Imsakkar minn Google Workspace jew Microsoft 365 Admin Console: DNS TXT Takeover u Irkupru¶

Tiskopri li l-kumpanija tiegħek, id-ditta legali, il-prattika medika, jew mingħajr skop ta' qligħ tiegħek hija kompletament imsakkra mill-Google Workspace tagħha (admin.google.com) jew Microsoft 365 / Entra ID (admin.microsoft.com) kerrej tas-sħab minħabba li l-uniku Super Amministratur jew Amministratur Globali tilfu l-ismartphone tagħhom biż-żerriegħa tagħhom tal-Microsoft/Google Authenticator MFA, ħallew il-kumpanija b’termini ostili u bidlu l-password, jew miet bla mistenni hija kriżi eżistenzjali ta’ kontinwità tan-negozju. Mingħajr aċċess amministrattiv, ma tistax iżżid jew tneħħi impjegati, tirrisettja l-passwords tal-utenti msakkra, taġġorna l-karti tal-kontijiet li jiskadu qabel l-email kollu tal-kumpanija tiegħek (MX) u l-infrastruttura ta' SharePoint/Google Drive hija sospiża, jew tirrevoka t-tokens tas-sessjoni ta' ex-admin diżonesti. Fortunatament, kemm Google kif ukoll Microsoft jippjanaw il-pjattaformi tal-identità tal-intrapriża tagħhom madwar verità kriptografika fundamentali: sjieda legali aħħarija ta’ kerrej ta’ cloud ta’ dominju tad-dwana tappartjeni lill-entità li tikkontrolla ż-żona awtorevoli tad-DNS Pubbliku tal-isem tad-dominju fir-Reġistratur tad-Dominju (bħal Cloudflare, AWS Route 53, GoDaddy, jew Namecheap). Anke jekk l-amministraturi żero jistgħu jidħlu u kull app YubiKey jew Awtentikatur tal-ħardwer tkun marret, tista' tesegwixxi emerġenza DNS TXT jew CNAME Domain Ownership Takeover Challenge (jew permezz tal-awtomatiku ta' Google toolbox.googleapps.com/apps/recovery/form pipeline, Internal Ammin Takeover ta' Microsoft (Unmanaged Tenant) fluss, jew Microsoft Data Protection Team (DPT) Biljett ta' Verifika DNS) biex tneħħi l-MFA mill-kont tal-amministratur imsakkar jew tippromwovi kont tal-impjegat standard eżistenti għal Amministratur Super/Globali sħiħ. Jekk eks impjegat ostili jew attakkant tar-ransomware qed jesfiltra b'mod attiv fondi bankarji korporattivi jew data tal-pazjent waqt li jissakkarek, ċempel lokali tiegħek numri ta' emerġenza (911 fl-Istati Uniti u l-Kanada, 999 fir-Renju Unit, 112 madwar l-Unjoni Ewropea) jew irrapporta l-intrużjoni lill-FBI IC3 / CISA immedjatament. Għal dominju relatat, kont, u emerġenzi b'żewġ fatturi, ara l-gwidi tagħna dwar ħtif ta' isem ta' dominju, DNS skada, u teħid ta' kontroll tal-websajt, projbizzjonijiet tal-kont tal-cloud u appelli għat-teħid tad-dejta, u awtentikazzjoni b'żewġ fatturi riċiklaġġ tan-numru tat-telefon u lockout SMS.

Agħmel dan issa¶

1. L-ewwel sikura l-aċċess tal-login immedjat għar-Reġistratur tad-Dominju Pubbliku u l-Host Awtorevoli tad-DNS tiegħek. Qabel ma tmiss il-formoli ta' rkupru ta' Google jew Microsoft, ivverifika li tista' tidħol fiż-Żona Awtorattiva tad-DNS għad-dominju primarju tal-kumpanija tiegħek (yourcompany.com). Fittex is-servers tal-isem attivi tiegħek (NS rekords) bl-użu dig NS yourcompany.com +short jew whois yourcompany.com. Kemm jekk id-DNS tiegħek huwiex ospitat fi Cloudflare, AWS Route 53, GoDaddy, Namecheap, jew Network Solutions, min jista’ jippubblika TXT jew CNAME irreġistra fl-għerq (@) taż-żona tad-dominju tiegħek għandha ċ-ċavetta prinċipali biex tipprova s-sjieda legali lil Google u Microsoft.
2. Awditja jekk KWALUNKUN amministratur sekondarju jew Fornitur tas-Soluzzjoni Cloud (CSP / Bejjiegħ) għad għandu aċċess parzjali. Ħafna organizzazzjonijiet jemmnu li għandhom biss admin "wieħed", u jinsew li:
3. Fornitur estern tas-Servizz Immexxi (MSP) jew Cloud Solution Provider (CSP) bejjiegħ mill-ġdid (bħal Pax8, Ingram Micro, CDW, Sherweb, jew GoDaddy) għandu Privileġġi tal-Amministratur Delegat Granulari (GDAP / DAP) fil-kerrej tiegħek tal-Microsoft 365 jew Google Workspace u tista' tirrisettja l-MFA tal-Amministratur Globali tiegħek f'60 sekonda; JEW
4. Maniġer sekondarju għandu r-rwol ta' Amministratur ta' Awtentikazzjoni Privileġġjat f'Microsoft Entra ID (li għandu s-setgħa sħiħa li jerġa' jissettja l-MFA u l-passwords anke għall-Amministraturi Globali).
5. Jekk imsakkar barra minn Google Workspace (admin.google.com), iniedi d-DNS Awtomatizzat TXT/CNAME Admin Recovery Wizard immedjatament. Taħlix jiem tipprova reset password tal-Gmail tal-konsumatur. Mur fuq admin.google.com, daħħal l-indirizz elettroniku tas-Super Admin imsakkar, ikklikkja "Insejt il-password?", qabeż il-prompts tal-MFA sakemm is-sistema toffri Irkupru tal-Verifika tad-Dominju, JEW mur direttament fil- Formola għall-Irkupru tal-Console tal-Admin tal-Ispazju tax-Xogħol ta' Google (toolbox.googleapps.com/apps/recovery/form). Ipprovdi indirizz elettroniku sekondarju aċċessibbli u waħħal l-uniku google-site-verification=... TXT token fiż-żona DNS tad-dominju tiegħek.
6. Jekk imsakkar barra minn Microsoft 365 (admin.microsoft.com), iftaħ "Tim tal-Protezzjoni tad-Data (DPT)" Biljett tat-Telefon Severità-A immedjatament. B'differenza minn Google, Microsoft ma tipprovdi formola tal-web pubblika self-service biex tevita l-MFA fuq l-uniku Amministratur Globali ta' kerrej kummerċjali diġà ġestit. Trid iċempel Microsoft Commercial Support (numri elenkati fit-Tabella Reġjonali tagħna hawn taħt), innavigaw il-pront tal-vuċi AI billi tgħid "Imsakkar barra mill-Amministratur Globali, ebda amministraturi oħra disponibbli, rotta lejn it-Tim tal-Protezzjoni tad-Data", u tikseb Numru tal-Każ tal-Protezzjoni tad-Data ta' 16-il ċifra. Ħalli l-console DNS tiegħek miftuħ sabiex tkun tista' tippubblika immedjatament il-verifika TXT irreġistra l-inġinier tal-Protezzjoni tad-Data jibgħatlek emails.
7. Ippreserva l-karta tal-kreditu tal-kontijiet attiva tiegħek u qatt ma toħroġ chargeback bankarju waqt li tkun imsakkra. Jekk il-fattura ta' kull xahar tal-kumpanija tiegħek Google Workspace jew Microsoft 365 tolqot il-karta tal-kreditu korporattiva tiegħek waqt li tkun imsakkar barra mill-admin console, tibblokkax il-karta jew tippreżenta chargeback. It-tqanqal ta' diżunur ta' ħlas jew ħlas lura fuq kerrej kummerċjali attiv jista' jikkawża li sistemi awtomatizzati kontra l-frodi jissospendu l-kaxxi tal-posta tal-utenti kollha (550 5.1.1 User Unknown bounces) u skeda l-ħażna SharePoint/Drive tal-kerrej għal tħassir permanenti fi żmien 30 sa 90 jum.

Siġra tad-deċiżjonijiet: Il-kisba mill-ġdid tal-kontroll ta' inkwilin ta' Google Workspace jew Microsoft 365 imsakkar¶

flowchart TD
    A["Lockout totali tas-Super Admin Uniku (Google Workspace) jew Amministratur Globali (Microsoft 365)"] --> B{"Xtrajt il-liċenzji tiegħek permezz ta' Reseller/MSP (GoDaddy, Pax8, Ingram, CDW)?"}
    B -->|"Iva: Mixtrija permezz tal-Bejjiegħ mill-ġdid / CSP"| C["L-iktar soluzzjoni mgħaġġla (15-il minuta): Ċempel lill-Bejjiegħ mill-Ġdid / Appoġġ MSP biex Jużaw l-API tal-Amministratur Delegat tagħhom (GDAP) biex Reset Admin MFA jew Jippromwovu t-Tieni Utent"]
    B -->|"Le: Mixtrija Direttament minn Google jew Microsoft"| D{"Liema Pjattaforma Cloud hija Imsakkra?"}
    D -->|"1. Google Workspace (admin.google.com)"| E["Pass 1: Ipprova l-Fluss ta' Irkupru Awtomatizzat tal-Amministratur fuq admin.google.com -> 'Ipprova mod ieħor' -> 'Ivverifika mal-Ospitanti tad-Dominju'"]
    E --> F{"Did Automated Flow Trigger DNS Challenge?"}
    F -->|"Iva"| G["Żid Rekord Uniku 'google-site-verification=...' TXT jew CNAME fir-Reġistratur tad-Dominju; Google Resets Super Admin Fi żmien 24-72 Hrs"]
    F -->|"Nru / Form Loops"| H["Ibgħat l-Irkupru tal-Amministratur Megħjun bl-Appoġġ fuq toolbox.googleapps.com/apps/recovery/form + Ippromwovi Utent Standard permezz ta' DNS TXT Proof"]
    D -->|"2. Microsoft 365 / Entra ID (admin.microsoft.com)"| I{"Dan huwa Kerry Immaniġġjat 'Shadow / Viral' jew Kerry Immaniġġjat Kummerċjali Sħiħ?"}
    I -->|"Shadow / Kerrej Viral (Impjegati rreġistraw permezz ta' prova b'xejn ta' PowerBI/Teams)"| J["Eżegwixxi 'Internal Admin Takeover' ta' Self-Service permezz ta' PowerShell / M365 Wizard billi tuża Verifika Instant DNS TXT"]
    I -->|"Kerrej Immaniġġjat Kummerċjali Sħiħ (Amministratur Globali Uniku tilef l-MFA / telaq / miet)"| K["Ċempel għall-Appoġġ Kummerċjali ta' Microsoft -> Itlob Escalation 'Tim tal-Protezzjoni tad-Dejta (DPT)' -> Għaddi DNS TXT + Verifika tas-Sjieda tan-Negozju"]

Google Workspace vs Microsoft 365: Kif tvarja l-arkitettura tal-irkupru tal-kerrej¶

Filwaqt li kemm Google kif ukoll Microsoft jiddependu fuq DNS Awtorevoli TXT Verifika biex tipprova min għandu legalment l-isem tad-dominju mehmuż mal-kerrej tal-cloud, il-flussi tax-xogħol ta 'rkupru amministrattiv tagħhom huma differenti ħafna. Li tkun taf liema lievi jeżistu fuq kull pjattaforma se jiffrankaw jiem ta 'biljetti ta' appoġġ bla tmiem:

Playbook 1: Is-salvataġġ ta' Super Admin ta' Google Workspace msakkra (admin.google.com)¶

Jekk int imsakkar barra mill-kont uniku tiegħek ta' Google Workspace Super Admin, kemm jekk minħabba li t-telefown tiegħek b'Google Authenticator inqasam, iċ-ċavetta tas-sigurtà tal-ħardwer FIDO2 tiegħek intilfet, kuntrattur tal-IT li telaq biddel il-password, jew jekk ippermettitlek "Enforce 2-Step Verification" mingħajr ma tirreġistra l-kont tal-amministratur l-ewwel, wettaq dawn it-tliet passi f'ordni eżatta:

Metodu A: L-Awtomatizzat admin.google.com Isfida tal-Verifika tad-Dominju (L-aktar Mgħaġġla - 1 sa 24 Siegħa)¶

1. Iftaħ tieqa tal-browser Incognito/Privat fuq kompjuter li jinsab fuq l-uffiċċju normali jew in-netwerk Wi-Fi tad-dar tiegħek (il-magna tar-riskju ta’ Google tiskurja s-subnets familjari tal-IP ogħla) u mur fuq https://admin.google.com.
2. Daħħal l-indirizz elettroniku tas-Super Admin msakkra (admin@yourcompany.com) u kklikkja Li jmiss.
3. Jekk taf il-password iżda huma mblukkati minn Verifika f'2 Passi (MFA), daħħal il-password, imbagħad ikklikkja "Ipprova mod ieħor" fil-qiegħ tal-iskrin 2FA sakemm teżawrixxi l-metodi kollha mhux disponibbli. Jekk ma tafx il-password, ikklikkja "Insejt il-password?" u kklikkja "Ipprova mod ieħor" wara kull pront mhux disponibbli.
4. Ladarba l-għażliet standard kollha ta' rkupru jiġu eżawriti fuq dominju ta' Google Workspace ta' amministrazzjoni waħda, il-magna ta' rkupru awtomatizzata ta' Google tippreżenta l-iskrin tal-Verifika tal-Proprjetà tad-Dominju:
5. Dan iqanqlek biex iddaħħal indirizz elettroniku ta' kuntatt li bħalissa tista' tiċċekkja (bħal indirizz personali @gmail.com indirizz jew indirizz elettroniku tal-impjegat standard li jaħdem).
6. Google jibgħat email b'uniku CNAME jew TXT istruzzjonijiet ta' rekord ta' verifika.
7. Idħol fil-pannell tal-kontroll DNS tar-reġistratur tad-dominju tiegħek (Cloudflare, Route 53, GoDaddy, Namecheap) u żid l-eżatt TXT jew CNAME irreġistra fl-għerq (@) ta’ yourcompany.com b'TTL ta' 300 sekonda (5 minuti).
8. Pro Tip għall-Utenti Cloudflare: Jekk iżżid a CNAME rekord ta' verifika ġewwa Cloudflare DNS, ikklikkja l-ikona Orange Cloud biex iddawwarha Griża (DNS Only). Jekk Cloudflare's Orange Cloud (Proxied) titħalla attivata fuq verifika CNAME, Cloudflare jinterċetta l-mistoqsija u jirritorna IPs proxy Cloudflare minflok il-mira CNAME mistennija ta 'Google, u b'hekk il-verifika tonqos kull darba.

Metodu B: Il-Portal tal-Irkupru tal-Console tal-Amministrazzjoni Assistita minn Appoġġ (toolbox.googleapps.com/apps/recovery/form)¶

X'jiġri jekk il-loop ta' login awtomatizzat jgħid biss "Ikkuntattja l-amministratur tad-dominju tiegħek għall-għajnuna" (ironika meta inti l-amministratur tad-dominju) jew "Google ma setgħetx tivverifika li dan il-kont jappartjeni lilek"?

Uża l-Portal għall-Irkupru tal-Kont tal-Amministratur tal-Ispazju tax-Xogħol dedikat u mhux awtentikat ta' Google: 1. Miftuħ https://toolbox.googleapps.com/apps/recovery/form fil-browser tiegħek. 2. Daħħal l-l-isem tad-dominju primarju ta' Google Workspace tiegħek (eż., yourcompany.com) u imla l-CAPTCHA. 3. Agħżel l-għażla eżatta ta' emerġenza: - Jew itlob password/2FA reset fuq il-kont Super Admin msakkra; JEW - Rakkomandat jekk l-ex admin ikun ostili/mejjet: Agħżel l-għażla li tippromwovi kont tal-utent regolari eżistenti fid-dominju tiegħek (you@yourcompany.com) lis-Super Amministratur. 4. Ipprovdi indirizz elettroniku ta' kuntatt sekondarju li jaħdem fejn tista' tirċievi aġġornamenti tal-biljetti. 5. Is-sistema ta' Google immedjatament tiġġenera Numru ta' Referenza tal-Biljett u tibgħatlek email uniku TXT rekord tal-valur (ifformattjat bħal google-site-verification=rXOxyZ... jew google-workspace-recovery=...). 6. Ippubblika dak TXT irreġistra fiż-żona pubblika tad-DNS tad-dominju tiegħek, ivverifika direttament minn terminal li huwa live mad-dinja kollha billi tħaddem:

dig TXT yourcompany.com @8.8.8.8 +short

Playbook 2: Salvataġġ ta' Amministratur Globali ta' Microsoft 365 / Entra ID (admin.microsoft.com)¶

Il-lockouts ta' Microsoft 365 huma aktar diffiċli mill-lockouts ta' Google Workspace jekk ma tafx il-kanali eżatti tal-eskalazzjoni, minħabba li s-sistema tat-telefon ta' quddiem ta' Microsoft tipprova tgħid lil min iċempel biex "jilloggja fiċ-Ċentru tal-Amministrazzjoni biex jiftaħ biljett ta' appoġġ", u joħloq loop meta tkun imsakkar barra miċ-Ċentru tal-Amministrazzjoni.

Hawn huma l-erba' mogħdijiet tekniċi u proċedurali eżatti biex toħroġ minn lockout tal-Amministratur Globali tal-Microsoft 365:

Mogħdija 1: L-"Amministratur Sekondarju Moħbi" & .onmicrosoft.com Bypass Check (Iċċekkja Dan l-Ewwel f'5 Minuti)¶

Qabel ma toqgħod lura mat-Tim tal-Protezzjoni tad-Dejta ta' Microsoft, iċċekkja tliet affarijiet li jsalvaw 40 fil-mija tal-kerrejja M365 "imblukkati" fuq il-post: 1. Server SSO/Federazzjoni miksur (Okta, Duo, Cisco, ADFS) jissakkarek? - Meta tiffedera yourcompany.com lil Fornitur tal-Identità ta' parti terza (IdP) u dak iċ-ċertifikat tal-IdP jiskadi jew jissakkarek, billi tidħol bħala admin@yourcompany.com jidderieġik lejn l-IdP miksur. - The Instant Fix: Kull kerrej tal-Microsoft 365 għandu domain ta' riżerva nattiv tal-cloud biss li jispiċċa fi @yourtenant.onmicrosoft.com. Mur fuq https://entra.microsoft.com, tip admin@yourtenant.onmicrosoft.com (jew kwalunkwe isem tal-utent tal-Amministratur Globali li jeżisti fuq il- .onmicrosoft.com dominju), u tidħol. .onmicrosoft.com kontijiet DEJJEM jaqbżu l-federazzjoni SAML/WS-Fed ta’ parti terza u awtentika direttament kontra Microsoft Entra ID. 2. Kun persunal tal-IT għandu r-rwol ta' "Amministratur tal-Awtentikazzjoni Privileġġjata"? - Ħafna kumpaniji jassenjaw maniġer tal-IT ir-rwol ta' Amministratur tal-Awtentikazzjoni Privileġġjat mingħajr ma jagħmluhom Amministratur Globali sħiħ. Fil-Microsoft Entra ID, Amministratur ta' Awtentikazzjoni Privileġġjat għandu permess legali sħiħ biex jerġa' jissettja l-passwords U jirrevoka/jeħtieġ mill-ġdid MFA għal Amministratur Globali. 3. Xtrajt anke liċenzja WIEĦED permezz ta' Bejjiegħ mill-ġdid CSP (GoDaddy, Pax8, Sherweb, Ingram, CDW, Rackspace)? - Ħares lejn id-dikjarazzjoni tal-karta tal-kreditu tiegħek. Jekk il-kont tal-Microsoft 365 tiegħek ġej minn sieħeb aktar milli direttament minn MICROSOFT*G..., ċempel lis-support desk ta' dak is-sieħeb issa. Anke jekk biegħulek biss liċenzja waħda ta' Skambju Online ta' $6, jekk ir-relazzjoni tagħhom GDAP (Privileġġi ta' Amministrazzjoni Delegata Granulari) hija attiva fiċ-Ċentru tal-Imsieħba tiegħek, l-inġinier tagħhom jista' jerġa' jissettja l-MFA tal-Amministratur Globali tiegħek f'inqas minn 3 minuti.

Mogħdija 2: Kif Tilħaq it-"Microsoft Data Protection Team (DPT)" Meta Zero Admins Jistgħu Jilloggjaw¶

Jekk tixtri direttament mingħand Microsoft u l-uniku Amministratur Globali tiegħek ikun kompletament imsakkar (mitluf it-telefown Authenticator, jew maqbud f'linja fejn Microsoft Authenticator jitlobek tapprova numru b'żewġ ċifri ġewwa l-app Microsoft Authenticator li bħalissa qed tipprova tidħol fiha), għand ikollok Microsoft Data Protection Team ( uman) (DPT) inġinier iwettaq Sjieda tal-kerrej u Reset tal-Verifika DNS.

Kif tgħaddi mis-siġra tat-telefon AI awtomatizzata ta' Microsoft (IVR) fi żmien 2 minuti: 1. Ċempel in-numru reġjonali Microsoft Commercial Support (eż., 1-800-865-9408 jew 1-800-642-7676 fl-Istati Uniti/il-Kanada; ara l-lista globali sħiħa hawn taħt). 2. Il-bot tal-vuċi awtomatizzat huwa pprogrammat biex jiddevja sejħiet għal password standard aka.ms/sspr. Uża dawn il-frażijiet mitkellma eżatt f'kull pront: - Prompt 1 ("F'xiex qed iċempel?"): Għid ċar: "Lockout tal-kont tal-Amministratur Globali." - Prompt 2 ("Ippruvajt Self-Service Password Reset?"): Għid: "Iva, jien l-uniku Amministratur Globali fuq kerrej ta' negozju kummerċjali u m'hemmx amministraturi oħra." - Prompt 3 ("Liema prodott?"): Għid: "Microsoft 365 Business / Entra ID Commercial" u staqsi għal "Trasferiment lit-Tim tal-Protezzjoni tad-Data." 3. X'jiġri jekk is-siġra tat-telefon għadha tistrieħ fuqek? Uża l-"Trial Tenant Bridge Trick": - Dan huwa l-bypass ta' emerġenza magħruf tas-sysadmin meta l-IVR tat-telefon ta' Microsoft jirrifjuta li jgħaqqek: Mur fuq microsoft.com/microsoft-365/business, spin up b'xejn ta' 30 jum Prova Microsoft 365 Tenant bl-użu ta' throwaway temprescue-[yourcompany].onmicrosoft.com isem (jieħu 3 minuti, mingħajr ħlas għal 30 jum). - Idħol admin.microsoft.com ġewwa dak il-kerrej temporanju ta' prova, ikklikkja Support > Help & Support fir-rokna t'isfel tal-lemin, u iftaħ Severity-A Admin Support Ticket li tgħid: > "ESKALAZZJONI URGENTI TA' TEAM TA' PROTEZZJONI TA' DEJTA: Qed niftaħ dan il-biljett minn kerrej temporanju tal-pont għax jien l-uniku Amministratur Globali tal-kerrej tal-produzzjoni [YOURREALDOMAIN.COM / Tenant ID] u ninsab kompletament imsakkar barra mill-MFA b'żero Amministraturi Globali oħra. Jekk jogħġbok ittrasferixxi dan il-biljett lill-Microsoft Data Protection Team immedjatament."

Mogħdija 3: Tgħaddi mit-Tim tal-Protezzjoni tad-Data ta' Microsoft (DPT) Verifika tal-Verifika u DNS TXT Sfida¶

Ladarba inġinier tat-Tim tal-Protezzjoni tad-Data ta' Microsoft jippretendi l-każ tiegħek, isegwu protokoll ta' sigurtà strett ta' zero-trust qabel ma jneħħi l-MFA mill-Amministratur Globali tiegħek jew jippromwovi utent ġdid: 1. Prova ta' Sjieda tan-Negozju u Billing: Żomm dawn l-erba' oġġetti lesti f'folder sabiex tkun tista' taqrahom jew ittellahom fl-ewwel sejħa: - L-Isem tad-Dominju tiegħek (yourcompany.com) u onmicrosoft.com Isem tal-Kerrrej (sib il-GUID tal-ID tal-Kerrrej eżatt tiegħek f'kull ħin mingħajr ma tidħol billi żżur https://login.microsoftonline.com/yourcompany.com/v2.0/.well-known/openid-configuration); - L-l-aħħar 4 ċifri u d-data ta’ skadenza tal-karta ta’ kreditu fil-fajl għall-kontijiet tal-Microsoft (jew numri reċenti tal-Fattura Kummerċjali ta’ Microsoft G0...); - L-indirizz tat-triq tal-kontijiet eżatt u n-numru tat-telefon elenkati fuq il-Profil tal-Organizzazzjoni tal-kerrej; u - Uffiċjali Artikoli ta 'Inkorporazzjoni / Liċenzja tan-Negozju / Abbozz ta' Utilità jekk l-ex admin kien impjegat diżonest li poġġa t-telefon ċellulari tagħhom stess fuq il-profil. 2. ** Id-DNS Awtorevoli TXT Rekord Prova:** - L-inġinier tal-Protezzjoni tad-Data jagħtik string ta’ verifika unika (bħal MS=ms12345678 jew token speċifiku għall-każ) biex iżżid bħala TXT irreġistra fl-għerq (@) ta’ yourcompany.com. - Darba nslookup -type=TXT yourcompany.com jikkonferma li r-rekord ikun ħaj, l-inġinier tad-DPT jerġa' jissettja r-reġistrazzjoni tal-Awtentikazzjoni Multi-Fatturi tal-Amministratur Globali (Require Re-Register MFA) u toħroġ password temporanja sabiex tkun tista' tidħol u tirreġistra app Awtentikatur ġdida u ċavetta FIDO2.

Mogħdija 4: Self-Service "Internal Ammin Takeover" (Jekk id-Dominju Tiegħek Jinsab Imsakkar f'Shadow Tenent "Mhux Immaniġġjat / Viral")¶

X'jiġri jekk qed tipprova twaqqaf Microsoft 365 għal yourcompany.com, u Microsoft turi l-iżball: "yourcompany.com is already being used with another Microsoft 365 organization", għaliex tliet snin ilu impjegat każwali ffirma għal Power BI b'xejn, Microsoft Teams Exploratory, jew Fabric self-service kont bl-użu tagħhom @yourcompany.com email tax-xogħol? - Minħabba li dak il-kerrej "dell" għandu zero Amministraturi Globali (huwa Inkwilin Viral Mhux Immaniġġjat), m'għandek mhux bżonn li ċċempel lill-Appoġġ ta' Microsoft. - Tista' tesegwixxi Internal Admin Takeover instantanju: 1. Idħol fil-Microsoft 365 billi tuża kwalunkwe attiv @yourcompany.com kont tal-utent li jeżisti f'dak il-kerrej virali (jew oħloq kont b'xejn ta' Power BI self-service ma' admin@yourcompany.com). 2. Naviga lejn https://portal.office.com/admintakeover (jew ħaddem is-cmdlet tat-teħid tal-kontroll Microsoft Graph PowerShell). 3. Microsoft immedjatament turi TXT kodiċi ta' verifika (MS=msXXXXXXXX). 4. Paste dak TXT irreġistra fid-DNS tar-reġistratur tad-dominju tiegħek, ikklikkja Ivverifika, u Microsoft tippromovik istantanjament għal Amministratur Globali sħiħ yourcompany.com kerrej f'60 sekonda.

Verifika tas-sigurtà ta’ wara l-irkupru pass pass (Jekk il-lockout kien ikkawżat minn ex-amministratur jew kompromess ostili)¶

Jekk il-lockout tiegħek ġara minħabba li eks amministratur tal-IT, kuntrattur tterminat, jew attakkant estern skuntenti, neħħew il-privileġġi tiegħek deliberatament jew ħatfu l-kont tal-Amministratur Super/Globali, sempliċiment li terġa’ tikseb aċċess għall-login mhix biżżejjed. Attur ostili li kellu aċċess Super Admin jew Global Admin anke għal 15-il minuta spiss iħawwel "persistenza backdoors" sabiex ikunu jistgħu jerġgħu jieħdu l-kontroll fis-skiet il-ġimgħa d-dieħla anke wara li tibdel il-password prinċipali.

Esegwi dan it-tindif ta' persistenza ta' 5 punti fl-ewwel 30 minuta minn meta tidħol lura fil-console rkuprat tiegħek:

1. Awditja l-Prinċipali tas-Servizzi Maħluqin Ġodda, l-Apps OAuth tal-Intrapriża, u l-Passwords tal-App:
2. Fil-Microsoft Entra ID (entra.microsoft.com): Mur fuq Identity > Applications > Enterprise applications u App registrations. Issortja skond Data Maħluqa. Amministratur diżonest sofistikat se joħloq Reġistrazzjoni tal-App moħbija mogħtija RoleManagement.ReadWrite.Directory jew Directory.ReadWrite.All Permessi tal-applikazzjoni tal-Microsoft Graph API b'Sigriet tal-Klijent ta' 24 xahar. Anke jekk tħassar il-kont tal-utent tal-admin diżonest, l-iskrittura Python tagħhom tista 'tuża dak is-Sigriet tal-Klijent mid-dar biex tippromwovi utent backdoor ġdid għal Global Admin illejla. Ħassar kwalunkwe App Reġistrazzjonijiet jew Sigrieti tal-Klijent mhux rikonoxxuti immedjatament.
3. F'Google Workspace (admin.google.com): Mur fuq Security > Access and data control > API controls > Manage Domain Wide Delegation. Spezzjona kull Google Cloud Service Account Client ID li tkun ingħatat Delegazzjoni fid-Dominju Mifrux (https://www.googleapis.com/auth/admin.directory.user) u ħassar kwalunkwe proġett Google Cloud jew tokens OAuth mhux rikonoxxuti.
4. Iċċekkja r-Relazzjonijiet tal-Imsieħba (GDAP / DAP) u Settings ta' Aċċess bejn Inkwilini:
5. F'Microsoft 365 Admin Center, innaviga lejn Settings > Partner relationships. Ivverifika li l-kuntrattur diżonest ma għaqqadx il-Microsoft Partner Network personali tiegħu stess (MPN) kont bħala Cloud Solution Provider delegat ma' GDAP Drittijiet ta' Amministratur Globali.
6. Fil-Microsoft Entra ID, iċċekkja External Identities > Cross-tenant access settings u Users > All users (filtrazzjoni għal User type == Guest bi Rwoli Direttorju assenjati) biex tivverifika l-ebda esterna @gmail.com jew @outlook.com utent mistieden ġie assenjat skiet ir-rwol ta' Amministratur Globali jew Amministratur tar-Rwol Privileġġjat.
7. Tnaddaf Moħbija Regoli ta' Rotot tal-Posta Deħlin/Outbound u Awto-Forwarding:
8. Iċċekkja Exchange Admin Center > Mail flow > Rules (f'Microsoft 365) jew Apps > Google Workspace > Gmail > Routing (f'Google Workspace) għal kwalunkwe regola ta' trasport għall-kerrej kollu li skiet BCC jew iindirizza mill-ġdid emails eżekuttivi, links ta’ reset tal-password, jew fatturi ta’ trasferiment bil-wajer għal indirizz estern.
9. Irrevoka t-Tokens ta' Aġġornament Attivi kollha u l-Cookies tas-Sessjoni mal-Kerrrej kollu:
10. It-tibdil tal-password ta' utent f'ambjenti cloud mhux dejjem joqtol immedjatament it-tokens ta' aġġornar OAuth attivi jew l-Evalwazzjoni ta' Aċċess Kontinwu (CAE) sessjonijiet fuq laptops diġà awtentikati. Ikklikkja b'mod espliċitu "Revoka sessjonijiet / Sign out mis-sessjonijiet kollha" fuq il-kont tal-amministratur kompromess u dawwar il- krbtgt / Azure AD SSO Kerberos decryption key jekk Azure AD Connect / Entra Connect is-sinkronizzazzjoni ibrida hija skjerata fuq il-post.
11. Ippermetti "Approvazzjoni Amministratur/Approvazzjoni minn Partijiet Multipli" u Twissija dwar Assenji ta' Rwol:
12. Ikkonfigura twissija immedjata ta' email u SMS webhook ġewwa Logs ta' Verifika ta' Google Workspace Admin jew Microsoft Entra ID Privileged Identity Management (PIM) sabiex kull Amministratur Super/Globali jirċievi twissija immedjata 'l barra mill-banda kull meta utent jiżdied ma' rwol amministrattiv jew kull meta s-settings tal-MFA jiġu modifikati.

Numri ta' emerġenza reġjonali u protokolli ta' aġenzija¶

Mistoqsijiet frekwenti¶

Għaliex it-Tim tal-Protezzjoni tad-Dejta ta' Microsoft kultant jieħu minn 5 sa 10 ijiem biex jinfetaħ Amministratur Globali meta nista' nipprova li jien stess id-DNS issa?¶

Minħabba li l-kerrejja kummerċjali tal-Microsoft 365 spiss ikollhom biljuni ta’ dollari fi proprjetà intellettwali, awtorità tal-wajers bankarji, u dejta tal-HIPAA/GDPR, l-attakkanti tal-inġinerija soċjali spiss jippruvaw iqarrqu lill-aġenti tal-appoġġ biex jirresettjaw l-MFA tal-Amministratur Globali. Konsegwentement, Microsoft tillimita r-resets tal-MFA tal-Amministratur Globali mhux awtentikati għal unità Tier-3 żgħira speċjalizzata msejħa **Tim tal-Protezzjoni tad-Data (`DPT`)**. Waqt li tkun qed tistenna fil-kju DPT: (1) ċempel lura darba kuljum billi tirreferi n-**Numru tal-Każ ta' 16-il ċifra tiegħek**, (2) staqsi lill-aġent ta' quddiem biex jimmarka l-biljett bħala **"Business Critical - Total Admin Lockout with Zero Backup Admins (Severity A)"**, u (3) jekk għandek Microsoft Account Executive, Cloud Solution Provider`CSP`), jew kuntratt ta' Appoġġ Unifikat, staqsihom biex jissottomettu eskalazzjoni interna **"CritSit" (Sitwazzjoni Kritika)** fuq in-numru tal-każ tiegħek, li tipikament tnaqqas il-ħin tar-rispons tad-DPT għal inqas minn 24 siegħa.

X'jiġri jekk l-eks impjegat tal-IT diżonesti jsakkarna KEMM minn Microsoft 365/Google Workspace U U r-Reġistratur tad-Dominju tagħna (GoDaddy / Cloudflare)?¶

Jekk impjegat jew kuntrattur telaq irreġistrat `yourcompany.com` taħt il-login tagħhom stess jew issakkruk mir-Reġistratur tad-Dominju tiegħek (GoDaddy, Namecheap, Cloudflare, Network Solutions), l-ewwel trid tirkupra l-kont tar-Reġistratur tad-Dominju**, għax ma tistax tippubblika d-DNS ta’ Google/Microsoft `TXT` rekord mingħajr aċċess għar-reġistratur. Kull reġistratur akkreditat mill-ICANN għandu **Portal ta’ Tilwim dwar Sjieda tad-Dominju/Irkupru tal-Kont** dedikat (pereżempju, il-GoDaddy’s `Account Recovery & Change of Update Request`). Ibgħat: (1) l-**Artikoli ta’ Inkorporazzjoni / Ittra EIN tal-IRS / Reġistrazzjoni tan-Negozju** tal-kumpanija tiegħek, (2) kopja tal-**ID tar-Ritratt tal-Gvern** tiegħek bħala uffiċjal korporattiv, u (3) **karta ta’ kreditu korporattiva jew rendikonti bankarji** li juru li l-kumpanija tiegħek ħallset għar-reġistrazzjoni tad-dominju u t-tariffi tat-tiġdid. Ir-reġistratur jittrasferixxi d-dominju f'kont korporattiv ġdid fi żmien 48 sa 96 siegħa, li jippermettilek tippubblika d-DNS `TXT` irreġistra u ħu lura Google Workspace jew Microsoft 365 immedjatament wara.

Kif insib il-Microsoft Entra ID tiegħi "Tenant ID" (GUID) jekk kull persuna waħda tkun imsakkra barra mill-portal?¶

Meta ċċempel lit-Tim tal-Protezzjoni tad-Data ta' Microsoft, li jkollok il-**GUID tal-ID tal-Inkwilin** eżatt ta' 36 karattru tiegħek (`xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx`) tħaffef ir-rotta tal-biljetti b'mod drammatiku. Anki jekk ħadd fil-kumpanija tiegħek ma jista' jidħol, l-endpoint tal-metadejta OpenID Connect ta' Microsoft huwa pubbliku għal kull dominju fid-dinja. Iftaħ kwalunkwe web browser u naviga għal: `https://login.microsoftonline.com/YOURDOMAIN.COM/v2.0/.well-known/openid-configuration` (li tissostitwixxi `YOURDOMAIN.COM` bl-isem tad-dominju tal-kumpanija tiegħek). Fit-test JSON li jidher fuq l-iskrin, ħares lejn l-ewwel URL wara `"token_endpoint"`: il-kodiċi alfanumeriku b'36 karattru eżatt wara `login.microsoftonline.com/` hija eżatta l-**Microsoft Entra Tenant ID** tiegħek.

Se tirreset l-Amministratur Globali jew Super Admin permezz tad-DNS TXT verifika tħassar xi emails, fajls OneDrive, jew dokumenti Google Drive?¶

Le. La l-fluss tal-Google Workspace DNS Admin Recovery u lanqas Microsoft Data Protection Team MFA/reset tal-password ma jmiss byte wieħed tad-dejta tal-kaxxa postali tal-utent, siti ta’ SharePoint, folders ta’ OneDrive, timijiet chats, jew dokumenti ta’ Google Drive. Fil-fatt, jekk tagħżel l-għażla li **tippromovi kont standard eżistenti ta’ impjegat għal Super Admin / Global Admin** (minflok issettja mill-ġdid il-password tal-impjegat li telaq), il-kaxxa postali u l-fajls tal-impjegat li telaq jibqgħu kompletament mhux mittiefsa u ppreservati għal skoperta legali filwaqt li l-admin promoss ġdid tiegħek jieħu kontroll sħiħ tal-console.

X'jiġri jekk inwaqqfu politika ta' Aċċess Kundizzjonali ta' Microsoft Entra li b'mod aċċidentali bblokkat lill-utenti KOLLHA (inklużi l-Amministraturi Globali) billi titlob apparat Intune konformi jew indirizz IP speċifiku?¶

Dan jissejjaħ **Lockout Awto-Aċċess Kondizzjonali**, bħal meta amministratur joħloq politika ta' Aċċess Kundizzjonali mmirata `"All Users"` u `"All Cloud Apps"` b'kontroll li ma jistax jiġi sodisfatt (bħal li teħtieġ apparat Hybrid Azure AD Joined jew firxa VPN IP skaduta) u tinsa tiċċekkja l- `"Exclude Emergency Access Accounts"` kaxxa. Minħabba li l-politika timblokka kull admin waqt il-login, anki jekk tkun taf il-password tiegħek u li jkollok it-telefon MFA li jaħdem ma tħallikx tidħol. L-unika triq ta' salvataġġ tiegħek hija li ċċempel **Microsoft Commercial Support**, teskala lill-**Data Protection Team**, tgħaddi d-DNS `TXT` verifika tas-sjieda, u staqsi lill-inġinier DPT biex iħaddem l-għodda interna backend tagħhom biex **jiskonnettja l-politika ta’ Aċċess Kundizzjonali li toffendi** fuq il-kerrej tiegħek.

Gwidi relatati¶

• Ħtif tal-ismijiet tad-dominju, DNS skadut, u teħid ta' kontroll tal-websajt
• Projbizzjoni tal-kont tal-cloud: Appelli tal-lockout ta' Google, Apple, u Microsoft
• Numru tat-telefon ta 'awtentikazzjoni b'żewġ fatturi riċiklat minn trasportatur u lockout ta' SMS
• Lockout tal-maniġer tal-password, telf tal-password prinċipali, u rkupru tal-kaxxa-forti

Sorsi u gwida uffiċjali¶

• Għajnuna u Dokumentazzjoni tas-Sigurtà ta' l-Amministratur ta' Google Workspace: Irkupra Aċċess ta' Amministratur għall-Kont Tiegħek ta' Google Workspace (admin.google.com), DNS Megħjun bl-Appoġġ TXT/CNAME Verifika (toolbox.googleapps.com/apps/recovery/form), u l-Aħjar Prattiki għall-Kontijiet Break-Glass ta' Super Amministratur.
• Microsoft Learn (Microsoft Entra ID / Microsoft 365 Dokumentazzjoni): Immaniġġja l-Kontijiet ta’ Aċċess ta’ Emerġenza f’Microsoft Entra ID, Wettaq Akkwist ta’ Amministratur Intern fuq Direttorju Mhux Immaniġġjat permezz ta’ Verifika DNS TXT, u Amministratur Globali MFA Lockout Escalation permezz tat-Tim tal-Protezzjoni tad-Data.
• Aġenzija tas-Sigurtà taċ-Ċibersigurtà u l-Infrastruttura (CISA, l-Istati Uniti): Arkitettura ta' Referenza Teknika tas-Sigurtà tas-Cloud u Linji Bażi CISA ScubaGear għal Microsoft 365 u Google Workspace Tenant Resilience.
• Istitut Nazzjonali ta 'Standards u Teknoloġija (NIST): Pubblikazzjoni Speċjali 800-63B (Linji Gwida dwar l-Identità Diġitali: Awtentikazzjoni u Ġestjoni taċ-Ċiklu tal-Ħajja, Irkupru ta' Awtentikatur Multi-Fatturi).
• Korporazzjoni tal-Internet għall-Ismijiet u Numri Assenjati (ICANN): Drittijiet u Responsabbiltajiet tar-Reġistranti u Protokolli tal-Verifika tal-Kontroll tal-Ismijiet tad-Dominju.