Perdita VPN-aŭtentikigilo: anstataŭigi sen malŝalti MFA

Iu perdas telefonon kaj la bileto alvenas kiel „VPN panis“. Tiu kadro malĝustas duoble: la konto ankoraŭ ekzistas, kaj la pordego ankoraŭ fidas la identecprovizanton, do la sola paneinta parto estas unu faktoro, kiun la persono ne plu posedas. Traktu ĝin kiel rehavigon, ne kiel paneon: kontrolu la petanton, registru anstataŭanton, retiru la perditan metodon, poste pruvu ke la konto funkcias. Ĉio ĉi supozas, ke la plano estis verkita antaŭ la perdo, ĉar inventi ĝin dum la voko estas la vojo, sur kiu MFA finiĝas malŝaltita por ĉiuj.

Paŝo 1: legu la registritajn faktorojn el rikordo, ne el memoro

La unua demando ne estas, kiun aparaton oni perdis, sed kion alian la konto ankoraŭ povas uzi. Konto povas porti pasvorton kun puŝo, tempobazan kodon, aparatan ŝlosilon kaj presitajn rehavigajn kodojn, kaj perdi unu el ili estas tute alia evento ol perdi la solan. Legu la liston de metodoj el la identeca sistemo anstataŭ peti la uzanton memori ĝin, kaj en Microsoft Entra luanto la demando estas unu linio:

Get-MgUserAuthenticationMethod -UserId [email protected]

Poste skribu la rehavigan rikordon dum la konto ankoraŭ funkcias: konta identigilo, registritaj faktoroj, kie loĝas la rehavigaj kodoj, kiu povas sendepende kontroli la petanton kaj kiujn sistemojn la konto atingas. Konservu ĝin en la protektita inventaro, kiun la teamo jam uzas, neniam en noto, kiu ankaŭ enhavas vivajn kodojn. Tiuj kvin kampoj transformas panikan vokon en kontrolan liston, kaj la gvidilo de NIST pri la vivociklo de aŭtentikigilo traktas rehavigon kiel parton de la legitimilo, ne kiel escepton de ĝi.

Registru la kontrolan kanalon kiel propran kampon, ĉar ĝuste tiun parton homoj preterlasas. Telefona numero ligita al la konto ne estas sendependa kanalo, kiam la persono, kiu demandas, ankaŭ regas la telefonon.

Paŝo 2: kontrolu la petanton ekster la malsukcesa vojo

Farigu la identeckontrolon tra kanalo, kiu ne dependas de la VPN, la poŝtkesto aŭ la perdita aparato. Revena voko al numero el la homresursa rikordo, aŭ persona kontrolo ĉe manaĝero jam en la adresaro, ambaŭ funkcias; babileja mesaĝo sendita el la konto sub rehavigo ne funkcias. La kontrolo temas pri la persono, ne pri ilia kapablo respondi demandojn pri la konto, ĉar kontaj detaloj likas. Registru, kiu kontrolis la peton kaj kiam, ĉar la sekva revizianto volos ambaŭ.

Kiam la peto alvenas kun urĝeco kaj premo por preterlasi la kontrolon, tiu estas la momento malrapidiĝi. Rehaviga fraŭdo aspektas ĝuste kiel helpema kolego en hasto.

Paŝo 3: registru la anstataŭanton, poste retiru la malnovan faktoron

Registru la novan aŭtentikigilon per la normala registra fluo, neniam per administra pretervojo. Poste forigu la perditan metodon eksplicite, ĉar registri anstataŭanton lasas la antaŭan aŭtentikigilon rajtigita ĝis iu retiras ĝin. Se la malnova aparato povas esti en la manoj de alia persono, traktu la forigon kiel urĝan kaj sekvu la incidentan procezon anstataŭ la rehavigan. Nuligu ekzistantajn sesiojn en la sama paŝo, ĉar sesio kreita antaŭ la ŝanĝo povas postvivi ĝin:

Revoke-MgUserSignInSession -UserId [email protected]

Forigi la faktoron por ĉiuj aliaj, aŭ malstreĉi la atestilkontrolojn de la pordego, interŝanĝas la rehavigon de unu persono kontraŭ paneo, kiu tuŝas la tutan deplojon. Tenu la ŝanĝon limigita al la unuopa konto kaj eskalalu, se la indicoj montras pli larĝan kompromiton. Notu en la bileto, kiun faktoron oni retiris kaj kiu anstataŭigis ĝin.

Paŝo 4: pruvu ke la konto funkcias en ambaŭ direktoj

Ensalutu unufoje per la nova faktoro tra subtenata kliento, poste konfirmu ke la konto ankoraŭ atingas la rimedojn, kiujn ĝi atingis antaŭ la perdo. Testu unu rimedon, kiu bezonas la tunelon, kaj unu, kiu ne, por ke malsukceso montru la ĝustan tavolon. Provu ensaluton per la retirita faktoro kaj atendu rifuzon anstataŭ instigon, kio pruvas ke la forigo efikis. Defio, kiu malsukcesas de ekzistanta registrita aparato estas instiga problemo, ne kialo registri ĉion denove.

Poste petu la uzanton fini la saman ensaluton sen gvidado. Via sukcesa testo pruvas la agordon; ilia provo pruvas la transdonon.

Fermu la bileton kun la tempstampo de la sukcesa ensaluto kaj la nomo de la faktoro nun uzata. Ĝisdatigu la rehavigan rikordon en la sama paŝo, por ke la sekva perdo komenciĝu de preciza inventaro anstataŭ de malnova.

Paŝo 5: forigu la kondiĉon, kiu igis tion dolora

Ĉiu rehaviga voko estas indico pri la registra dezajno. Se la konto havis ekzakte unu faktoron, postulu duan por ĉiuj en tiu grupo. Se la rehavigaj kodoj kuŝis sur la perdita tekkomputilo, ŝanĝu kie ili loĝas. Se la kontrolo bezonis manaĝeron, kiu estis en ferio, nomumu anstataŭanton. Ĉiu riparo daŭras posttagmezon kaj forigas la plej malbonan horon de la sekva incidento.

Poste relegu la rikordon de la paŝo unu kontraŭ la realo. Ĉu ĝi listigas la faktorojn, kiuj efektive ekzistas, kaj ĉu la kontrola kanalo ankoraŭ atingas homon? Gvidlibro, kiun neniu ĝisdatigas, degeneras en dokumenton, kiun homoj ignoras dum la voko, por kiu ĝi estis verkita.