Proxied) застаецца ўключаным пры праверцы CNAME, Cloudflare перахоплівае запыт і вяртае IP-адрасы проксі-сервера Cloudflare замест чаканай мэты Google CNAME, што прыводзіць да збою праверкі кожны раз.

Спосаб B: Партал аднаўлення кансолі адміністратара з падтрымкай падтрымкі (toolbox.googleapps.com/apps/recovery/form)¶

Што рабіць, калі аўтаматызаваны цыкл ўваходу проста кажа "Звярніцеся па дапамогу да адміністратара дамена" (іранічна, калі вы адміністратар дамена) або "Google не змог праверыць, што гэты ўліковы запіс належыць вам"?

Выкарыстоўвайце спецыяльны неаўтэнтыфікаваны Партал аднаўлення ўліковых запісаў адміністратара Workspace Google: 1. Адкрыць https://toolbox.googleapps.com/apps/recovery/form у вашым браўзеры. 2. Увядзіце імя асноўнага дамена Google Workspace (напрыклад, yourcompany.com) і запоўніце CAPTCHA. 3. Выберыце дакладны экстраны варыянт: - Альбо запытайце скід пароля/2FA для заблакаванага ўліковага запісу суперадміністратара; АБО - Рэкамендуецца, калі былы адміністратар варожы/памер: Выберыце опцыю для прасоўвання існуючага звычайнага ўліковага запісу карыстальніка ў вашым дамене (you@yourcompany.com) суперадміністратару. 4. Укажыце працоўны дадатковы кантактны адрас электроннай пошты, на які вы можаце атрымліваць абнаўленні білетаў. 5. Сістэма Google неадкладна стварае даведачны нумар білета і адпраўляе вам унікальны TXT значэнне запісу (адфарматавана як google-site-verification=rXOxyZ... або google-workspace-recovery=...). 6. Апублікаваць гэта TXT запіс у публічнай зоне DNS вашага дамена, пацвердзіце прама з тэрмінала, што ён працуе ва ўсім свеце, выканаўшы:

dig TXT yourcompany.com @8.8.8.8 +short

Playbook 2: Выратаванне заблакаванага Microsoft 365 / Entra ID Global Administrator (admin.microsoft.com)¶

Блакіроўка Microsoft 365 цяжэйшая, чым блакіроўка Google Workspace, калі вы не ведаеце дакладных каналаў эскалацыі, таму што тэлефонная сістэма Microsoft спрабуе сказаць абанентам "увайсці ў Цэнтр адміністравання, каб адкрыць білет у службу падтрымкі", ствараючы цыкл, калі вы заблакіраваны ў Цэнтры адміністравання.

Вось чатыры дакладныя тэхнічныя і працэдурныя шляхі выхаду з блакіроўкі Microsoft 365 Global Admin:

Шлях 1: «Схаваны другасны адміністратар» і .onmicrosoft.com Праверка байпасу (спачатку праверце гэта праз 5 хвілін)¶

Перш чым спыніцца ў камандзе па абароне даных Microsoft, праверце тры рэчы, якія ратуюць 40 працэнтаў "заблакіраваных" арандатараў M365 на месцы: 1. Зламаны сервер SSO/федэрацыі (Okta, Duo, Cisco, ADFS) заблакіраваць вас? - Пры федэрацыі yourcompany.com старонняму пастаўшчыку пасведчанняў (IdP) і гэты сертыфікат IdP заканчваецца або блакіруе вас, увайшоўшы ў сістэму як admin@yourcompany.com перанакіроўвае вас да зламанага IdP. - Імгненнае выпраўленне: кожны арандатар Microsoft 365 мае ўласны рэзервовы дамен толькі для воблака, які заканчваецца на @yourtenant.onmicrosoft.com. Перайсці да https://entra.microsoft.com, увядзіце admin@yourtenant.onmicrosoft.com (або любое імя карыстальніка Global Admin, якое існуе на .onmicrosoft.com дамен), і ўвайдзіце. .onmicrosoft.com уліковыя запісы ЗАЎЖДЫ абмінаюць федэрацыю SAML/WS-Fed трэцяга боку і праходзяць аўтэнтыфікацыю непасрэдна па ідэнтыфікатары Microsoft Entra. 2. Ці займае ІТ-супрацоўнік ролю «прывілеяванага адміністратара аўтэнтыфікацыі»? - Многія кампаніі прызначаюць ІТ-мэнэджару ролю Прывілеяванага адміністратара аўтэнтыфікацыі, не робячы яго поўным глабальным адміністратарам. У Microsoft Entra ID прывілеяваны адміністратар аўтэнтыфікацыі мае поўны юрыдычны дазвол на скід пароляў І адклікаць/паўторна патрабаваць MFA для глабальнага адміністратара. 3. Ці купілі вы хаця б АДНУ ліцэнзію праз рэсэлера CSP (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace)? - Паглядзіце выпіску па крэдытнай карце. Калі ваш рахунак за Microsoft 365 паступае ад партнёра, а не непасрэдна ад MICROSOFT*G..., патэлефануйце ў службу падтрымкі гэтага партнёра прама зараз. Нават калі яны прадалі вам толькі адну ліцэнзію Exchange Online за 6 долараў, калі іх адносіны GDAP (дэталёвыя дэлегаваныя правы адміністратара) актыўныя ў вашым партнёрскім цэнтры, іх інжынер можа скінуць MFA вашага глабальнага адміністратара менш чым за 3 хвіліны.

Шлях 2: Як звязацца з камандай Microsoft Data Protection Team (DPT)" Калі нулявыя адміністратары могуць увайсці¶

Калі вы купляеце непасрэдна ў Microsoft і ваш адзіны глабальны адміністратар цалкам заблакаваны (страчаны тэлефон Authenticator або трапіў у цыкл, калі Microsoft Authenticator просіць вас пацвердзіць 2-значны нумар у праграме Microsoft Authenticator, у якую вы зараз спрабуеце ўвайсці), вы павінны мець каманду па абароне даных Microsoft (DPT) інжынер выканае Скід права ўласнасці арандатара і праверкі DNS.

Як абыйсці аўтаматызаванае дрэва тэлефонаў AI Microsoft (IVR) праз 2 хвіліны: 1. Патэлефануйце на рэгіянальны нумар камерцыйнай падтрымкі Microsoft (напрыклад, 1-800-865-9408 або 1-800-642-7676 у ЗША/Канадзе; глядзіце поўны глабальны спіс ніжэй). 2. Аўтаматызаваны галасавы бот запраграмаваны на адхіленне званкоў са стандартным паролем aka.ms/sspr. Выкарыстоўвайце гэтыя дакладныя вымаўленыя фразы пры кожным запыце: - Прыказка 1 («Пра што вы тэлефануеце?»): Скажыце ясна: «Блакіроўка ўліковага запісу глабальнага адміністратара». - Пытанне 2 ("Вы спрабавалі скід пароля самаабслугоўвання?"): Скажыце: "Так, я з'яўляюся адзіным глабальным адміністратарам арандатара камерцыйнага бізнесу, а іншых адміністратараў няма." - Пытанне 3 ("Які прадукт?"): Скажыце: "Microsoft 365 Business / Entra ID Commercial" і запытайце "Перадача камандзе па абароне даных". 3. Што рабіць, калі тэлефоннае дрэва ўсё яшчэ кідае трубку? Выкарыстоўвайце "Trial Tenant Bridge Trick": - Гэта добра вядомы экстранны абыход сістэмнага адміністратара, калі тэлефонны IVR Microsoft адмаўляецца злучыцца з вамі: перайдзіце да microsoft.com/microsoft-365/business, разгарніце бясплатную 30-дзённую пробную версію Microsoft 365 Tenant з дапамогай аднаразовай temprescue-[yourcompany].onmicrosoft.com імя (займае 3 хвіліны, 30 дзён бясплатна). - Увайдзіце ў сістэму admin.microsoft.com унутры гэтага часовага пробнага арандатара націсніце Падтрымка > Даведка і падтрымка ў правым ніжнім куце і адкрыйце Заяўку на падтрымку адміністратара Сур'ёзнасць-А з указаннем: > "ТЭРМІНОВАЯ ЭСКАЛАЦЫЯ КАМАНДЫ АБАРОНЫ ДАДЗЕНЫХ: я адкрываю гэты білет ад часовага моста-арандатара, таму што я з'яўляюся адзіным глабальным адміністратарам вытворчага арандатара [YOURREALDOMAIN.COM / ідэнтыфікатар арандатара], і я цалкам заблакіраваны ў MFA без нуля іншых глабальных адміністратараў. Неадкладна перадайце гэты білет камандзе Microsoft Data Protection Team."

Шлях 3: Праходжанне групы Microsoft Data Protection (DPT) Аўдыт праверкі і DNS TXT Выклік¶

Пасля таго, як інжынер групы па абароне даных Microsoft заявіць аб вашай справе, ён прытрымліваецца строгага пратаколу бяспекі з нулявым даверам, перш чым пазбавіць вашага глабальнага адміністратара MFA або павысіць новага карыстальніка: 1. Доказ права ўласнасці на бізнес і выстаўленне рахункаў: Трымайце гэтыя чатыры элементы напагатове ў папцы, каб вы маглі прачытаць або загрузіць іх пры першым выкліку: - Ваша Імя дамена (yourcompany.com) і onmicrosoft.com Імя арандатара (знайдзіце свой дакладны ID GUID арандатара ў любы час, не ўваходзячы ў сістэму, наведаўшы https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - Апошнія 4 лічбы і дата заканчэння тэрміну дзеяння крэдытнай карты у файле для выстаўлення рахункаў Microsoft (або апошнія нумары камерцыйных рахункаў Microsoft G0...); - дакладны адрас выстаўлення рахункаў і нумар тэлефона, указаныя ў профілі арганізацыі арандатара; і - Афіцыйны Статут / Ліцэнзія на прадпрымальніцкую дзейнасць / Рахунак за камунальныя паслугі, калі былы адміністратар быў супрацоўнікам-ізгоем, які змясціў у профілі свой мабільны тэлефон. 2. Аўтарытэтны DNS TXT Доказ запісу: - Інжынер па абароне даных дасць вам унікальны радок праверкі (напрыклад, MS=ms12345678 або токен для канкрэтнага выпадку), каб дадаць як TXT запіс у корані (@) з yourcompany.com. - Аднойчы nslookup -type=TXT yourcompany.com пацвярджае, што запіс жывы, інжынер DPT скідае рэгістрацыю шматфактарнай аўтэнтыфікацыі глабальнага адміністратара (Require Re-Register MFA) і выдае часовы пароль, каб вы маглі ўвайсці і зарэгістраваць новую праграму Authenticator і ключ FIDO2.

Шлях 4: самаабслугоўванне "ўнутранага адміністратара" (калі ваш дамен заблакаваны ў "некіраваным/вірусным" ценявым арандатары)¶

Што рабіць, калі вы спрабуеце наладзіць Microsoft 365 для yourcompany.com, і Microsoft паказвае памылку: "yourcompany.com is already being used with another Microsoft 365 organization", таму што тры гады таму выпадковы супрацоўнік зарэгістраваўся на бясплатны ўліковы запіс самаабслугоўвання Power BI, Microsoft Teams Exploratory або Fabric, выкарыстоўваючы свой @yourcompany.com працоўная электронная пошта? - Паколькі ў гэтага "ценявога" арандатара нуль глабальных адміністратараў (гэта Некіравальны вірусны арандатар), вам наогул не трэба звяртацца ў службу падтрымкі Microsoft. - Вы можаце выканаць імгненны Унутраны захоп адміністратара: 1. Увайдзіце ў Microsoft 365, выкарыстоўваючы любы актыўны @yourcompany.com уліковы запіс карыстальніка, які існуе ў гэтым вірусным арандаце (або стварыце бясплатны ўліковы запіс самаабслугоўвання Power BI з дапамогай admin@yourcompany.com). 2. Перайдзіце да https://portal.office.com/admintakeover (або запусціце камандлет Microsoft Graph PowerShell). 3. Microsoft неадкладна адлюстроўвае TXT праверачны код (MS=msXXXXXXXX). 4. Устаўце гэта TXT запішыце ў DNS вашага рэгістратара дамена, націсніце Праверыць, і Microsoft імгненна павысіць вас да поўнага глабальнага адміністратара усяго yourcompany.com арандатар за 60 секунд.

Пакрокавы аўдыт бяспекі пасля аднаўлення (калі блакіроўка была выклікана варожым былым адміністратарам або ўзломам)¶

Калі ваша блакіроўка адбылася з-за таго, што незадаволены былы ІТ-адміністратар, звольнены падрадчык або знешні зламыснік наўмысна пазбавіў вас прывілеяў або захапіў уліковы запіс Super/Global Admin, проста аднавіць доступ да ўваходу недастаткова. Варожы акцёр, які меў доступ суперадміністратара або глабальнага адміністратара нават на працягу 15 хвілін, часта ўсталёўвае "пастаянныя бэкдоры", каб яны маглі моўчкі аднавіць кантроль на наступным тыдні нават пасля таго, як вы зменіце асноўны пароль.

Выканайце гэтую 5-бальную ачыстку пастаяннасці на працягу першых 30 хвілін пасля ўваходу ў адноўленую кансоль:

1. Аўдыт нядаўна створаных прынцыпалаў сэрвісаў, карпаратыўных праграм OAuth і пароляў праграм:
2. У Microsoft Entra ID (entra.microsoft.com): Перайсці да Identity > Applications > Enterprise applications і App registrations. Сартаваць па Дата стварэння. Дасведчаны адміністратар-ізгой створыць схаваную рэгістрацыю прыкладання RoleManagement.ReadWrite.Directory або Directory.ReadWrite.All Дазволы прыкладання Microsoft Graph API з 24-месячным сакрэтам кліента. Нават калі вы выдаліце ​​ўліковы запіс карыстальніка жуліка-адміністратара, яго скрыпт Python зможа выкарыстаць гэты сакрэт кліента з хаты для павышэння новага бэкдор-карыстальніка да Global Admin сёння вечарам. Неадкладна выдаліце ​​ўсе нераспазнаныя рэгістрацыі праграм або кліенцкія сакрэты.
3. У Google Workspace (admin.google.com): Перайсці да Security > Access and data control > API controls > Manage Domain Wide Delegation. Праверце кожны Ідэнтыфікатар кліента ўліковага запісу воблачнай службы Google, якому было прадастаўлена Дэлегаванне на ўзроўні ўсяго дамена (https://www.googleapis.com/auth/admin.directory.user) і выдаліць усе нераспазнаныя праекты Google Cloud або токены OAuth.
4. Праверце партнёрскія адносіны (GDAP / DAP) і налады міжарандацкага доступу:
5. У цэнтры адміністравання Microsoft 365 перайдзіце да Settings > Partner relationships. Пераканайцеся, што падрадчык-ізгой не падключыў сваю асабістую партнёрскую сетку Microsoft (MPN) уліковы запіс у якасці дэлегаванага пастаўшчыка воблачных рашэнняў з GDAP Правы глабальнага адміністратара.
6. У Microsoft Entra ID пастаўце галачку External Identities > Cross-tenant access settings і Users > All users (фільтрацыя для User type == Guest з прызначанымі ролямі каталога), каб праверыць адсутнасць знешніх @gmail.com або @outlook.com запрошанаму карыстальніку моўчкі была прызначана роля глабальнага адміністратара або адміністратара з прывілеяванай роляй.
7. Ачысціце схаваныя правілы маршрутызацыі ўваходнай/выходнай пошты і аўтаматычную пераадрасацыю:
8. Праверыць Exchange Admin Center > Mail flow > Rules (у Microsoft 365) або Apps > Google Workspace > Gmail > Routing (у Google Workspace) для любых правілаў транспарціроўкі для ўсіх арандатараў, якія бясшумна BCC або перанакіроўваць электронныя лісты кіраўнікоў, спасылкі для скіду пароляў або рахункі-фактуры за электронны перавод на знешні адрас.
9. Ануляваць усе актыўныя токены абнаўлення і файлы cookie сеанса для ўсяго арандатара:
10. Змена пароля карыстальніка ў воблачным асяроддзі не заўсёды неадкладна забівае актыўныя токены абнаўлення OAuth або бесперапынную ацэнку доступу (CAE) сеансы на ўжо аўтэнтыфікаваных ноўтбуках. Адразна націсніце "Ануляваць сеансы / Выйсці з усіх сеансаў" на ўзламаным уліковым запісе адміністратара і павярніце krbtgt / Ключ дэшыфравання Kerberos Azure AD SSO, калі Azure AD Connect / Entra Connect гібрыдная сінхранізацыя разгорнута лакальна.
11. Уключыце «Зацвярджэнне адміністратарам / шматбаковым зацвярджэннем» і апавяшчэнне аб прызначэнні роляў:
12. Наладзьце неадкладную электронную пошту і SMS-папярэджанне аб вэб-хуку ў журналах аўдыту адміністратара Google Workspace або кіраванні прывілеяванымі ідэнтыфікатарамі Microsoft Entra ID (PIM), каб кожны супер/глабальны адміністратар атрымліваў імгненнае абвестку па-за дыяпазонам, калі карыстальнік дадаецца да ролі адміністратара або кожны раз, калі налады MFA змяняюцца.

Рэгіянальныя нумары экстраных службаў і пратаколы агенцтваў¶

Часта задаюць пытанні¶

Чаму камандзе па абароне даных Microsoft часам патрабуецца ад 5 да 10 дзён, каб разблакіраваць глабальнага адміністратара, калі я магу даказаць, што я валодаю DNS прама зараз?¶

Паколькі камерцыйныя арандатары Microsoft 365 часта валодаюць інтэлектуальнай уласнасцю на мільярды долараў, паўнамоцтвамі банкаўскіх пераводаў і дадзенымі HIPAA/GDPR, зламыснікі, якія займаюцца сацыяльнай інжынерыяй, часта спрабуюць прымусіць агентаў службы падтрымкі скінуць MFA глабальнага адміністратара. Такім чынам, Microsoft абмяжоўвае неаўтэнтыфікаваныя скіды Global Admin MFA невялікім спецыялізаваным падраздзяленнем Tier-3 пад назвай **Data Protection Team (`DPT`)**. Падчас чакання ў чарзе DPT: (1) ператэлефануйце адзін раз у дзень, спасылаючыся на ваш **16-значны нумар справы**, (2) папрасіце галоўнага агента пазначыць білет як **"Важна для бізнесу - поўная блакіроўка адміністратара з нулявымі рэзервовымі адміністратарамі (Сур'ёзнасць A)"** і (3) калі ў вас ёсць кіраўнік уліковага запісу Microsoft, пастаўшчык воблачных рашэнняў (`CSP`), або кантракт Unified Support, папрасіце іх падаць унутраную эскалацыю **"CritSit" (крытычная сітуацыя)** па нумары вашай справы, што звычайна скарачае час адказу DPT менш чым за 24 гадзіны.

Што, калі былы ІТ-супрацоўнік-ізгой заблакіраваў нас як у Microsoft 365/Google Workspace, так і ў нашым рэгістратары даменаў (GoDaddy / Cloudflare)?¶

Калі зарэгістраваны сышоўшы супрацоўнік або падрадчык `yourcompany.com` пад іх уласным рэгістратарам або заблакіравалі вас ад вашага рэгістратара дамена (GoDaddy, Namecheap, Cloudflare, Network Solutions), вы **спачатку павінны аднавіць уліковы запіс рэгістратара дамена**, таму што вы не можаце апублікаваць Google/Microsoft DNS `TXT` запіс без доступу рэгістратара. Кожны акрэдытаваны ICANN рэгістратар мае спецыяльны **Партал спрэчак аб уласнасці дамена / аднаўленні акаўнта** (напрыклад, GoDaddy's `Account Recovery & Change of Update Request`). Адпраўце: (1) **Статут вашай кампаніі / ліст IRS EIN / рэгістрацыю бізнесу**, (2) копію вашага **дзяржаўнага пасведчання асобы з фатаграфіяй** як карпаратыўнага супрацоўніка і (3) **выпіскі з карпаратыўнай крэдытнай карты або банкаўскага рахунку**, якія паказваюць, што ваша кампанія аплаціла плату за рэгістрацыю дамена і падаўжэнне. Рэгістратар перанясе дамен у новы карпаратыўны рахунак на працягу 48-96 гадзін, што дазволіць вам апублікаваць DNS `TXT` запішыце і забярыце назад Google Workspace або Microsoft 365 адразу пасля гэтага.

Як мне знайсці свой ідэнтыфікатар Microsoft Entra "Ідэнтыфікатар арандатара" (GUID), калі кожны чалавек заблакіраваны на партале?¶

Калі вы тэлефануеце ў каманду па абароне даных Майкрасофт, вы атрымаеце свой дакладны 36-значны **ID GUID арандатара** (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) значна паскарае маршрутызацыю квіткоў. Нават калі ніхто ў вашай кампаніі не можа ўвайсці ў сістэму, канчатковая кропка метададзеных Microsoft OpenID Connect з'яўляецца агульнадаступнай для ўсіх даменаў у свеце. Адкрыйце любы вэб-браўзер і перайдзіце да: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (замяняючы `YOURDOMAIN.COM` з даменным імем вашай кампаніі). У тэксце JSON, які з'явіцца на экране, паглядзіце на самы першы URL пасля `"token_endpoint"`: 36-значны літарна-лічбавы код адразу пасля `login.microsoftonline.com/` гэта ваш дакладны **ідэнтыфікатар арандатара Microsoft Entra**.

Скід глабальнага адміністратара або суперадміністратара праз DNS TXT праверка выдаліць любыя электронныя лісты, файлы OneDrive або дакументы Google Drive?¶

Не. Ні працэс аднаўлення Google Workspace DNS Admin Recovery, ні Microsoft Data Protection Team MFA/скід пароля не закранаюць ні аднаго байта дадзеных паштовай скрыні карыстальніка, сайтаў SharePoint, тэчак OneDrive, чатаў Teams або дакументаў Google Drive. Фактычна, калі вы выбіраеце опцыю **павысіць існуючы стандартны ўліковы запіс супрацоўніка да суперадміністратара / глабальнага адміністратара** (замест скіду пароля супрацоўніка, які звольніўся), паштовая скрыня і файлы супрацоўніка, які сышоў, застаюцца цалкам некранутымі і захоўваюцца для юрыдычнага адкрыцця, у той час як ваш нядаўна павышаны адміністратар бярэ на сябе поўны кантроль над кансоллю.

Што, калі мы ўсталюем палітыку ўмоўнага доступу Microsoft Entra, якая выпадкова заблакіруе ЎСІХ карыстальнікаў (уключаючы глабальных адміністратараў), патрабуючы сумяшчальную прыладу Intune або пэўны IP-адрас?¶

Гэта называецца **самаблакіроўка ўмоўнага доступу**, напрыклад, калі адміністратар стварае мэтавую палітыку ўмоўнага доступу `"All Users"` і `"All Cloud Apps"` з кантролем, які не можа быць задаволены (напрыклад, патрабуецца прылада, падключаная да Hybrid Azure AD, або пратэрмінаваны дыяпазон IP-адрасоў VPN), і забываецца праверыць `"Exclude Emergency Access Accounts"` скрынка. Паколькі палітыка блакіруе кожнага адміністратара пры ўваходзе ў сістэму, нават калі вы ведаеце свой пароль і маеце працоўны тэлефон МЗС, вы не ўпусціцеся. Ваш адзіны шлях выратавання - патэлефанаваць у **Камерцыйную службу падтрымкі Microsoft**, звярнуцца ў **Групу абароны даных**, перадаць DNS `TXT` праверку права ўласнасці і папрасіце інжынера DPT запусціць іх унутраны бэкэнд-інструмент, каб **адключыць парушальную палітыку ўмоўнага доступу** для вашага арандатара.

Звязаныя даведнікі¶

• Выкраданне даменнага імя, пратэрмінаваны DNS і захоп вэб-сайта
• Забарона ўліковага запісу ў воблаку: апеляцыі на блакіроўку Google, Apple і Microsoft
• Нумар тэлефона з двухфактарнай аўтэнтыфікацыяй перапрацаваны аператарам і блакіроўка SMS
• Блакаванне дыспетчара пароляў, страта галоўнага пароля і аднаўленне сховішча

Крыніцы і афіцыйнае кіраўніцтва¶

• Даведка і дакументацыя па бяспецы адміністратара Google Workspace: Аднаўленне доступу адміністратара да вашага ўліковага запісу Google Workspace (admin.google.com), DNS з падтрымкай TXT/CNAME Праверка (toolbox.googleapps.com/apps/recovery/form), а таксама лепшыя практыкі для ўліковых запісаў Super Administrator Break-Glass.
• Microsoft Learn (Microsoft Entra ID / Microsoft 365 Documentation): Кіраванне ўліковымі запісамі экстранага доступу ў Microsoft Entra ID, выкананне ўнутранага захопу адміністратарам некіравальнага каталога праз праверку DNS TXT і эскалацыя блакіроўкі глабальнага адміністратара MFA праз каманду па абароне даных.
• Агенцтва кібербяспекі і бяспекі інфраструктуры (CISA, Злучаныя Штаты): Тэхнічная даведачная архітэктура Cloud Security і базавыя паказчыкі CISA ScubaGear для Microsoft 365 і Google Workspace Tenant Resilience.
• Нацыянальны інстытут стандартаў і тэхналогій (NIST): Спецыяльная публікацыя 800-63B (Рэкамендацыі па лічбавай ідэнтыфікацыі: аўтэнтыфікацыя і кіраванне жыццёвым цыклам, шматфактарнае аднаўленне аўтэнтыфікатара).
• Інтэрнэт-карпарацыя па прысваенні імёнаў і нумароў (ICANN): Правы і абавязкі рэгістратараў і пратаколы праверкі кантролю даменных імёнаў.