درخواست مشاورهMFA لازم است اما همه روش‌ها برابر نیستند. حملات fatigue روی push notification و کیت‌های phishing روی OTP پیامکی و برخی روش‌های اپیکیشن کار می‌کنند.
number matching، محدودسازی نرخ push، و قفل پس از تلاش‌های مشکوک، خستگی را سخت‌تر می‌کند. آموزش کاربران برای رد درخواست‌های ناخواسته حیاتی است.
انتقال تدریجی نقش‌های ممتاز به FIDO2 بیشترین بازدهی را دارد. حساب‌های ادمین نباید روی SMS تکی تکیه کنند.
لاگ MFA deny/approve را به SIEM بفرستید. موج تأییدهای ردشده قبل از یک approve موفق، سیگنال قوی compromise است.
برای پیمانکاران و دسترسی اضطراری، روش و مدت MFA جداگانه و کوتاه‌عمر تعریف کنید تا استثنا به حفره دائمی تبدیل نشود.
Hoxy در پروژه‌های IAM، پوشش MFA را با کیفیت روش و متریک fatigue اندازه‌گیری می‌کند، نه فقط درصد فعال‌سازی.