Kadonnut VPN-todennuslaite: korvaaminen ilman MFA:n sammuttamista

Joku kadottaa puhelimensa, ja tiketti saapuu muodossa VPN rikki. Tämä kehystys on väärä kahdesti: tili on yhä olemassa ja yhdyskäytävä luottaa yhä identiteetintarjoajaan, joten ainoa rikkinäinen osa on yksi tekijä, jota henkilö ei enää omista. Käsittele sitä palautuksena, älä katkoksena: varmenna pyytäjä, rekisteröi korvaaja, poista kadonnut menetelmä ja osoita sitten, että tili toimii. Kaikki tämä olettaa, että suunnitelma kirjoitettiin ennen katoamista, sillä sen keksiminen puhelun aikana on tapa, jolla MFA lopulta sammutetaan kaikilta.

Vaihe 1: lue rekisteröidyt tekijät tietueesta, älä muistista

Ensimmäinen kysymys ei ole, mikä laite katosi, vaan mitä muuta tili voi yhä käyttää. Tilillä voi olla salasana ja push, aikapohjainen koodi, laitteistoavain ja tulostetut palautuskoodit, ja yhden niistä kadottaminen on täysin eri tapahtuma kuin ainoan kadottaminen. Lue menetelmäluettelo identiteettijärjestelmästä sen sijaan, että pyytäisit käyttäjää muistamaan sen, ja Microsoft Entra -vuokralaisessa kysely on yksi rivi:

Get-MgUserAuthenticationMethod -UserId [email protected]

Kirjoita sitten palautustietue, kun tili vielä toimii: tilin tunniste, rekisteröidyt tekijät, missä palautuskoodit ovat, kuka voi varmistaa pyytäjän itsenäisesti ja mitä järjestelmiä tili tavoittaa. Pidä sitä suojatussa luettelossa, jota tiimi jo käyttää, älä koskaan muistiinpanossa, jossa on myös aktiivisia koodeja. Nämä viisi kenttää muuttavat paniikkipuhelun tarkistuslistaksi, ja NISTin todennuslaitteen elinkaarta koskeva ohje pitää palautusta osana valtuutusta, ei poikkeuksena siitä.

Kirjaa varmennuskanava omaksi kentäkseen, koska juuri tämän osan ihmiset jättävät väliin. Tiliin liitetty puhelinnumero ei ole riippumaton kanava, kun pyytäjä itse hallitsee puhelinta.

Vaihe 2: varmenna pyytäjä viallisen polun ulkopuolella

Tee identiteettitarkistus kanavan kautta, joka ei riipu VPN:stä, postilaatikosta tai kadonneesta laitteesta. Takaisinsoitto henkilöstötietueen numeroon tai henkilökohtainen tarkistus jo hakemistossa olevalle esihenkilölle toimivat molemmat; palautettavasta tilistä lähetetty chatviesti ei toimi. Tarkistus koskee henkilöä, ei tämän kykyä vastata tiliä koskeviin kysymyksiin, koska tilin tiedot vuotavat. Kirjaa, kuka vahvisti pyynnön ja milloin, koska seuraava arvioija haluaa molemmat.

Kun pyyntö saapuu kiireellisyydellä ja paineella tarkistuksen ohittamiseksi, silloin on hidastamisen hetki. Palautushuijaus näyttää aivan kiireiseltä avuliaalta kollegalta.

Vaihe 3: rekisteröi korvaaja ja poista sitten vanha tekijä

Rekisteröi uusi todennuslaite normaalin rekisteröintiprosessin kautta, ei koskaan hallinnollisen ohituksen kautta. Poista sitten kadonnut menetelmä nimenomaisesti, sillä korvaajan rekisteröinti jättää aiemman todennuslaitteen valtuutetuksi, kunnes joku poistaa sen. Jos vanha laite voi olla toisen henkilön käsissä, käsittele poistoa kiireellisenä ja seuraa tapahtumaprosessia palautusprosessin sijaan. Peruuta olemassa olevat istunnot samassa vaiheessa, sillä ennen muutosta luotu istunto voi elää sen yli:

Revoke-MgUserSignInSession -UserId [email protected]

Tekijän poistaminen kaikilta muilta tai yhdyskäytävän varmennetarkistusten löysääminen vaihtaa yhden henkilön palautuksen katkokseen, joka koskee koko käyttöönottoa. Pidä muutos rajattuna yhteen tiliin ja eskaloi, jos todisteet viittaavat laajempaan kompromissiin. Merkitse tikettiin, mikä tekijä poistettiin ja mikä korvasi sen.

Vaihe 4: osoita, että tili toimii molempiin suuntiin

Kirjaudu kerran uudella tekijällä tuetun asiakasohjelman kautta ja vahvista sitten, että tili tavoittaa yhä resurssit, jotka se tavoitti ennen katoamista. Testaa yksi resurssi, joka tarvitsee tunnelin, ja yksi, joka ei tarvitse, jotta vika osoittaa oikeaan kerrokseen. Yritä kirjautumista poistetulla tekijällä ja odota hylkäystä kehotteen sijaan, mikä osoittaa, että poisto tuli voimaan. Haaste, joka epäonnistuu olemassa olevasta rekisteröidystä laitteesta on kehotteen ongelma, ei syy rekisteröidä kaikkea uudelleen.

Pyydä sitten käyttäjää suorittamaan sama kirjautuminen ilman ohjausta. Onnistunut testisi osoittaa kokoonpanon; hänen yrityksensä osoittaa luovutuksen.

Sulje tiketti onnistuneen kirjautumisen aikaleimalla ja nyt käytössä olevan tekijän nimellä. Päivitä palautustietue samassa vaiheessa, jotta seuraava katoaminen alkaa tarkasta luettelosta eikä vanhentuneesta.

Vaihe 5: poista ehto, joka teki tästä kivuliasta

Jokainen palautuspuhelu on todiste rekisteröinnin suunnittelusta. Jos tilillä oli täsmälleen yksi tekijä, vaadi toinen kaikille siinä ryhmässä. Jos palautuskoodit olivat kadonneella kannettavalla, muuta missä ne ovat. Jos varmennus vaati lomalla olevan esihenkilön, nimeä sijainen. Jokainen korjaus vie yhden iltapäivän ja poistaa seuraavan tapahtuman pahimman tunnin.

Lue sitten vaiheen yksi tietue uudelleen todellisuutta vastaan. Luetteleeko se tekijät, jotka todella ovat olemassa, ja tavoittaako varmennuskanava yhä ihmisen? Käsikirja, jota kukaan ei päivitä, rappeutuu asiakirjaksi, jonka ihmiset jättävät huomiotta sen puhelun aikana, jota varten se kirjoitettiin.