Χαμένος αυθεντικοποιητής VPN: αντικατάσταση χωρίς απενεργοποίηση του MFA

Κάποιος χάνει το τηλέφωνό του και το δελτίο φτάνει ως «το VPN χάλασε». Αυτή η διατύπωση είναι λάθος δύο φορές: ο λογαριασμός υπάρχει ακόμη και η πύλη εξακολουθεί να εμπιστεύεται τον πάροχο ταυτότητας, άρα το μόνο χαλασμένο μέρος είναι ένας παράγοντας που το άτομο δεν κατέχει πλέον. Αντιμετωπίστε το ως αποκατάσταση και όχι ως διακοπή: επαληθεύστε τον αιτούντα, καταχωρίστε αντικαταστάτη, αποσύρετε τη χαμένη μέθοδο και μετά αποδείξτε ότι ο λογαριασμός λειτουργεί. Όλα αυτά προϋποθέτουν ότι το σχέδιο γράφτηκε πριν από την απώλεια, γιατί το να το επινοήσετε κατά την κλήση είναι ο τρόπος με τον οποίο το MFA καταλήγει απενεργοποιημένο για όλους.

Βήμα 1: διαβάστε τους καταχωρισμένους παράγοντες από εγγραφή, όχι από τη μνήμη

Το πρώτο ερώτημα δεν είναι ποια συσκευή χάθηκε, αλλά τι άλλο μπορεί να χρησιμοποιήσει ακόμη ο λογαριασμός. Ένας λογαριασμός μπορεί να φέρει κωδικό πρόσβασης μαζί με push, χρονικό κωδικό, κλειδί υλικού και εκτυπωμένους κωδικούς ανάκτησης, και η απώλεια ενός από αυτά είναι εντελώς διαφορετικό γεγονός από την απώλεια του μοναδικού. Διαβάστε τη λίστα μεθόδων από το σύστημα ταυτότητας αντί να ζητάτε από τον χρήστη να τη θυμάται, και σε έναν μισθωτή Microsoft Entra το ερώτημα είναι μία γραμμή:

Get-MgUserAuthenticationMethod -UserId [email protected]

Στη συνέχεια γράψτε την εγγραφή ανάκτησης όσο ο λογαριασμός λειτουργεί ακόμη: αναγνωριστικό λογαριασμού, καταχωρισμένοι παράγοντες, πού ζουν οι κωδικοί ανάκτησης, ποιος μπορεί να επαληθεύσει ανεξάρτητα τον αιτούντα και σε ποια συστήματα φτάνει ο λογαριασμός. Κρατήστε την στο προστατευμένο απόθεμα που χρησιμοποιεί ήδη η ομάδα, ποτέ σε σημείωση που περιέχει και ενεργούς κωδικούς. Αυτά τα πέντε πεδία μετατρέπουν μια πανικόβλητη κλήση σε λίστα ελέγχου, και η καθοδήγηση του NIST για τον κύκλο ζωής του αυθεντικοποιητή αντιμετωπίζει την ανάκτηση ως μέρος του διαπιστευτηρίου και όχι ως εξαίρεση από αυτό.

Καταγράψτε το κανάλι επαλήθευσης ως δικό του πεδίο, γιατί αυτό είναι το μέρος που οι άνθρωποι παραλείπουν. Ένας αριθμός τηλεφώνου συνδεδεμένος με τον λογαριασμό δεν είναι ανεξάρτητο κανάλι όταν το άτομο που ρωτά ελέγχει και το τηλέφωνο.

Βήμα 2: επαληθεύστε τον αιτούντα εκτός της διαδρομής που αποτυγχάνει

Εκτελέστε τον έλεγχο ταυτότητας μέσω καναλιού που δεν εξαρτάται από το VPN, το γραμματοκιβώτιο ή τη χαμένη συσκευή. Μια επιστροφή κλήσης σε αριθμό από την εγγραφή HR ή ένας έλεγχος πρόσωπο με πρόσωπο με διευθυντή που βρίσκεται ήδη στον κατάλογο λειτουργούν και τα δύο· ένα μήνυμα συνομιλίας που στέλνεται από τον λογαριασμό υπό ανάκτηση δεν λειτουργεί. Ο έλεγχος αφορά το άτομο, όχι την ικανότητά του να απαντά σε ερωτήσεις για τον λογαριασμό, γιατί οι λεπτομέρειες του λογαριασμού διαρρέουν. Καταγράψτε ποιος επαλήθευσε το αίτημα και πότε, αφού ο επόμενος ελεγκτής θα θέλει και τα δύο.

Όταν το αίτημα φτάνει με επείγον και πίεση να παραλειφθεί ο έλεγχος, εκείνη είναι η στιγμή να επιβραδύνετε. Η απάτη ανάκτησης μοιάζει ακριβώς με έναν εξυπηρετικό συνάδελφο που βιάζεται.

Βήμα 3: καταχωρίστε τον αντικαταστάτη και μετά αποσύρετε τον παλιό παράγοντα

Καταχωρίστε τον νέο αυθεντικοποιητή μέσω της κανονικής ροής καταχώρισης, ποτέ μέσω διοικητικής παράκαμψης. Στη συνέχεια αφαιρέστε ρητά τη χαμένη μέθοδο, γιατί η καταχώριση αντικαταστάτη αφήνει τον προηγούμενο αυθεντικοποιητή εξουσιοδοτημένο μέχρι κάποιος να τον αποσύρει. Αν η παλιά συσκευή μπορεί να βρίσκεται σε άλλα χέρια, αντιμετωπίστε την αφαίρεση ως επείγουσα και ακολουθήστε τη διαδικασία περιστατικού αντί για εκείνη της ανάκτησης. Ανακαλέστε τις υπάρχουσες συνεδρίες στο ίδιο πέρασμα, αφού μια συνεδρία που δημιουργήθηκε πριν από την αλλαγή μπορεί να την επιβιώσει:

Revoke-MgUserSignInSession -UserId [email protected]

Η αφαίρεση του παράγοντα για όλους τους άλλους ή η χαλάρωση των ελέγχων πιστοποιητικών της πύλης ανταλλάσσει την ανάκτηση ενός ατόμου με μια διακοπή που αγγίζει όλη την ανάπτυξη. Κρατήστε την αλλαγή περιορισμένη στον μεμονωμένο λογαριασμό και κλιμακώστε αν τα στοιχεία δείχνουν ευρύτερη παραβίαση. Σημειώστε στο δελτίο ποιος παράγοντας αποσύρθηκε και ποιος τον αντικατέστησε.

Βήμα 4: αποδείξτε ότι ο λογαριασμός λειτουργεί και προς τις δύο κατευθύνσεις

Συνδεθείτε μία φορά με τον νέο παράγοντα μέσω υποστηριζόμενου πελάτη και μετά επιβεβαιώστε ότι ο λογαριασμός φτάνει ακόμη στους πόρους που έφτανε πριν από την απώλεια. Δοκιμάστε έναν πόρο που χρειάζεται τη σήραγγα και έναν που δεν τη χρειάζεται, ώστε μια αποτυχία να δείχνει το σωστό επίπεδο. Δοκιμάστε μια σύνδεση με τον αποσυρμένο παράγοντα και περιμένετε απόρριψη αντί για προτροπή, που αποδεικνύει ότι η αφαίρεση ίσχυσε. Μια πρόκληση που αποτυγχάνει από υπάρχουσα καταχωρισμένη συσκευή είναι πρόβλημα προτροπής, όχι λόγος να καταχωρίσετε ξανά τα πάντα.

Στη συνέχεια ζητήστε από τον χρήστη να ολοκληρώσει την ίδια σύνδεση χωρίς καθοδήγηση. Η επιτυχημένη σας δοκιμή αποδεικνύει τη διαμόρφωση· η δική του προσπάθεια αποδεικνύει την παράδοση.

Κλείστε το δελτίο με τη χρονική σήμανση της επιτυχημένης σύνδεσης και το όνομα του παράγοντα που χρησιμοποιείται τώρα. Ενημερώστε την εγγραφή ανάκτησης στο ίδιο πέρασμα, ώστε η επόμενη απώλεια να ξεκινά από ακριβές απόθεμα και όχι από παλιό.

Βήμα 5: αφαιρέστε τη συνθήκη που έκανε αυτό οδυνηρό

Κάθε κλήση ανάκτησης είναι απόδειξη για τον σχεδιασμό καταχώρισης. Αν ο λογαριασμός είχε ακριβώς έναν παράγοντα, απαιτήστε δεύτερο για όλους σε εκείνη την ομάδα. Αν οι κωδικοί ανάκτησης βρίσκονταν στον φορητό υπολογιστή που χάθηκε, αλλάξτε πού ζουν. Αν η επαλήθευση χρειαζόταν διευθυντή σε άδεια, ορίστε αναπληρωτή. Κάθε διόρθωση παίρνει ένα απόγευμα και αφαιρεί τη χειρότερη ώρα του επόμενου περιστατικού.

Στη συνέχεια ξαναδιαβάστε την εγγραφή από το πρώτο βήμα απέναντι στην πραγματικότητα. Απαριθμεί τους παράγοντες που υπάρχουν πραγματικά, και φτάνει το κανάλι επαλήθευσης ακόμη σε άνθρωπο; Ένα εγχειρίδιο που κανείς δεν ενημερώνει εκφυλίζεται σε έγγραφο που οι άνθρωποι αγνοούν κατά την κλήση για την οποία γράφτηκε.