Geninstallationen tilbagekaldte ikke de stjålne VPN-legitimationsoplysninger

At slette en kompromitteret bærbar føles som slutningen på hændelsen. Det er normalt midten. En adgangskode, et sessionstoken eller en eksporteret VPN-profil kopieret fra den maskine overlever geninstallationen fuldstændigt intakt, fordi intet ved at formatere en disk når den server, der accepterer den. Enhedsgendannelse og kontogendannelse er to opgaver med forskellige ure.

To hændelser, to ure

Enhedsarbejdet er lokalt og hurtigt: genopbyg, patch, gendan data. Kontoarbejdet er eksternt og langsommere, fordi det afhænger af, hvad udbyderen blotlægger, og af, om du stadig kontrollerer gendannelseskanalen. At udføre det hurtige arbejde først føles produktivt og efterlader den faktiske eksponering præcis, hvor den var.

Behandl den bærbare som utroværdig, indtil kontoarbejdet er færdigt. At bruge den til kontogendannelse betyder at bruge en maskine, der måske allerede har en keylogger på sig.

Tre betingelser, der fastlægger rækkefølgen

Find dem ud, før du rører noget, fordi de afgør, om gendannelsen tager femten minutter eller en eskalering til supporten.

For det første, hvad der var på enheden: en adgangskode, du skrev, et klientcertifikat med dets private nøgle, et gemt sessionstoken eller alle tre. For det andet, hvad udbyderen lader dig tilbagekalde selv, da nogle tjenester blotlægger enheds- og sessionslister, mens andre kun tilbyder et adgangskodefelt og intet andet. For det tredje, om gendannelseskanalen stadig er din, altså den postkasse og det telefonnummer, der er knyttet til kontoen. Hvis det tredje er kompromitteret, venter alt andet.

Skriv svarene ned. En hændelse, hvor du ikke kan sige, hvad der blev kopieret, er en hændelse, du ikke kan lukke.

Udskift det, der kan afspilles igen

Alt, der kan afspilles igen, skal udskiftes, ikke bare ændres på den nye maskine. Adgangskoder, enhedscertifikater og eksporterede profiler kvalificerer alle. NIST's vejledning om godkendelsesfaktorers livscyklus beskriver at annullere en kompromitteret godkendelsesfaktor med det samme og kræve uafhængig underretning, når en anden godkendelsesfaktor bindes, hvilket er den rigtige form for opgaven, selv hvor en forbruger-VPN blotlægger færre kontroller.

Afslut derefter sessioner. En adgangskodeændring ugyldiggør ikke pålideligt eksisterende tokens, og en VPN-profil, der allerede er installeret på en anden maskine, fortsætter med at virke, indtil dens legitimationsoplysninger tilbagekaldes. Kontroller, hvad tjenesten dokumenterer, i stedet for hvad du håber, den gør.

Genopbyg uden at gendanne kompromitteringen

Geninstallation er den lette del, og det er her, folk fortryder deres eget arbejde. Gendannelse af en fuld sikkerhedskopi kan bringe den samme gemte profil, den samme browsersession og det samme legitimationslager tilbage. Gennemgå, hvad gendannelsen faktisk importerer, og tilmeld derefter enheden på ny via den understøttede proces med nyt udstedt materiale.

Hold enheder separat aftagelige, hvor tjenesten tillader det. Én profil per enhed er detaljen, der gør en fremtidig hændelse til en enkelt tilbagekaldelse i stedet for en flådeomfattende panik.

Beslut, hvornår hændelsen er overstået

Den er overstået, når tre ting er sande. Legitim adgang virker fra den genopbyggede enhed. De eksponerede identiteter er pensioneret gennem kontroller, du faktisk kan se. Og de resterende gendannelsesmetoder, postkassen, telefonnummeret, backupkoderne, tilhører dig. En ren installation, der opretter forbindelse, opfylder kun det første.

Hvis du ikke kan inspicere eller fjerne en uventet godkendelsesfaktor eller gendannelseskontakt, skal du eskalere gennem den verificerede supportproces. At geninstallere lokalt vil aldrig rette en gendannelsesmetode, som en anden kontrollerer.