Ihre Neuinstallation hat die gestohlenen VPN-Zugangsdaten nicht widerrufen

Einen kompromittierten Laptop zu löschen fühlt sich wie das Ende des Vorfalls an. Meist ist es die Mitte. Ein Passwort, ein Sitzungstoken oder ein exportiertes VPN-Profil, das von diesem Gerät kopiert wurde, übersteht die Neuinstallation völlig unbeschadet, weil nichts am Formatieren einer Festplatte den Server erreicht, der es akzeptiert. Gerätewiederherstellung und Kontowiederherstellung sind zwei Aufgaben mit unterschiedlichen Uhren.

Zwei Vorfälle, zwei Uhren

Die Gerätearbeit ist lokal und schnell: neu aufbauen, patchen, Daten wiederherstellen. Die Kontoarbeit ist entfernt und langsamer, weil sie davon abhängt, was der Anbieter offenlegt, und ob Sie den Wiederherstellungskanal noch kontrollieren. Die schnelle Arbeit zuerst zu erledigen wirkt produktiv und lässt die tatsächliche Exposition genau dort, wo sie war.

Behandeln Sie den Laptop als nicht vertrauenswürdig, bis die Kontoarbeit erledigt ist. Ihn für die Kontowiederherstellung zu verwenden bedeutet, ein Gerät zu nutzen, auf dem möglicherweise bereits ein Keylogger läuft.

Drei Bedingungen, die die Reihenfolge festlegen

Klären Sie diese, bevor Sie etwas anfassen, denn sie entscheiden, ob die Wiederherstellung fünfzehn Minuten oder eine Eskalation zum Support dauert.

Erstens, was auf dem Gerät war: ein Passwort, das Sie eingegeben haben, ein Client-Zertifikat mit seinem privaten Schlüssel, ein gespeicherter Sitzungstoken oder alle drei. Zweitens, was der Anbieter Sie selbst widerrufen lässt, da manche Dienste Geräte- und Sitzungslisten offenlegen, während andere nur ein Passwortfeld und sonst nichts bieten. Drittens, ob der Wiederherstellungskanal noch Ihrer ist, also das Postfach und die Telefonnummer, die mit dem Konto verbunden sind. Ist das Dritte kompromittiert, wartet alles andere.

Schreiben Sie die Antworten auf. Ein Vorfall, bei dem Sie nicht sagen können, was kopiert wurde, ist ein Vorfall, den Sie nicht schließen können.

Ersetzen Sie, was sich wiedergeben lässt

Alles, was sich wiedergeben lässt, muss ersetzt werden, nicht nur auf dem neuen Gerät geändert. Passwörter, Gerätezertifikate und exportierte Profile fallen alle darunter. NISTs Leitfaden zum Lebenszyklus von Authentifikatoren beschreibt, einen kompromittierten Authentifikator umgehend zu invalidieren und eine unabhängige Benachrichtigung zu verlangen, wenn ein anderer Authentifikator gebunden wird, was die richtige Form der Aufgabe ist, selbst wo ein Verbraucher-VPN weniger Kontrollen offenlegt.

Beenden Sie dann Sitzungen. Eine Passwortänderung macht bestehende Token nicht zuverlässig ungültig, und ein VPN-Profil, das bereits auf einem anderen Gerät installiert ist, funktioniert weiter, bis seine Zugangsdaten widerrufen werden. Prüfen Sie, was der Dienst dokumentiert, statt was Sie hoffen, dass er tut.

Bauen Sie neu auf, ohne die Kompromittierung wiederherzustellen

Die Neuinstallation ist der leichte Teil, und hier machen Menschen ihre eigene Arbeit rückgängig. Das Wiederherstellen einer vollständigen Sicherung kann dasselbe gespeicherte Profil, dieselbe Browsersitzung und denselben Anmeldedatenspeicher zurückbringen. Prüfen Sie, was die Wiederherstellung tatsächlich importiert, und registrieren Sie das Gerät dann über den unterstützten Ablauf mit neu ausgestelltem Material frisch.

Halten Sie Geräte separat entfernbar, wo der Dienst es erlaubt. Ein Profil pro Gerät ist das Detail, das einen künftigen Vorfall zu einem einzigen Widerruf macht statt zu einem flottenweiten Durcheinander.

Entscheiden Sie, wann der Vorfall vorbei ist

Er ist vorbei, wenn drei Dinge zutreffen. Legitimer Zugriff funktioniert vom neu aufgebauten Gerät. Die exponierten Identitäten wurden über Kontrollen außer Dienst gestellt, die Sie tatsächlich sehen können. Und die verbleibenden Wiederherstellungsmethoden, das Postfach, die Telefonnummer, die Backup-Codes, gehören Ihnen. Eine saubere Installation, die sich verbindet, erfüllt nur das Erste.

Wenn Sie einen unerwarteten Authentifikator oder Wiederherstellungskontakt nicht prüfen oder entfernen können, eskalieren Sie über den verifizierten Supportprozess. Eine lokale Neuinstallation wird eine Wiederherstellungsmethode, die jemand anderes kontrolliert, niemals reparieren.