安全
推出抗钓鱼 MFA
高风险用户与服务从可被钓的验证，改为已核实的抗钓鱼方式，并管控恢复与例外。
流程
按这个顺序做。
- 盘点用户、应用、协议、设备约束、当前因子、特权角色、紧急账号和账号恢复路径。
- 选择身份提供方和目标应用支持的、基于标准的抗钓鱼方法，并定义保证与设备要求。
- 在可行处关闭旁路：遗留认证、弱注册、不安全恢复、未托管转发和无限制回退因子。
- 与管理员和代表性用户试点，测试注册、日常登录、设备丢失、差旅、无障碍、离线需求、恢复、支持和回滚。
- 按风险优先分波次注册用户，配合清晰沟通、核实注册、服务台流程以及采用与失败遥测。
- 按应用和人群强制策略，监控登录与恢复事件，并调查旁路尝试或意外回退。
- 记录并限时例外，测试紧急账号，退役被取代因子，并定期再认证覆盖面。
先准备
猫会向你要的输入。
- 身份提供方与应用清单
- 用户与特权角色人群
- 支持的认证器与设备约束
- 恢复与例外策略
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
cybersecurity-pack skills/cybersecurity-skills/implementing-passwordless-authentication-with-fido2/SKILL.mdskills/cybersecurity-skills/implementing-conditional-access-policies-azure-ad/SKILL.md
界限
界限跟着提示一起走。
- 广泛强制前先试点，并维持已测试的紧急访问以防锁定。
- 不要悄悄把用户降级到可被钓鱼的回退方法。
- 用强身份核验和可审计的管理员操作保护注册与恢复。
完成代表
一个可核对的终点。
所有目标账号在覆盖服务上使用强制的抗钓鱼 MFA，旁路已关闭或限时，恢复已测试，登录遥测确认运行正常。
来源
这个流程从哪来。
- www.cisa.gov/sites/default/files/2023-01/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
- pages.nist.gov/800-63-4/sp800-63b.html
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
