Awduriedydd VPN coll: disodli heb ddiffodd MFA

Mae rhywun yn colli ffôn ac mae'r tocyn yn cyrraedd fel VPN wedi torri. Mae'r fframwaith hwnnw'n anghywir ddwywaith: mae'r cyfrif yn dal i fodoli, ac mae'r porth yn dal i ymddiried yn y darparwr hunaniaeth, felly'r unig ran sydd wedi torri yw un ffactor nad yw'r person yn ei ddal mwyach. Triniwch ef fel adferiad yn hytrach nag fel diffyg gwasanaeth: gwirwch y gofynnydd, cofrestrwch ddisodliad, ymddiweddwch y dull coll, yna profwch fod y cyfrif yn gweithio. Mae'r cyfan yn tybio bod y cynllun wedi'i ysgrifennu cyn y golled, oherwydd dyfeisio'r cynllun yn ystod yr alwad yw'r ffordd y mae MFA yn gorffen wedi'i ddiffodd i bawb.

Cam 1: darllenwch y ffactorau cofrestredig o gofnod, nid o'r cof

Nid pa ddyfais a gollwyd yw'r cwestiwn cyntaf, ond beth arall y gall y cyfrif ei ddefnyddio o hyd. Gall cyfrif gynnwys cyfrinair ynghyd â gwthio, cod amser, allwedd galedwedd a chodau adfer printiedig, ac mae colli un o'r rheini'n ddigwyddiad hollol wahanol i golli'r unig un. Darllenwch y rhestr dulliau o'r system hunaniaeth yn lle gofyn i'r defnyddiwr ei chofio, ac mewn tenant Microsoft Entra mae'r ymholiad yn un llinell:

Get-MgUserAuthenticationMethod -UserId [email protected]

Yna ysgrifennwch y cofnod adfer tra bod y cyfrif yn dal i weithio: dynodydd y cyfrif, ffactorau cofrestredig, lle mae'r codau adfer yn byw, pwy all wirio'r gofynnydd yn annibynnol, a pha systemau y mae'r cyfrif yn eu cyrraedd. Cadwch ef yn y rhestr gyfrifol warchodol y mae'r tîm eisoes yn ei defnyddio, byth mewn nodyn sy'n dal codau byw hefyd. Mae'r pum maes hynny'n troi galwad banig yn restr wirio, ac mae canllaw NIST ar gylch bywyd awduriedydd yn trin adfer fel rhan o'r cymhwyster yn hytrach na eithriad iddo.

Cofnodwch y sianel wirio fel maes ar wahân, oherwydd dyna'r rhan y mae pobl yn ei hepgor. Nid yw rhif ffôn sydd ynghlwm wrth y cyfrif yn sianel annibynnol pan fo'r person sy'n gofyn hefyd yn rheoli'r ffôn.

Cam 2: gwirio'r gofynnydd oddi ar y llwybr sy'n methu

Rhedegwch y gwiriad hunaniaeth drwy sianel nad yw'n dibynnu ar y VPN, y blwch post nac ar y ddyfais goll. Mae galwad yn ôl i rif o gofnod adnoddau dynol, neu wiriad wyneb yn wyneb gyda rheolwr sydd eisoes yn y cyfeiriadur, y ddau'n gweithio; nid yw neges sgwrs a anfonir o'r cyfrif sy'n cael ei adfer yn gweithio. Mae'r gwiriad yn ymwneud â'r person, nid â'i allu i ateb cwestiynau am y cyfrif, oherwydd mae manylion y cyfrif yn gollwng. Cofnodwch pwy a wiriodd y cais a phryd, gan y bydd y nesaf i adolygu eisiau'r ddau.

Pan ddaw'r cais gydag argyfwng a phwysau i hepgor y gwiriad, dyna'r eiliad i arafu. Mae twyll adfer yn edrych yn union fel cydweithiwr cynorthwyol sy'n brysio.

Cam 3: cofrestrwch y disodliad, yna ymddiweddwch yr hen ffactor

Cofrestrwch yr awduriedydd newydd drwy'r llif cofrestru arferol, byth drwy osgo weinyddol. Yna tynnwch y dull coll yn benodol allan, oherwydd mae cofrestru disodliad yn gadael yr awduriedydd blaenorol wedi'i awdurdodi nes bod rhywun yn ei ymddiweddu. Os gallai'r hen ddyfais fod yn nwylo rhywun arall, triniwch y tynnu fel brys a dilynwch broses digwyddiad yn hytrach na'r un adfer. Dirymwch y sesiynau presennol yn yr un pass, gan y gall sesiwn a grëwyd cyn y newid oroesi'r newid:

Revoke-MgUserSignInSession -UserId [email protected]

Mae tynnu'r ffactor i bawb arall, neu lacio gwiriadau tystysgrif y porth, yn cyfnewid adferiad un person am ddiffyg sy'n cyffwrdd â'r cyflwyniad cyfan. Cadwch y newid o fewn y cyfrif sengl ac esgynwch os yw'r dystiolaeth yn awgrymu cyfaddawd changach. Nodwch yn y tocyn pa ffactor a ymddeolwyd a pha un a'i disodlodd.

Cam 4: profwch fod y cyfrif yn gweithio i'r ddau gyfeiriad

Mewngofnodwch unwaith gyda'r ffactor newydd drwy glient a gefnogir, yna cadarnhewch fod y cyfrif yn dal i gyrraedd yr adnoddau y gwnaeth eu cyrraedd cyn y golled. Profwch un adnodd sydd angen y twnnel ac un nad oes ei angen, fel bod methiant yn pwyntio at y haen gywir. Ceisiwch fewngofnodi gyda'r ffactor a ymddeolwyd a disgwyliwch wrthodiad yn hytrach nag anogaeth, sy'n profi bod y tynnu wedi cymryd effaith. Mae her sy'n methu o ddyfais gofrestredig sy'n bodoli eisoes yn broblem anogaeth, nid yn rheswm i ailgofrestru popeth.

Yna gofynnwch i'r defnyddiwr gwblhau'r un mewngofnodi heb hyfforddiant. Mae eich prawf llwyddiannus yn profi'r ffurfweddiad; mae eu hymgais yn profi'r trosglwyddiad.

Caewch y tocyn gyda nod stamp amser y mewngofnodi llwyddiannus ac enw'r ffactor sydd mewn defnydd nawr. Diweddarwch y cofnod adfer yn yr un pass, fel bod y golled nesaf yn dechrau o restr gyfrifol gywir yn hytrach nag un hen.

Cam 5: tynnwch yr amod a wnaeth hyn yn boenus

Mae pob galwad adfer yn dystiolaeth am ddyluniad y cofrestriad. Os oedd gan y cyfrif un ffactor yn union, gofynnwch am ail i bawb yn y grŵp hwnnw. Os oedd y codau adfer ar y gliniadur a gollwyd, newidiwch lle maent yn byw. Os oedd angen rheolwr ar wyliau ar y gwiriad, enwch ddirprwy. Mae pob atgyweiriad yn cymryd prynhawn ac yn tynnu awr waethaf y digwyddiad nesaf.

Yna ailddarllenwch gofnod cam un yn erbyn realiti. A yw'n rhestru'r ffactorau sy'n bodoli mewn gwirionedd, ac a yw'r sianel wirio yn dal i gyrraedd dyn? Mae llawlyfr na fydd neb yn ei ddiweddaru yn dadfeilio'n ddogfen y mae pobl yn ei hanwybyddu yn ystod yr alwad y'i hysgrifennwyd ar ei chyfer.