Преинсталирането не отне откраднатите VPN идентификационни данни

Изтриването на компрометиран лаптоп се усеща като края на инцидента. Обикновено е средата му. Парола, токен за сесия или експортиран VPN профил, копирани от тази машина, оцеляват преинсталирането напълно непокътнати, защото нищо при форматирането на диск не достига до сървъра, който ги приема. Възстановяването на устройството и възстановяването на акаунта са две задачи с различни часовници.

Два инцидента, два часовника

Работата по устройството е локална и бърза: преизграждане, пачване, възстановяване на данни. Работата по акаунта е отдалечена и по-бавна, защото зависи от това какво доставчикът разкрива и дали все още контролирате канала за възстановяване. Извършването на бързата работа първо изглежда продуктивно и оставя реалната експозиция точно там, където беше.

Отнасяйте се към лаптопа като към недоверено устройство, докато работата по акаунта не приключи. Използването му за възстановяване на акаунта означава използване на машина, на която може вече да има клавиатурен шпионин.

Три условия, които определят реда

Изяснете ги, преди да докоснете каквото и да е, защото те решават дали възстановяването ще отнеме петнадесет минути, или ескалация към поддръжката.

Първо, какво е имало на устройството: парола, която сте въвели, клиентски сертификат с неговия частен ключ, запазен токен за сесия или и трите. Второ, какво доставчикът ви позволява да отмените сами, тъй като някои услуги показват списъци с устройства и сесии, а други предлагат само поле за парола и нищо друго. Трето, дали каналът за възстановяване все още е ваш, тоест пощенската кутия и телефонният номер, свързани с акаунта. Ако третото е компрометирано, всичко останало чака.

Запишете отговорите. Инцидент, при който не можете да кажете какво е копирано, е инцидент, който не можете да затворите.

Заменете това, което може да бъде преиграно

Всичко, което може да бъде преиграно, трябва да се замени, а не просто да се промени на новата машина. Паролите, сертификатите на устройствата и експортираните профили попадат в тази категория. Насоките на NIST за жизнения цикъл на автентикаторите описват незабавното анулиране на компрометиран автентикатор и изискването за независимо уведомяване, когато се свързва друг автентикатор, което е правилната форма на работа дори там, където потребителският VPN разкрива по-малко контроли.

След това прекратете сесиите. Промяната на парола не анулира надеждно съществуващите токени, а VPN профил, вече инсталиран на друга машина, продължава да работи, докато идентификационните му данни не бъдат отменени. Проверявайте какво документира услугата, а не какво се надявате да прави.

Изградете наново, без да възстановявате компромиса

Преинсталирането е лесната част и точно там хората обезсилват собствената си работа. Възстановяването на пълно резервно копие може да върне същия запазен профил, същата сесия на браузъра и същото хранилище на идентификационни данни. Прегледайте какво всъщност импортира възстановяването, след което регистрирайте устройството наново чрез поддържания поток с новоиздадени материали.

Дръжте устройствата отделно отстраняеми, където услугата позволява това. Един профил на устройство е детайлът, който превръща бъдещ инцидент в едно отменяне вместо паника за целия парк.

Решете кога инцидентът е приключил

Приключил е, когато три неща са верни. Легитимният достъп работи от преизграденото устройство. Разкритите идентичности са извадени от употреба чрез контроли, които наистина виждате. А останалите методи за възстановяване — пощенската кутия, телефонният номер, резервните кодове — принадлежат на вас. Чистата инсталация, която се свързва, удовлетворява само първото.

Ако не можете да инспектирате или премахнете неочакван автентикатор или контакт за възстановяване, ескалирайте чрез проверения процес за поддръжка. Локалното преинсталиране никога няма да поправи метод за възстановяване, който някой друг контролира.