Izgubljeni VPN autentifikator: zamjena bez isključivanja MFA

Neko izgubi telefon i tiket stigne kao VPN ne radi. Taj okvir je pogrešan dvaput: račun još postoji, a pristupnik još vjeruje pružaocu identiteta, pa je jedini neispravni dio jedan faktor koji osoba više ne drži. Tretirajte to kao oporavak, a ne kao ispad: provjerite podnosioca zahtjeva, registrujte zamjenu, povucite izgubljeni metod, pa dokažite da račun radi. Sve to pretpostavlja da je plan napisan prije gubitka, jer izmišljanje plana tokom poziva je način na koji MFA na kraju bude isključen za sve.

Korak 1: pročitajte registrovane faktore iz zapisa, a ne iz sjećanja

Prvo pitanje nije koji je uređaj izgubljen, nego šta još račun može koristiti. Račun može nositi lozinku plus push, vremenski kod, hardverski ključ i odštampane kodove za oporavak, a gubitak jednog od njih je sasvim drugačiji događaj od gubitka jedinog. Čitajte listu metoda iz sistema identiteta umjesto da tražite od korisnika da je pamti, a u Microsoft Entra tenantu upit je jedan red:

Get-MgUserAuthenticationMethod -UserId [email protected]

Zatim napišite zapis oporavka dok račun još radi: identifikator računa, registrovani faktori, gdje žive kodovi za oporavak, ko može nezavisno provjeriti podnosioca i kojim sistemima račun pristupa. Držite ga u zaštićenom inventaru koji tim već koristi, nikada u bilješci koja sadrži i žive kodove. Tih pet polja pretvara paničan poziv u kontrolnu listu, a NIST-ovo uputstvo o životnom ciklusu autentifikatora tretira oporavak kao dio akreditiva, a ne izuzetak od njega.

Zapišite kanal provjere kao zasebno polje, jer to je dio koji ljudi preskaču. Telefonski broj vezan za račun nije nezavisan kanal kada osoba koja traži takođe kontroliše telefon.

Korak 2: provjerite podnosioca izvan neispravne staze

Obavite provjeru identiteta kroz kanal koji ne zavisi od VPN-a, poštanskog sandučeta ili izgubljenog uređaja. Povratni poziv na broj iz HR zapisa ili lična provjera kod menadžera koji je već u imeniku oboje rade; poruka u chatu poslana sa računa koji se oporavlja ne radi. Provjera se tiče osobe, a ne njene sposobnosti da odgovara na pitanja o računu, jer detalji računa cure. Zabilježite ko je provjerio zahtjev i kada, jer će sljedeći recenzent tražiti oboje.

Kada zahtjev stigne s hitnošću i pritiskom da se provjera preskoči, to je trenutak da usporite. Prevara pri oporavku izgleda upravo kao uslužni kolega koji žuri.

Korak 3: registrujte zamjenu, pa povucite stari faktor

Registrujte novi autentifikator kroz normalan tok registracije, nikada kroz administrativni zaobilazni put. Zatim eksplicitno uklonite izgubljeni metod, jer registracija zamjene ostavlja prethodni autentifikator ovlaštenim dok ga neko ne povuče. Ako stari uređaj može biti u tuđim rukama, tretirajte uklanjanje kao hitno i slijedite proces incidenta, a ne oporavka. Opovrgnite postojeće sesije u istom prolazu, jer sesija stvorena prije promjene može je nadživjeti:

Revoke-MgUserSignInSession -UserId [email protected]

Uklanjanje faktora za sve ostale ili popuštanje provjera certifikata pristupnika mijenja oporavak jedne osobe za ispad koji pogađa cijelo postavljanje. Držite promjenu unutar jednog računa i eskalirajte ako dokazi upućuju na širi kompromis. U tiketu navedite koji je faktor povučen i koji ga je zamijenio.

Korak 4: dokažite da račun radi u oba smjera

Prijavite se jednom s novim faktorom kroz podržanog klijenta, zatim potvrdite da račun još doseže resurse koje je dosezao prije gubitka. Testirajte jedan resurs kojem treba tunel i jedan kojem ne treba, kako bi kvar pokazao na pravi sloj. Pokušajte prijavu s povučenim faktorom i očekujte odbijanje, a ne upit, što dokazuje da je uklanjanje djelovalo. Izazov koji ne uspijeva s postojećeg registrovanog uređaja je problem upita, a ne razlog da ponovo registrujete sve.

Zatim zamolite korisnika da obavi istu prijavu bez navođenja. Vaš uspješan test dokazuje konfiguraciju; njihov pokušaj dokazuje predaju.

Zatvorite tiket s vremenskom oznakom uspješne prijave i imenom faktora koji se sada koristi. Ažurirajte zapis oporavka u istom prolazu, kako bi sljedeći gubitak počeo od tačnog inventara, a ne zastarjelog.

Korak 5: uklonite uslov koji je ovo učinio bolnim

Svaki poziv oporavka dokaz je o dizajnu registracije. Ako je račun imao tačno jedan faktor, zahtijevajte drugi za sve u toj grupi. Ako su kodovi za oporavak bili na izgubljenom laptopu, promijenite gdje žive. Ako je provjera trebala menadžera na odmoru, imenujte zamjenika. Svaka popravka traje jedno poslijepodne i uklanja najgori sat sljedećeg incidenta.

Zatim ponovo pročitajte zapis iz prvog koraka prema stvarnosti. Navodi li faktore koji zaista postoje i doseže li kanal provjere još uvijek čovjeka? Priručnik koji niko ne ažurira pretvara se u dokument koji ljudi ignorišu tokom poziva za koji je napisan.