Тренування з OAuth-згодою

Тренування з OAuth-згодою показує екран, що з’являється, коли застосунок просить доступ до облікового запису: «Цей застосунок хоче читати вашу пошту. Дозволити чи скасувати?» Сам екран — справжній, від Microsoft або Google, і саме тому атака спрацьовує. Натискання Allow дає застосунку доступ, який працює й після скидання пароля та не потребує MFA. У тренуванні насправді нічого не надається.

Ці тренування розміщено на вкладці Тренування з OAuth-згодою у розділі Управління контентом → Мікронавчання. Потрібен дозвіл Керування тренуваннями з OAuth-згодою.

Що бачать учні

1. Сцена: короткий вступ пояснює, як вони потрапили на екран згоди.
2. Огляд: екран згоди відкривається у вікні браузера. Учні натискають на все підозріле: назву застосунку, видавця, кожен дозвіл, адресу повернення.
3. Розбір: знайдені та пропущені червоні прапорці з поясненнями.
4. Реакція: скасувати й повідомити, і чому «відкличу пізніше» — уже запізно.
5. Тест.

Створення тренування з OAuth-згодою

Натисніть Створити тренування і виберіть шаблон: Adobe Cloud Mailer — надання доступу до поштової скриньки, HR-портал пільг — доступ до файлів, Microsoft Q&A — вхід від вашого імені, Продуктивна надбудова — надмірні дозволи або Власний шаблон. Потім заповніть:

• Сцена: Назва тренування, Заголовок сцени та Опис сцени.
• Екран згоди:
  • Назва застосунку та Рядок видавця.
  • Перевірений видавець: увімкнено — показується значок перевірки, вимкнено — попередження про неперевіреного видавця.
  • URL повернення / переспрямування: куди надходить дозвіл після Allow.
  • Запитані обсяги доступу: кожен дозвіл, який просить застосунок. Позначте Конфіденційно, щоб показати поруч попередження.
  • Підпис кнопки «Дозволити» та Підпис кнопки «Скасувати».
• Платформа ідентифікації: Edge (Microsoft) або Chrome (Google).

Червоні прапорці

У розділі Налаштувати червоні прапорці виберіть серед: Неперевірений видавець, Назва програми-двійника, Надання дозволу без кроку входу в систему, Надто широкий обсяг доступу, Невідповідність обсягу доступу та призначення, Автономний доступ (Refresh Token) та URL повернення-двійник.

Два пункти в списку перевіряють судження: Справжній логотип постачальника та Базовий обсяг для входу — нормальні, і учень, який позначить їх як підозрілі, втрачає бали. Для Неперевірений видавець потрібно вимкнути Перевірений видавець, а прапорцям обсягу доступу потрібен щонайменше один обсяг.

Оцінювання

Кожен знайдений червоний прапорець, правильна реакція та кожна правильна відповідь у тесті дають бал. Позначення безпечного елемента знижує оцінку. Тренування пройдено, коли оцінка досягає Порогу проходження тесту.

Поради

• Обирайте платформу ідентифікації, якою користується ваша організація (Microsoft 365 або Google Workspace).
• Підкажіть учням, до кого звертатися, якщо вони не впевнені, чи застосунок схвалено.