Ferlerne VPN-autentisearrer: ferfange sûnder MFA út te skeakeljen

Immen ferliest in telefoan en it ticket komt binnen as VPN stikken. Dy ynkadering is twaris ferkeard: it akkount bestiet noch, en de gateway fertrout noch op de identiteitsleveransier, dus it ienige stikene part is ien faktor dy't de persoan net mear hat. Behannelje it as werstel en net as in steuring: ferifiearje de oanfreger, registrearje in ferfanging, lûk de ferlerne metoade yn en bewiis dan dat it akkount wurket. Dat alles giet derfan út dat it plan foar it ferlies skreaun is, want it by de oprop betinke is de manier wêrop MFA úteinlik foar elkenien útskeakele wurdt.

Stap 1: lês de registrearre faktoaren út in ferslach, net út it ûnthâld

De earste fraach is net hokker apparaat ferlern gien is, mar wat it akkount noch brûke kin. In akkount kin in wachtwurd plus push, in tiidbasearre koade, in hardwarekaai en printe werstelkoaden hawwe, en ien dêrfan ferlieze is in hiel oar barren as de iennichste ferlieze. Lês de list mei metoaden út it identiteitssysteem ynstee fan de brûker te freegjen it te ûnthâlden, en yn in Microsoft Entra-tenant is de fraach ien rigel:

Get-MgUserAuthenticationMethod -UserId [email protected]

Skriuw dan it werstelferslach wylst it akkount noch wurket: akkountidentifikaasje, registrearre faktoaren, wêr't de werstelkoaden libje, wa't de oanfreger selsstannich ferifiearje kin en hokker systemen it akkount berikt. Hâld it yn 'e beskerme ynventaris dy't it team al brûkt, nea yn in notysje dêr't ek libbene koaden yn steane. Dy fiif fjilden feroarje in panykoprop yn in checklist, en NIST syn rjochtline oer de libbenssyklus fan autentisearrers behannelet werstel as part fan it bewizenis en net as in útsûndering dêrop.

Registrearje it ferifikaasjekanaal as in eigen fjild, want dat is it part dat minsken oerslaan. In telefoannûmer dat oan it akkount sit is gjin selsstannich kanaal as de persoan dy't freget ek de telefoan beheart.

Stap 2: ferifiearje de oanfreger bûten it mislearre paad

Fier de identiteitskontrôle út fia in kanaal dat net fan de VPN, de postbus of it ferlerne apparaat ôfhinget. In weromrop nei in nûmer út it HR-ferslach, of in persoanlike kontrôle by in manager dy't al yn it adresboek stiet, beide wurkje; in chatberjocht stjoerd fan it akkount ûnder werstel wurket net. De kontrôle giet oer de persoan, net oer har fermogen om fragen oer it akkount te beäntwurdzjen, want akkountdetails lekke. Registrearje wa't it fersyk ferifiearre hat en wannear, om't de folgjende beoardieler beide wol.

As it fersyk komt mei urginsje en druk om de kontrôle oer te slaan, dan is dat it momint om stadiger te dwaan. Werstelfraude sjocht der krekt út as in helpfeardige kollega dy't haast hat.

Stap 3: registrearje de ferfanging en lûk dan de âlde faktor yn

Registrearje de nije autentisearrer fia de normale registraasjestream, nea fia in administraasje-omwei. Ferwiderje dan de ferlerne metoade eksplisyt, want in ferfanging registrearje lit de foarige autentisearrer autorisearre oant immen him ynlûkt. As it âlde apparaat yn oare hannen wêze kin, behannelje de ferwidering as urjint en folgje it ynsidintproses ynstee fan it werstelproses. Lûk besteande sesjes yn deselde gong yn, om't in sesje dy't foar de feroaring makke is, dy oerlibje kin:

Revoke-MgUserSignInSession -UserId [email protected]

It ferwiderjen fan de faktor foar alle oaren, of it ferskobjen fan de sertifikaatkontrôles fan de gateway, ruilet it werstel fan ien persoan foar in steuring dy't de hiele útfiering rekket. Hâld de feroaring beheind ta it iene akkount en eskaleurearje as it bewiis op in bredere kompromis wiist. Notearje yn it ticket hokker faktor ynlutsen is en hokker him ferfongen hat.

Stap 4: bewiisje dat it akkount yn beide rjochtingen wurket

Melde jo ien kear oan mei de nije faktor fia in stipe klant, en befêstigje dan dat it akkount noch de boarnen berikt dy't it foar it ferlies berikte. Test ien boarne dy't de tunnel nedich hat en ien dy't dat net hat, sadat in mislearring nei de juste laach wiist. Probearje in oanmelding mei de ynlutsen faktor en ferwachtsje in ôfwizing ynstee fan in oanmoediging, wat bewiist dat de ferwidering wurke hat. In útdaging dy't mislearret fan in besteand registrearre apparaat is in oanmoedigingsprobleem, gjin reden om alles opnij te registrearjen.

Freegje de brûker dan deselde oanmelding sûnder begelieding te foltôgjen. Jo suksesfolle test bewiist de konfiguraasje; har poging bewiist de oerdracht.

Slút it ticket mei de tiidstimpel fan de suksesfolle oanmelding en de namme fan 'e faktor dy't no brûkt wurdt. Wurkje it werstelferslach yn deselde gong by, sadat it folgjende ferlies fan in krekte ynventaris begjint ynstee fan in ferâldere.

Stap 5: ferwiderje de betingst dy't dit pynlik makke

Elke wersteloprop is bewiis oer it registraasjeûntwerp. Hat it akkount krekt ien faktor, easkje dan in twadde foar elkenien yn dy groep. Lizzene de werstelkoaden op 'e laptop dy't ferlern gien is, feroarje dan wêr't se libje. Wie foar de ferifikaasje in manager nedich dy't mei ferlof wie, beneam dan in plakferfanger. Elke oplossing kostet in middei en hellet it slimste oere fan it folgjende ynsidint fuort.

Lês dan it ferslach fan stap ien opnij tsjin 'e realiteit. Listet it de faktoaren op dy't echt bestean, en berikt it ferifikaasjekanaal noch in minske? In hânboek dat nimmen bywurket, ferfallen ta in dokumint dat minsken yn 'e oprop, dêr't it foar skreaun is, negearje.