La reinstal·lació no va revocar les credencials VPN robades

Esborrar un portàtil compromès sembla el final de l'incident. Normalment és la meitat. Una contrasenya, un testimoni de sessió o un perfil VPN exportat copiats d'aquella màquina sobreviuen a la reinstal·lació completament intactes, perquè res de formatar un disc arriba al servidor que els accepta. La recuperació del dispositiu i la del compte són dues feines amb rellotges diferents.

Dos incidents, dos rellotges

La feina del dispositiu és local i ràpida: reconstruir, aplicar pedaços, restaurar dades. La feina del compte és remota i més lenta, perquè depèn del que exposa el proveïdor i de si encara controleu el canal de recuperació. Fer primer la feina ràpida sembla productiu i deixa l'exposició real exactament on era.

Tracteu el portàtil com a no fiable fins que la feina del compte estigui feta. Fer-lo servir per recuperar el compte significa fer servir una màquina que potser ja té un registrador de teclat.

Tres condicions que fixen l'ordre

Esbrineu-ho abans de tocar res, perquè decideixen si la recuperació triga quinze minuts o una escalada a suport.

Primer, què hi havia al dispositiu: una contrasenya que vau escriure, un certificat de client amb la seva clau privada, un testimoni de sessió desat o les tres coses. Segon, què us permet revocar vosaltres mateixos el proveïdor, ja que alguns serveis exposen llistes de dispositius i sessions mentre d'altres només ofereixen una casella de contrasenya i res més. Tercer, si el canal de recuperació encara és vostre, és a dir, la bústia i el número de telèfon vinculats al compte. Si el tercer està compromès, tota la resta espera.

Escriviu les respostes. Un incident en què no podeu dir què es va copiar és un incident que no podeu tancar.

Substituïu el que es pot reproduir

Tot el que es pot reproduir s'ha de substituir, no només canviar a la màquina nova. Les contrasenyes, els certificats de dispositiu i els perfils exportats compleixen el requisit. La guia de NIST sobre el cicle de vida dels autenticadors descriu invalidar de seguida un autenticador compromès i exigir un avís independent quan se'n vincula un altre, que és la forma correcta de la feina fins i tot quan una VPN de consumidor exposa menys controls.

Després termineu les sessions. Canviar la contrasenya no invalida de manera fiable els testimonis existents, i un perfil VPN ja instal·lat en una altra màquina continua funcionant fins que es revoca la seva credencial. Comproveu què documenta el servei, no què espereu que faci.

Reconstruïu sense restaurar el compromís

Reinstal·lar és la part fàcil, i és on la gent desfà la seva pròpia feina. Restaurar una còpia de seguretat completa pot recuperar el mateix perfil desat, la mateixa sessió del navegador i el mateix magatzem de credencials. Reviseu què importa realment la restauració i després inscriviu el dispositiu de nou pel flux suportat amb material recent emès.

Manteniu els dispositius extreïbles per separat on el servei ho permeti. Un perfil per dispositiu és el detall que converteix un incident futur en una sola revocació en lloc d'una correguda per tota la flota.

Decidiu quan l'incident s'ha acabat

S'ha acabat quan tres coses són certes. L'accés legítim funciona des del dispositiu reconstruït. Les identitats exposades s'han retirat mitjançant controls que podeu veure de debò. I els mètodes de recuperació restants, la bústia, el número de telèfon, els codis de reserva, són vostres. Una instal·lació neta que connecta només compleix la primera.

Si no podeu inspeccionar o eliminar un autenticador o un contacte de recuperació inesperats, escaleu pel procés de suport verificat. Reinstal·lar en local no arreglarà mai un mètode de recuperació que controla una altra persona.