Az újratelepítés nem vonta vissza az ellopott VPN-hitelesítő adatokat

Egy kompromittált laptop törlése az incidens végének tűnik. Általában a közepe. A gépről másolt jelszó, munkamenet-token vagy exportált VPN-profil teljesen sértetlenül túléli az újratelepítést, mert a lemez formázásában semmi sem ér el ahhoz a szerverhez, amely elfogadja. Az eszköz helyreállítása és a fiók helyreállítása két különböző órájú munka.

Két incidens, két óra

Az eszközzel végzett munka helyi és gyors: újraépítés, javítás, adatok visszaállítása. A fiókkal végzett munka távoli és lassabb, mert attól függ, mit tesz közzé a szolgáltató, és hogy még mindig Ön irányítja-e a helyreállítási csatornát. A gyors munkát először elvégezni produktívnak tűnik, és pontosan ott hagyja a tényleges kitettséget, ahol volt.

Addig kezelje a laptopot nem megbízhatóként, amíg a fiókkal kapcsolatos munka el nem készül. Ha fiók-helyreállításra használja, akkor olyan gépet használ, amelyen már lehet billentyűzetnaplózó.

Három feltétel, amely meghatározza a sorrendet

Tisztázza ezeket, mielőtt bármihez hozzányúlna, mert ezek döntik el, hogy a helyreállítás tizenöt percig tart-e vagy támogatási eszkalációt igényel.

Először, mi volt az eszközön: egy jelszó, amelyet beírt, egy ügyféltanúsítvány a saját titkos kulcsával, egy mentett munkamenet-token vagy mindhárom. Másodszor, mit enged Önnek a szolgáltató magától visszavonni, mivel egyes szolgáltatások eszköz- és munkamenetlistákat tesznek közzé, mások csak egy jelszómezőt kínálnak és semmi mást. Harmadszor, hogy a helyreállítási csatorna még az Öné-e, azaz a fiókhoz kapcsolt postafiók és telefonszám. Ha a harmadik kompromittált, minden más vár.

Írja le a válaszokat. Az az incidens, amelynél nem tudja megmondani, mi lett másolva, olyan incidens, amelyet nem tud lezárni.

Cserélje ki, ami újrajátszható

Minden újrajátszható dolgot ki kell cserélni, nem elég csak módosítani az új gépen. A jelszavak, az eszköztanúsítványok és az exportált profilok mind ide tartoznak. A NIST hitelesítők életciklusára vonatkozó útmutatása leírja egy kompromittált hitelesítő azonnali érvénytelenítését és független értesítés követelményét, amikor másik hitelesítőt kötnek be, ami a munka helyes formája még ott is, ahol egy fogyasztói VPN kevesebb kontrollt tesz közzé.

Ezután szüntesse meg a munkameneteket. A jelszó megváltoztatása nem érvényteleníti megbízhatóan a meglévő tokeneket, és egy másik gépen már telepített VPN-profil addig működik, amíg a hitelesítő adatait vissza nem vonják. Azt ellenőrizze, amit a szolgáltatás dokumentál, ne azt, amit remél, hogy tesz.

Építse újra a kompromittálódás visszaállítása nélkül

Az újratelepítés a könnyű rész, és itt semmisítik meg az emberek a saját munkájukat. Egy teljes biztonsági mentés visszaállítása visszahozhatja ugyanazt a mentett profilt, ugyanazt a böngésző-munkamenetet és ugyanazt a hitelesítőadat-tárat. Tekintse át, mit importál valójában a visszaállítás, majd regisztrálja az eszközt újra a támogatott folyamaton keresztül frissen kiadott anyaggal.

Tartsa az eszközöket külön eltávolíthatóként, ahol a szolgáltatás engedi. Eszközönként egy profil az a részlet, amely egy jövőbeli incidenst egyetlen visszavonássá tesz a teljes flottát érintő kapkodás helyett.

Döntse el, mikor van vége az incidensnek

Akkor van vége, ha három dolog igaz. A jogszerű hozzáférés működik az újraépített eszközről. A kitett identitásokat olyan kontrollokkal vonták ki a használatból, amelyeket tényleg lát. És a fennmaradó helyreállítási módszerek, a postafiók, a telefonszám, a biztonsági kódok, az Önéi. Egy csatlakozó tiszta telepítés csak az elsőt teljesíti.

Ha nem tud átvizsgálni vagy eltávolítani egy váratlan hitelesítőt vagy helyreállítási kapcsolattartót, eszkaláljon az ellenőrzött támogatási folyamaton keresztül. A helyi újratelepítés soha nem javítja meg azt a helyreállítási módszert, amelyet valaki más irányít.