要求使用受管理裝置進行 MFA 註冊，能有效阻止攻擊者在憑證遭竊的情況下，註冊惡意 MFA，因為若攻擊者無法取得受管理裝置，也就無法完成註冊流程。

若允許從任何裝置進行多因素驗證 (MFA) 註冊，而不考慮其管理或合規狀態，將帶來嚴重的安全風險。萬一攻擊者成功取得使用者的憑證，就能從未受管理裝置註冊自己的 MFA 因素。這將繞過 MFA 的保護，使攻擊者能夠控制第二個驗證因素，進而在未經授權的情況下存取機密資源，甚至可能導致整個帳號遭到接管。
零信任模型僅允許從受信任且合規的裝置執行 MFA 註冊等關鍵動作。將 MFA 註冊限制在受管理的裝置上，可確保啟用此關鍵安全功能的裝置符合組織的標準。這會大幅降低攻擊者利用遭竊憑證註冊惡意 MFA 的風險。
根據 BOD 25-01 的強制要求，CISA 發表之「Microsoft Entra ID 的 M365 安全設定基準」中的 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.8v1</a> 原則明確規定:「進行 MFA 註冊時應要求使用受管理裝置」。
根據 CISA 指導方針，此曝險指標 (IoE) 會確保至少啟用一項條件式存取原則，限定只有受管理裝置才能進行 MFA 註冊，其設定內容如下:
<ul>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">使用者</a>」設定為包含「所有使用者」。</li>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-cloud-apps">目標資源</a>」設定為「使用者動作」，並選取「註冊安全資訊」。</li>
<li>「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant">授予</a>」設定為「授予存取權」，並勾選「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">需要將裝置標記為合規</a>」、「<a href="https://learn.microsoft.com/zh-tw/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">需要 Microsoft Entra 混合加入裝置</a>」選項，且在底部勾選「符合所選任一控制項即可」。</li>
<li>「啟用原則」設定為「開啟」(而非「關閉」或「僅報告」)。</li>
</ul>

偵測

進行 MFA 註冊時無需使用受管理裝置

MEDIUM

版本 202506111610