Galdutako VPN autentifikatzailea: ordeztu MFA desaktibatu gabe

Norbait telefonoa galtzen du eta txartela VPN hondatuta gisa iristen da. Plantamendu hori bitan okerra da: kontua oraindik existitzen da eta atebideak identitate-hornitzaileari oraindik fidatzen dio, beraz zati hondatu bakarra pertsona batek jada ez duen faktore bat da. Hartu berreskuratze gisa, ez geldialdi gisa: egiaztatu eskatzailea, erregistratu ordezko bat, erretiratu galdutako metodoa eta, ondoren, frogatu kontuak funtzionatzen duela. Horrek guztiak suposatzen du plana galera baino lehen idatzi zela, deian zehar asmatzea baita MFA guztiontzat desaktibatuta amaitzeko bidea.

1. urratsa: irakurri erregistratutako faktoreak erregistro batetik, ez memoriarik

Lehen galdera ez da zein gailu galdu zen, kontuak zer gehiago erabil dezakeen baizik. Kontuak pasahitza gehi push, denboran oinarritutako kode bat, hardware-giltza bat eta inprimatutako berreskuratze-kodeak izan ditzake, eta horietako bat galtzea oso bestelako gertaera da bakarra galtzea baino. Irakurri metodoen zerrenda identitate-sistematik, erabiltzaileari gogoratzeko eskatu beharrean, eta Microsoft Entra maizter batean kontsulta lerro bat da:

Get-MgUserAuthenticationMethod -UserId [email protected]

Ondoren idatzi berreskuratze-erregistroa kontuak oraindik funtzionatzen duen bitartean: kontuaren identifikatzailea, erregistratutako faktoreak, berreskuratze-kodeak non bizi diren, nork egiaztatu dezakeen eskatzailea modu independentean eta zein sistemetara iristen den kontua. Gorde taldeak jada erabiltzen duen inbentario babestuan, inoiz ez kode aktiboak ere dituen ohar batean. Bost eremu horiek panikozko deia kontrol-zerrenda bihurtzen dute, eta NISTen autentifikatzaileen bizi-zikloari buruzko gidak berreskuratzea kredentzialaren parte dela dio, salbuespena ez dela.

Erregistratu egiaztatze-kanala eremu propio gisa, jendeak saltatzen duen zatia hori baita. Kontuarekin lotutako telefono-zenbakia ez da kanal independentea, eskatzen duen pertsonak telefonoa ere kontrolatzen duenean.

2. urratsa: egiaztatu eskatzailea huts egiten duen bidetik kanpo

Egin identitate-egiaztapena VPN, postontzi edo galdutako gailuaren mende ez dagoen kanal baten bidez. Giza baliabideen erregistroko zenbaki baterako itzulera-deia, edo jada direktorioan dagoen gerente batekin aurrez aurreko egiaztapena, biak funtzionatzen dute; berreskuratzen ari den kontutik bidalitako txat-mezuak ez du funtzionatzen. Egiaztapena pertsonari buruzkoa da, ez kontuari buruzko galerei erantzuteko gaitasunari buruzkoa, kontuaren xehetasunak filtratzen baitira. Erregistratu nork egiaztatu zuen eskaera eta noiz, hurrengo berrikusleak biak nahi izango baititu.

Eskaera presaz eta egiaztapena saltatzeko presioz iristen denean, orduan da moteltzeko unea. Berreskuratze-iruzurrak presaka dabilen lankide laguntzaile baten itxura zehatza du.

3. urratsa: erregistratu ordezkoa eta, ondoren, erretiratu faktore zaharra

Erregistratu autentifikatzaile berria ohiko erregistratze-fluxuaren bidez, inoiz ez administrazio-bypass baten bidez. Ondoren kendu esplizituki galdutako metodoa, ordezko bat erregistratzeak aurreko autentifikatzailea baimenduta uzten baitu norbaitek erretiratu arte. Gailu zaharra beste norbaiten eskuetan egon badaiteke, hartu kentzea premiazko gisa eta jarraitu intzidentzia-prozesua, berreskuratzearena ez ezik. Ezeztatu dauden saioak pasada berean, aldaketaren aurretik sortutako saio batek aldaketa hori biziraun baitezake:

Revoke-MgUserSignInSession -UserId [email protected]

Faktorea beste guztientzat kentzeak edo atebidearen ziurtagiri-egiaztapenak arintzeak pertsona baten berreskuratzea hedapen osoa ukitzen duen geldialdi baten truke aldatzen du. Mantendu aldaketa kontu bakarrera mugatuta eta eskaileratu frogak konpromiso zabalago bat adierazten badute. Ohartu txartelean zein faktore erretiratu zen eta zeinek ordeztu zuen.

4. urratsa: frogatu kontuak bi noranzkoetan funtzionatzen duela

Hasi saioa behin faktore berriarekin onartutako bezero baten bidez, eta gero egiaztatu kontuak oraindik galera aurretik iristen zen baliabideetara iristen jarraitzen duela. Probatu tunela behar duen baliabide bat eta behar ez duen bat, huts egiteak geruza zuzena seinalatu dezan. Saiatu saioa hasteko erretiratutako faktorearekin eta espero ukapena, gonbidapena ez, eta horrek frogatzen du kentzeak eragin zuela. Lehendik erregistratutako gailu batetik huts egiten duen erronka gonbidapen-arazoa da, ez dena berriro erregistratzeko arrazoia.

Gero eskatu erabiltzaileari saio-hartze bera gidaritzarik gabe osatzeko. Zure proba arrakastatsuak konfigurazioa frogatzen du; haren saiakerak eskualdaketa frogatzen du.

Itxi txartela saio-hartze arrakastatsuaren denbora-markarekin eta orain erabiltzen den faktorearen izenarekin. Eguneratu berreskuratze-erregistroa pasada berean, hurrengo galerak inbentario zehatzetik has dadin, zaharkitu batetik ez.

5. urratsa: kendu hau mingarri egin zuen baldintza

Berreskuratze-dei bakoitza erregistratze-diseinuari buruzko froga da. Kontuak faktore bat zehazki bazuen, eskatu bigarren bat talde horretako guztientzat. Berreskuratze-kodeak galdu zen ordenagailu eramangarrian bazeuden, aldatu non bizi diren. Egiaztapenak oporretan zegoen gerente bat behar bazuen, izendatu ordezko bat. Konponketa bakoitzak arratsalde bat hartzen du eta hurrengo intzidentziako ordu okerrena kentzen du.

Gero irakurri berriro lehen urratseko erregistroa errealitatearen aurka. Egiaz existitzen diren faktoreak zerrendatzen ditu, eta egiaztatze-kanalak pertsona bat oraindik iristen du? Inork eguneratzen ez duen eskuliburu bat idatzi zen deian zehar jendeak baztertzen duen dokumentu bihurtzen da.