Přeinstalace neodvolala ukradené přihlašovací údaje VPN

Vymazání kompromitovaného notebooku vypadá jako konec incidentu. Obvykle je to jeho střed. Heslo, token relace nebo exportovaný profil VPN zkopírované z toho stroje přežijí přeinstalaci zcela neporušené, protože nic ve formátování disku nedosáhne serveru, který je přijímá. Obnova zařízení a obnova účtu jsou dvě práce s různými hodinami.

Dva incidenty, dvoje hodiny

Práce se zařízením je místní a rychlá: přestavět, opravit, obnovit data. Práce s účtem je vzdálená a pomalejší, protože závisí na tom, co poskytovatel zveřejňuje, a na tom, zda stále ovládáte kanál obnovy. Udělat nejprve rychlou práci působí produktivně a ponechá skutečnou expozici přesně tam, kde byla.

Považujte notebook za nedůvěryhodný, dokud nebude práce s účtem hotová. Používat ho k obnově účtu znamená používat stroj, na kterém už může být záznamník kláves.

Tři podmínky, které určují pořadí

Zjistěte je, než se čehokoli dotknete, protože rozhodují, zda obnova zabere patnáct minut, nebo eskalaci na podporu.

Za prvé, co bylo v zařízení: heslo, které jste zadali, klientský certifikát s jeho soukromým klíčem, uložený token relace, nebo všechny tři. Za druhé, co vám poskytovatel dovolí odvolat sami, protože některé služby zveřejňují seznamy zařízení a relací, zatímco jiné nabízejí jen pole pro heslo a nic dalšího. Za třetí, zda je kanál obnovy stále váš, tedy poštovní schránka a telefonní číslo připojené k účtu. Pokud je třetí kompromitovaný, všechno ostatní čeká.

Zapište odpovědi. Incident, u kterého nemůžete říct, co bylo zkopírováno, je incident, který nemůžete uzavřít.

Nahraďte, co lze přehrát

Vše, co lze přehrát, musí být nahrazeno, ne jen změněno na novém stroji. Hesla, certifikáty zařízení a exportované profily všechny splňují podmínku. Pokyny NIST k životnímu cyklu autentizátorů popisují okamžité zneplatnění kompromitovaného autentizátoru a požadavek nezávislého oznámení, když je připojen jiný autentizátor, což je správná forma práce i tam, kde spotřebitelská VPN zveřejňuje méně kontrol.

Potom ukončete relace. Změna hesla spolehlivě nezruší stávající tokeny a profil VPN již nainstalovaný na jiném stroji funguje dál, dokud není jeho přihlašovací údaj odvolán. Zkontrolujte, co služba dokumentuje, ne co doufáte, že dělá.

Přestavte, aniž byste obnovili kompromitaci

Přeinstalace je snadná část a právě tam lidé ruší svou vlastní práci. Obnovení úplné zálohy může vrátit stejný uložený profil, stejnou relaci prohlížeče a stejné úložiště přihlašovacích údajů. Projděte, co obnova skutečně importuje, a poté zařízení znovu zaregistrujte podporovaným postupem s nově vydaným materiálem.

Udržujte zařízení samostatně odnímatelná, kde to služba umožňuje. Jeden profil na zařízení je detail, který budoucí incident promění v jediné odvolání místo zmatku v celé flotile.

Rozhodněte, kdy je incident u konce

Je u konce, když platí tři věci. Legitimní přístup funguje z přestavěného zařízení. Odhalené identity byly vyřazeny prostřednictvím kontrol, které skutečně vidíte. A zbývající metody obnovy, poštovní schránka, telefonní číslo, záložní kódy, patří vám. Čistá instalace, která se připojí, splňuje pouze první.

Pokud nemůžete zkontrolovat nebo odstranit neočekávaný autentizátor nebo kontakt pro obnovu, eskalujte přes ověřený proces podpory. Místní přeinstalace nikdy neopraví metodu obnovy, kterou ovládá někdo jiný.