Kadunud VPN-autentija: asendamine ilma MFA-d välja lülitamata

Keegi kaotab telefoni ja pilet saabub kui VPN katki. See raamistus on vale kaks korda: konto on endiselt olemas ja lüüs usaldab endiselt identiteedipakkujat, nii et ainus katkine osa on üks faktor, mida inimene enam ei oma. Käsitlege seda taastamisena, mitte katkestusena: kontrollige taotlejat, registreerige asendus, lõpetage kadunud meetod ja tõestage seejärel, et konto töötab. Kõik see eeldab, et plaan kirjutati enne kaotust, sest selle kõne ajal väljamõtlemine on viis, kuidas MFA lõpuks kõigile välja lülitatakse.

Samm 1: lugege registreeritud faktorid kirjest, mitte mälust

Esimene küsimus ei ole, milline seade kadus, vaid mida muu konto veel kasutada saab. Kontol võib olla parool pluss push, ajapõhine kood, riistvaravõti ja trükitud taastamiskoodid, ning ühe nendest kaotamine on hoopis teine sündmus kui ainsa kaotamine. Lugege meetodite loend identiteedisüsteemist, selle asemel et paluda kasutajal seda meeles pidada, ja Microsoft Entra rentnikus on päring üks rida:

Get-MgUserAuthenticationMethod -UserId [email protected]

Seejärel kirjutage taastamiskirje, kuni konto veel töötab: konto identifikaator, registreeritud faktorid, kus taastamiskoodid asuvad, kes saab taotlejat sõltumatult kontrollida ja millistele süsteemidele konto ulatub. Hoidke seda kaitstud inventaris, mida meeskond juba kasutab, mitte kunagi märkmes, mis sisaldab ka elavaid koode. Need viis välja muudavad paanilise kõne kontroll-loendiks ja NISTi autentija elutsükli juhis käsitleb taastamist volituse osana, mitte selle erandina.

Kirjutage kontrollikanal eraldi väljana, sest just selle osa inimesed jätavad vahele. Kontoga seotud telefoninumber ei ole sõltumatu kanal, kui küsimuse esitaja kontrollib ka telefoni.

Samm 2: kontrollige taotlejat väljaspool tõrkuvat teed

Viige identiteedikontroll läbi kanali kaudu, mis ei sõltu VPN-ist, postkastist ega kadunud seadmest. Tagasihelistamine personalikirjes olevale numbrile või silmast silma kontroll juhiga, kes on juba kataloogis, mõlemad töötavad; taastatava konto alt saadetud vestlussõnum ei tööta. Kontroll puudutab inimest, mitte tema võimet vastata kontot puudutavatele küsimustele, sest konto üksikasjad lekivad. Logige, kes taotluse kontrollis ja millal, kuna järgmine ülevaataja soovib mõlemat.

Kui taotlus saabub kiireloomulisusega ja survega kontroll vahele jätta, on see hetk aeglustada. Taastamispettus näeb täpselt välja nagu abivalmis kolleeg, kellel on kiire.

Samm 3: registreerige asendus ja seejärel lõpetage vana faktor

Registreerige uus autentija tavalise registreerimisvoo kaudu, mitte kunagi administratiivse möödaviigu kaudu. Seejärel eemaldage kadunud meetod selgesõnaliselt, sest asenduse registreerimine jätab eelmise autentija volitatuks, kuni keegi selle lõpetab. Kui vana seade võib olla kellegi teise käes, käsitlege eemaldamist kiireloomulisena ja järgige intsidendi protsessi, mitte taastamise oma. Tühistage olemasolevad sessioonid samas käigus, sest enne muudatust loodud sessioon võib selle üle elada:

Revoke-MgUserSignInSession -UserId [email protected]

Faktori eemaldamine kõigi teiste jaoks või lüüsi sertifikaadikontrollide lõdvendamine vahetab ühe inimese taastamise katkestuse vastu, mis puudutab kogu juurutust. Hoidke muudatus ühe konto piires ja eskaleerige, kui tõendid viitavad laiemale kompromissile. Märkige piletil, milline faktor lõpetati ja milline selle asendas.

Samm 4: tõestage, et konto töötab mõlemas suunas

Logige korra sisse uue faktoriga toetatud kliendi kaudu ja kinnitage seejärel, et konto jõuab endiselt ressurssideni, kuhu ta jõudis enne kaotust. Testige ühte ressurssi, mis vajab tunnelit, ja ühte, mis ei vaja, et tõrge osutaks õigele kihile. Proovige sisselogimist lõpetatud faktoriga ja oodake keeldumist, mitte viipa, mis tõestab, et eemaldamine mõjus. Väljakutse, mis ebaõnnestub olemasolevast registreeritud seadmest on viiba probleem, mitte põhjus kõike uuesti registreerida.

Seejärel paluge kasutajal sama sisselogimine ilma juhendamiseta lõpule viia. Teie edukas test tõestab konfiguratsiooni; tema katse tõestab üleandmise.

Sulgege pilet eduka sisselogimise ajatempli ja praegu kasutatava faktori nimega. Uuendage taastamiskirjet samas käigus, et järgmine kaotus algaks täpsest inventarist, mitte vananenust.

Samm 5: eemaldage tingimus, mis tegi selle valusaks

Iga taastamiskõne on tõend registreerimise disaini kohta. Kui kontol oli täpselt üks faktor, nõudke teist kõigile selles rühmas. Kui taastamiskoodid olid kadunud sülearvutis, muutke, kus need asuvad. Kui kontroll nõudis puhkusel olevat juhti, nimetage asetäitja. Iga parandus võtab ühe pärastlõuna ja eemaldab järgmise intsidendi halvima tunni.

Seejärel lugege esimese sammu kirje uuesti reaalsuse vastu. Kas see loetleb faktorid, mis tegelikult olemas on, ja kas kontrollikanal jõuab endiselt inimeseni? Käsiraamat, mida keegi ei uuenda, mandub dokumendiks, mille inimesed kõne ajal, mille jaoks see kirjutati, tähelepanuta jätavad.