去年，微軟成功攔截了數百億次針對Office 365和Azure Active Directory (Azure AD) 客戶的暴力破解和網絡釣魚攻擊。

微軟負責安全、合規的副總裁 Vasu Jakkal表示，自2021年1月到2021年12月，微軟使用 Microsoft Defender for Office 365 阻止了超過256億次 Azure AD暴力驗證攻擊，并攔截了357億封網絡釣魚電子郵件。其中，多因素身份驗證 (MFA) 和無密碼身份驗證的應用，大大提高了攻擊者攻擊Microsoft 目標帳戶的門檻。

然而，即使近年來網絡攻擊形勢和破壞力日益嚴峻，微軟依舊未發現大多數客戶群體對于無密碼身份驗證和MFA等強身份驗證防護感興趣。數據顯示，截至2021年12月，在各個行業中，只有22%的使用微軟云身份解決方案 Microsoft Azure Active Directory (Azure AD) 的客戶實施了強身份驗證保護。

Jakkal表示，MFA 和無密碼解決方案對于各類網絡攻擊威脅都有明顯的效果，因此微軟也致力于向用戶推廣此類解決方案，以便企業可以更好地保護自己。

不久之前，微軟還發布了告警稱，一場活躍的多階段網絡釣魚活動攻擊正在襲來，它們利用 Azure AD 將流氓設備注冊到目標網絡以分發網絡釣魚電子郵件，如果啟用了MFA 策略，此類攻擊將會被阻止。

多因素身份驗證很重要

目前，網絡釣魚仍然是獲得初始進入企業內網的最主要攻擊手段。隨著企業在家工作的員工增加，擴大了潛在攻擊面，這同時也改變公司內部和外部的網絡界限。攻擊者部署各種策略，來針對混合工作、人為錯誤、影子IT，或是未受管理的應用程序、服務、設備，和其他在標準政策外運行的基礎設施。

而啟用用多因素身份驗證 (MFA)將會大大增加攻擊者攻擊成功并控制目標賬戶的難度。微軟身份安全總監 Alex Weinert表示，從長遠來看，企業用戶設置的密碼往往無關緊要，但是MFA很重要。研究表明，如果企業/用戶啟用了MFA，賬戶被盜的可能性會降低99.9%以上。

谷歌、紐約大學和加州大學圣地亞哥分校的一項聯合研究也證實了這一結論，MFA可以阻止高達 100% 的自動爬蟲程序、99%的批量網絡釣魚攻擊和大約66%的定向攻擊。美國網絡安全和基礎設施安全局 (CISA) 還建議將MFA添加到網絡安全列表中，并替代以往不太安全的單因素身份驗證 (SFA) 。

參考來源：

https://www.bleepingcomputer.com/news/microsoft/microsoft-blocked-billions-of-brute-force-and-phishing-attacks-last-year/