Пераўсталяванне не адклікала выкрадзеныя ўліковыя даныя VPN

Ачыстка скампраметаванага ноўтбука здаецца канцом інцыдэнту. Звычайна гэта яго сярэдзіна. Пароль, токен сеансу або экспартаваны профіль VPN, скапіяваныя з гэтай машыны, цалкам перажываюць пераўсталяванне, бо нішто ў фарматаванні дыска не дасягае сервера, які іх прымае. Аднаўленне прылады і аднаўленне ўліковага запісу — дзве працы з рознымі гадзіннікамі.

Два інцыдэнты, два гадзіннікі

Праца з прыладай лакальная і хуткая: перабудаваць, абнавіць, аднавіць даныя. Праца з уліковым запісам аддаленая і павольнейшая, бо залежыць ад таго, што прадстаўнік паслугі паказвае, і ад таго, ці кантралюеце вы яшчэ канал аднаўлення. Зрабіць хуткую працу першай здаецца прадуктыўным і пакідае фактычную ўразлівасць менавіта там, дзе яна была.

Стаўцеся да ноўтбука як да недаверанай прылады, пакуль праца з уліковым запісам не скончана. Выкарыстанне яго для аднаўлення ўліковага запісу азначае выкарыстанне машыны, на якой ужо можа быць клавіятурны шпіён.

Тры ўмовы, якія вызначаюць парадак

Вызначце гэта, перш чым да чаго-небудзь дакрануцца, бо яны вырашаюць, ці аднаўленне зойме пятнаццаць хвілін, ці запатрабуе эскалацыі ў падтрымку.

Па-першае, што было на прыладзе: пароль, які вы ўвялі, кліенцкі сертыфікат з яго прыватным ключом, захаваны токен сеансу або ўсе тры. Па-другое, што прадстаўнік паслугі дазваляе вам адклікаць самастойна, бо некаторыя сэрвісы паказваюць спісы прылад і сеансаў, а іншыя прапануюць толькі поле для пароля і больш нічога. Па-трэцяе, ці канал аднаўлення ўсё яшчэ ваш, гэта значыць паштовая скрыня і нумар тэлефона, прывязаныя да ўліковага запісу. Калі трэцяе скампраметавана, усё астатняе чакае.

Запішыце адказы. Інцыдэнт, у якім вы не можаце сказаць, што было скапіявана, — гэта інцыдэнт, які вы не можаце закрыць.

Замяніце тое, што можна прайграць

Усё, што можна прайграць, трэба замяніць, а не проста змяніць на новай машыне. Паролі, сертыфікаты прылад і экспартаваныя профілі ўсе падыходзяць. Кіраўніцтва NIST па жыццёвым цыкле сродкаў аўтэнтыфікацыі апісвае неадкладнае ануляванне скампраметаванага сродку аўтэнтыфікацыі і патрабаванне незалежнага паведамлення пры прывязцы іншага сродку, што і ёсць правільная форма працы, нават калі спажывецкі VPN паказвае менш кантрольных механізмаў.

Затым спыніце сеансы. Змена пароля не анулюе надзейна існуючыя токены, а профіль VPN, ужо ўсталяваны на іншай машыне, працягвае працаваць, пакуль яго ўліковыя даныя не адкліканы. Правярайце, што паслуга дакументуе, а не на што вы спадзяецеся.

Перабудуйце, не аднаўляючы кампраметацыю

Пераўсталяванне — лёгкая частка, і менавіта тут людзі адмяняюць уласную працу. Аднаўленне поўнай рэзервовай копіі можа вярнуць той жа захаваны профіль, той жа сеанс браўзера і той жа сховішча ўліковых даных. Перагледзьце, што аднаўленне фактычна імпартуе, затым зарэгіструйце прыладу нанова праз падтрымліваны працэс з нядаўна выдадзенымі матэрыяламі.

Трымайце прылады асобна выдаляльнымі, дзе паслуга гэта дазваляе. Адзін профіль на прыладу — гэта дэталь, якая ператварае будучы інцыдэнт у адзінае адкліканне замест панікі на ўвесь парк.

Вырашыце, калі інцыдэнт скончаны

Ён скончаны, калі праўдзівыя тры рэчы. Легітымны доступ працуе з перабудаванай прылады. Раскрытыя ідэнтычнасці выведзены з эксплуатацыі праз механізмы, якія вы сапраўды бачыце. І астатнія метады аднаўлення — паштовая скрыня, нумар тэлефона, рэзервовыя коды — належаць вам. Чыстая ўстаноўка, якая падключаецца, задавальняе толькі першую.

Калі вы не можаце праверыць або выдаліць нечаканы сродак аўтэнтыфікацыі ці кантакт аднаўлення, эскалюйце праз правераны працэс падтрымкі. Лакальнае пераўсталяванне ніколі не выправіць метад аднаўлення, які кантралюе хтосьці іншы.