Страчаны аўтэнтыфікатар VPN: замяніць, не адключаючы MFA

Хтосьці губляе тэлефон, і заяўка прыходзіць як «VPN зламаны». Гэтае фармуляванне памылковае двойчы: уліковы запіс усё яшчэ існуе, а шлюз усё яшчэ давярае пастаўшчыку ідэнтычнасці, таму адзіная зламаная частка — гэта адзін фактар, які чалавек больш не трымае. Разглядайце гэта як аднаўленне, а не як аварыю: праверце заяўніка, зарэгіструйце замену, адклічце страчаны метад, потым дакажыце, што ўліковы запіс працуе. Усё гэта мяркуе, што план быў напісаны да страты, бо прыдумляць яго падчас званка — гэта шлях, якім MFA канчае тым, што выключаецца для ўсіх.

Крок 1: чытайце зарэгістраваныя фактары з запісу, а не з памяці

Першае пытанне — не якая прылада страчана, а што яшчэ ўліковы запіс можа выкарыстоўваць. Запіс можа мець пароль плюс push, кодавы код на аснове часу, апаратны ключ і надрукаваныя коды аднаўлення, і страта аднаго з іх — зусім іншая падзея, чым страта адзінага. Чытайце спіс метадаў з сістэмы ідэнтычнасці замест таго, каб прасіць карыстальніка запомніць яго, і ў арэндары Microsoft Entra запыт — гэта адзін радок:

Get-MgUserAuthenticationMethod -UserId [email protected]

Затым напішыце запіс аднаўлення, пакуль уліковы запіс яшчэ працуе: ідэнтыфікатар запісу, зарэгістраваныя фактары, дзе жывуць коды аднаўлення, хто можа незалежна праверыць заяўніка і якія сістэмы дасягае запіс. Трымайце яго ў абароненым інвентары, які каманда ўжо выкарыстоўвае, ніколі ў нататцы, дзе таксама ёсць жывыя коды. Гэтыя пяць палёў ператвараюць панічнае званне ў кантрольны спіс, і кіраўніцтва NIST па жыццёвым цыкле аўтэнтыфікатара разглядае аднаўленне як частку пасведчання, а не выключэнне з яго.

Запішыце канал праверкі асобным полем, бо менавіта гэтую частку людзі прапускаюць. Нумар тэлефона, прывязаны да запісу, не з'яўляецца незалежным каналам, калі чалавек, які просіць, таксама кантралюе тэлефон.

Крок 2: праверце заяўніка па-за збойным шляхам

Праводзьце праверку асобы праз канал, які не залежыць ад VPN, паштовай скрыні або страчанай прылады. Зваротны званок на нумар з запісу HR або асабістая праверка з кіраўніком, які ўжо ёсць у каталогу, — абодва працуюць; паведамленне ў чаце, адпраўленае з запісу, які аднаўляецца, — не. Праверка тычыцца чалавека, а не яго здольнасці адказваць на пытанні пра запіс, бо дэталі запісу ўцякаюць. Запішыце, хто праверыў запыт і калі, паколькі наступны рэцэнзент захачэ абодва.

Калі запыт прыходзіць з тэрміновасцю і ціскам прапусціць праверку, гэта і ёсць момант, каб запаволіцца. Махлярства з аднаўленнем выглядае зусім як карысны калега, які спяшаецца.

Крок 3: зарэгіструйце замену, потым адклічце стары фактар

Зарэгіструйце новы аўтэнтыфікатар праз звычайны паток рэгістрацыі, ніколі праз адміністрацыйны абыход. Затым явна выдаліце страчаны метад, бо рэгістрацыя замены пакідае папярэдні аўтэнтыфікатар дазволеным, пакуль хтосьці не адкліча яго. Калі старая прылада можа быць у чужых руках, разглядайце выдаленне як тэрміновае і ідзіце па працэсе інцыдэнту, а не аднаўлення. Адклічце існуючыя сеансы ў тым жа праходзе, бо сеанс, створаны да змены, можа перажыць яе:

Revoke-MgUserSignInSession -UserId [email protected]

Выдаленне фактара для ўсіх астатніх або паслабленне праверак сертыфіката шлюза абменьвае аднаўленне аднаго чалавека на аварыю, якая закранае ўсё разгортванне. Трымайце змену ў межах аднаго запісу і эскаліруйце, калі доказы паказваюць на шырэйшы ўзлом. Адзначце ў заяўцы, які фактар адклічаны і які яго замяніў.

Крок 4: дакажыце, што запіс працуе ў абодвух кірунках

Увайдзіце аднойчы з новым фактарам праз падтрымліваемы кліент, потым пацвердзіце, што запіс усё яшчэ дасягае рэсурсаў, якія дасягаў да страты. Праверце адзін рэсурс, якому патрэбен тунель, і адзін, якому не патрэбен, каб збой паказваў на правільны слой. Паспрабуйце ўваход са адкліканым фактарам і чакайце адмову, а не запыт, што даказвае, што выдаленне пачало дзейнічаць. Выклік, які збойвае з існуючай зарэгістраванай прылады — гэта праблема запыту, а не прычына перарэгістроўваць усё.

Затым папрасіце карыстальніка выканаць той жа ўваход без падказкі. Ваш паспяховы тэст даказвае канфігурацыю; яго спроба даказвае перадачу.

Закрыйце заяўку з часавай меткай паспяховага ўваходу і назвай фактара, які зараз выкарыстоўваецца. Абнавіце запіс аднаўлення ў тым жа праходзе, каб наступная страта пачыналася з дакладнага інвентара, а не састарэлага.

Крок 5: выдаліце ўмову, якая зрабіла гэта балючым

Кожнае званне аднаўлення — доказ пра дызайн рэгістрацыі. Калі ў запісе быў роўна адзін фактар, патрабуйце другі для ўсіх у гэтай групе. Калі коды аднаўлення ляжалі на страчаным ноўтбуку, змяніце месца, дзе яны жывуць. Калі праверка патрабавала кіраўніка ў адпачынку, прызначце намесніка. Кожнае выпраўленне займае паўдня і прыбірае найгоршую гадзіну наступнага інцыдэнту.

Затым перачытайце запіс з першага кроку супраць рэальнасці. Ці пералічвае ён фактары, якія сапраўды існуюць, і ці канал праверкі ўсё яшчэ дасягае чалавека? Кіраўніцтва, якое ніхто не абнаўляе, ператвараецца ў дакумент, які людзі ігнаруюць падчас званка, для якога яно было напісана.