İtirilmiş VPN autentifikatoru: MFA-nı söndürmədən dəyişdirmək

Kimsə telefonunu itirir və bilet VPN işləmir başlığı ilə gəlir. Bu çərçivə iki dəfə səhvdir: hesab hələ də mövcuddur və şlüz hələ də kimlik provayderinə güvənir, yəni yeganə xarab hissə insanın artıq saxlamadığı bir amildir. Buna fasilə deyil, bərpa kimi yanaşın: sorğunu yoxlayın, əvəzedici qeydiyyatdan keçirin, itirilmiş üsulu dayandırın, sonra hesabın işlədiyini sübut edin. Bütün bunlar planın itkidən əvvəl yazıldığını fərz edir, çünki zəng zamanı onu uydurmaq MFA-nın hamı üçün söndürülməsi ilə bitən yoldur.

Addım 1: qeydiyyatdan keçmiş amilləri yaddaşdan deyil, qeyddən oxuyun

İlk sual hansı cihazın itirildiyi deyil, hesabın başqa nəyi istifadə edə bildiyidir. Hesabda parol və push, vaxta əsaslanan kod, aparat açarı və çap edilmiş bərpa kodları ola bilər və bunlardan birini itirmək yeganəni itirməkdən tamamilə fərqli hadisədir. Metod siyahısını istifadəçidən yadda saxlamağı xahiş etmək əvəzinə kimlik sistemindən oxuyun və Microsoft Entra tenantında sorğu bir sətirdir:

Get-MgUserAuthenticationMethod -UserId [email protected]

Sonra hesab hələ işləyərkən bərpa qeydini yazın: hesab identifikatoru, qeydiyyatdan keçmiş amillər, bərpa kodlarının harada yaşadığı, sorğunu kimin müstəqil yoxlaya biləcəyi və hesabın hansı sistemlərə çatdığı. Onu komandanın artıq istifadə etdiyi qorunan inventarda saxlayın, heç vaxt canlı kodların da olduğu qeyddə saxlamayın. Bu beş sahə panikaya düşmüş zəngi yoxlama siyahısına çevirir və NIST-in autentifikator həyat dövrü təlimatı bərpanı etimadnamənin istisnası deyil, hissəsi kimi qəbul edir.

Yoxlama kanalını ayrıca sahə kimi qeyd edin, çünki insanlar məhz bu hissəni atlayır. Sorğu göndərən şəxs telefonu da idarə edirsə, hesaba bağlanmış telefon nömrəsi müstəqil kanal deyil.

Addım 2: sorğunu uğursuz yoldan kənarda yoxlayın

Kimlik yoxlamasını VPN-dən, poçt qutusundan və ya itirilmiş cihazdan asılı olmayan kanalla aparın. HR qeydindən bir nömrəyə geri zəng və ya artıq kataloqda olan menecerlə üz-üzə yoxlama işləyir; bərpa altındakı hesabdan göndərilən çat mesajı isə işləmir. Yoxlama şəxsin özü ilə bağlıdır, hesab barədə suallara cavab vermə qabiliyyəti ilə deyil, çünki hesab detalları sızır. Sorğunu kimin və nə vaxt yoxladığını qeyd edin, çünki növbəti rəyçi hər ikisini istəyəcək.

Sorğu tələsik və yoxlamanı atlamaq təzyiqi ilə gələndə yavaşlamağın vaxtı məhz odur. Bərpa fırıldaqçılığı tələsən köməkçi həmkar kimi görünür.

Addım 3: əvəzedicini qeydiyyatdan keçirin, sonra köhnə amili dayandırın

Yeni autentifikatoru normal qeydiyyat axını ilə qeydiyyatdan keçirin, heç vaxt inzibati yan keçidlə deyil. Sonra itirilmiş metodu açıq şəkildə silin, çünki əvəzedicini qeydiyyatdan keçirmək əvvəlki autentifikatoru kimsə dayandırana qədər səlahiyyətli qoyur. Köhnə cihaz başqa birinin əlində ola bilərsə, silinməyə təcili məsələ kimi yanaşın və bərpa deyil, insident prosesini izləyin. Mövcud sessiyaları eyni keçiddə ləğv edin, çünki dəyişiklikdən əvvəl yaradılmış sessiya ondan sonra da yaşaya bilər:

Revoke-MgUserSignInSession -UserId [email protected]

Amili hamının üçün silmək və ya şlüzün sertifikat yoxlamalarını yumşaltmaq bir nəfərin bərpasını bütün yerləşdirməyə toxunan fasilə ilə dəyişir. Dəyişikliyi tək hesabla məhdudlaşdırın və dəlillər daha geniş kompromisə işarə edirsə, yuxarıya ötürün. Biletdə hansı amilin dayandırıldığını və hansının onu əvəz etdiyini qeyd edin.

Addım 4: hesabın hər iki istiqamətdə işlədiyini sübut edin

Dəstəklənən müştəri ilə yeni amillə bir dəfə daxil olun, sonra hesabın itkidən əvvəl çatdığı resurslara hələ də çatdığını təsdiqləyin. Tunel tələb edən bir resursu və tələb etməyən bir resursu sınayın ki, nasazlıq düzgün qatı göstərsin. Dayandırılmış amillə daxil olmağa cəhd edin və sorğu deyil, rədd gözləyin, bu da silinmənin qüvvəyə mindiyini sübut edir. Mövcud qeydiyyatdan keçmiş cihazdan uğursuz olan çağırış sorğu problemidir, hər şeyi yenidən qeydiyyatdan keçirmək üçün səbəb deyil.

Sonra istifadəçidən eyni girişi təlimat olmadan tamamlamağı xahiş edin. Sizin uğurlu testiniz konfiqurasiyanı sübut edir; onların cəhdi təhvil verməni sübut edir.

Bileti uğurlu girişin vaxt damğası və hazırda istifadə olunan amilin adı ilə bağlayın. Bərpa qeydini eyni keçiddə yeniləyin ki, növbəti itki köhnəlmiş deyil, dəqiq inventardan başlasın.

Addım 5: bunu ağrılı edən şərti aradan qaldırın

Hər bərpa zəngi qeydiyyat dizaynı haqqında dəlildir. Hesabda düz bir amil varsa, həmin qrupdakı hamı üçün ikincisini tələb edin. Bərpa kodları itirilmiş noutbukda idisə, onların yaşadığı yeri dəyişin. Yoxlama məzuniyyətdə olan menecer tələb edirdisə, müavin təyin edin. Hər düzəliş bir günorta çəkir və növbəti insidentin ən pis saatını aradan qaldırır.

Sonra birinci addımdakı qeydi reallıqla yenidən oxuyun. O, həqiqətən mövcud olan amilləri sadalayırmı və yoxlama kanalı hələ də insana çatırmı? Heç kimin yeniləmədiyi təlimat kitabı, yazıldığı zəng zamanı insanların görməzlikdən gəldiyi sənədə çevrilir.