A túa reinstalación non revogou as credenciais VPN roubadas

Borrar un portátil comprometido parece o final do incidente. Normalmente é a metade. Un contrasinal, un token de sesión ou un perfil VPN exportado copiados desa máquina sobreviven á reinstalación completamente intactos, porque nada de formatear un disco chega ao servidor que os acepta. A recuperación do dispositivo e a recuperación da conta son dúas tarefas con reloxos distintos.

Dous incidentes, dous reloxos

O traballo do dispositivo é local e rápido: reconstruír, parchear, restaurar datos. O traballo da conta é remoto e máis lento, porque depende do que expón o proveedor e de se aínda controlas a canle de recuperación. Facer primeiro o traballo rápido parece produtivo e deixa a exposición real exactamente onde estaba.

Trata o portátil como non fiable ata que o traballo da conta estea feito. Usalo para recuperar a conta significa usar unha máquina que quizais xa ten un rexistrador de teclas.

Tres condicións que fixan a orde

Averígualas antes de tocar nada, porque deciden se a recuperación tarda quince minutos ou unha escalada ao soporte.

Primeiro, que había no dispositivo: un contrasinal que escribiches, un certificado de cliente coa súa clave privada, un token de sesión gardado ou as tres cousas. Segundo, que che permite revogar ti mesmo o proveedor, xa que algúns servizos expoñen listas de dispositivos e sesións mentres outros só ofrecen unha caixa de contrasinal e nada máis. Terceiro, se a canle de recuperación segue sendo túa, é dicir, a caixa de correo e o número de teléfono vinculados á conta. Se o terceiro está comprometido, todo o demais espera.

Escribe as respostas. Un incidente no que non podes dicir que se copiou é un incidente que non podes pechar.

Substitúe o que se pode reproducir

Todo o que se pode reproducir debe substituírse, non só cambiarse na máquina nova. Os contrasinais, os certificados de dispositivo e os perfís exportados cumpren o requisito. A guía de NIST sobre o ciclo de vida dos autenticadores describe invalidar de inmediato un autenticador comprometido e esixir un aviso independente cando se vincula outro, que é a forma correcta da tarefa mesmo onde unha VPN de consumidor expón menos controis.

Despois remata as sesións. Cambiar o contrasinal non invalida de forma fiable os tokens existentes, e un perfil VPN xa instalado noutra máquina segue funcionando ata que se revoga a súa credencial. Comproba o que documenta o servizo, non o que esperas que faga.

Reconstruír sen restaurar o compromiso

Reinstalar é a parte doada, e é onde a xente desfai o seu propio traballo. Restaurar unha copia de seguridade completa pode devolver o mesmo perfil gardado, a mesma sesión do navegador e o mesmo almacén de credenciais. Revisa que importa realmente a restauración e despois inscribe o dispositivo de novo polo fluxo compatible con material recentemente emitido.

Mantén os dispositivos extraíbles por separado onde o servizo o permita. Un perfil por dispositivo é o detalle que converte un incidente futuro nunha única revogación en lugar dunha carreira por toda a flota.

Decide cando rematou o incidente

Rematou cando tres cousas son certas. O acceso lexítimo funciona desde o dispositivo reconstruído. As identidades expostas retiráronse mediante controis que podes ver de verdade. E os métodos de recuperación restantes, a caixa de correo, o número de teléfono, os códigos de reserva, son teus. Unha instalación limpa que conecta só cumpre a primeira.

Se non podes inspeccionar ou eliminar un autenticador ou un contacto de recuperación inesperados, escala polo proceso de soporte verificado. Reinstalar en local nunca arranxará un método de recuperación que controla outra persoa.