Tapaður VPN-auðkenningartæki: skipta út án að slökkva á MFA

Einhver týnir síma og miðinn berst sem VPN bilað. Sú nálgun er röng tvisvar: reikningurinn er enn til og gáttin treystir enn auðkenningarveitandanum, svo eini bilaði hlutinn er einn þáttur sem viðkomandi hefur ekki lengur. Meðhöndlaðu þetta sem endurheimt en ekki bilun: staðfestu umsækjandann, skráðu staðgengil, dragðu tapaðu aðferðina til baka og sýndu svo fram á að reikningurinn virki. Allt þetta gerir ráð fyrir að áætlunin hafi verið skrifuð fyrir tapið, því að hanna hana í símtalinu er leiðin sem MFA endar á að vera slökkt hjá öllum.

Skref 1: lestu skráðu þættina úr skrá, ekki úr minni

Fyrsta spurningin er ekki hvaða tæki týndist, heldur hvað annað reikningurinn getur enn notað. Reikningur getur borið lykilorð með push, tímabundinn kóða, vélbúnaðarlykil og prentaða endurheimtakóða, og að týna einum þeirra er allt önnur atburður en að týna hinum eina. Lestu aðferðalistann úr auðkenningarkerfinu í stað þess að biðja notandann að muna hann, og í Microsoft Entra leigjanda er fyrirspurnin ein lína:

Get-MgUserAuthenticationMethod -UserId [email protected]

Skrifaðu svo endurheimtaskrána á meðan reikningurinn virkar enn: auðkenni reiknings, skráðir þættir, hvar endurheimtakóðarnir eru, hver getur staðfest umsækjandann sjálfstætt og hvaða kerfi reikningurinn nær til. Geymdu hana í varða birgðaskránni sem teymið notar þegar, aldrei í minnisblaði sem geymir líka virka kóða. Þessi fimm svið breyta örvæntingarfullu símtali í gátlista, og leiðbeiningar NIST um lífsferil auðkenningartækis líta á endurheimt sem hluta af skilríkinu en ekki undantekningu frá því.

Skráðu staðfestingarleiðina sem eigið svið, því það er hlutinn sem fólk sleppir. Símanúmer sem er tengt reikningnum er ekki sjálfstæð leið þegar sá sem biður stjórnar líka símanum.

Skref 2: staðfestu umsækjandann utan biluðu leiðarinnar

Framkvæmdu auðkennisathugunina um leið sem er ekki háð VPN, pósthólfinu eða tapaða tækinu. Hringing til baka á númer úr starfsmannaskrá eða athugun augliti til auglitis við stjórnanda sem er þegar í skránni virka báðar; skilaboð í spjalli sem send eru frá reikningnum sem er í endurheimt virka ekki. Athugunin snýst um manneskjuna, ekki getu hennar til að svara spurningum um reikninginn, því upplýsingar um reikninginn leka. Skráðu hver staðfesti beiðnina og hvenær, þar sem næsti yfirferðaraðili vill bæði.

Þegar beiðnin berst með skjótum og þrýstingi um að sleppa athuguninni, þá er það augnablikið til að hægja á sér. Endurheimtasvik líta nákvæmlega út eins og hjálpsamur samstarfsmaður sem er í flýti.

Skref 3: skráðu staðgengilinn og dragðu svo gamla þáttinn til baka

Skráðu nýja auðkenningartækið í gegnum venjulegt skráningarferli, aldrei með stjórnunarlegri undanfari. Fjarlægðu svo tapaðu aðferðina berum orðum, því að skrá staðgengil lætur fyrra auðkenningartækið halda heimild þar til einhver dregur það til baka. Ef gamla tækið gæti verið í höndum annars, meðhöndlaðu fjarlæginguna sem áríðandi og fylgdu atviksferlinu í stað endurheimtarferlisins. Afturkallaðu núverandi setur í sama skrefi, því að seta sem búin var til fyrir breytinguna getur lifað hana af:

Revoke-MgUserSignInSession -UserId [email protected]

Að fjarlægja þáttinn hjá öllum öðrum, eða slaka á vottorðsathugunum gáttarinnar, skiptir endurheimt eins manns út fyrir bilun sem snertir alla uppsetninguna. Haltu breytingunni innan eins reiknings og ýttu málinu upp ef sönnunargögn benda til víðtækari árásar. Taktu fram á miðanum hvaða þáttur var dreginn til baka og hver kom í staðinn.

Skref 4: sýndu fram á að reikningurinn virki í báðar áttir

Skráðu þig inn einu sinni með nýja þættinum í gegnum studdan biðlara og staðfestu svo að reikningurinn nái enn þeim auðlindum sem hann náði fyrir tapið. Prófaðu eina auðlind sem þarf göngin og eina sem þarf þau ekki, svo bilun bendi á rétt lag. Reyndu innskráningu með hinum afturkallaða þætti og búðu þig við synjun frekar en kvaðningu, sem sannar að fjarlægingin hafi tekið gildi. Áskorun sem mistekst frá núverandi skráðu tæki er kvaðningarvandamál, ekki ástæða til að skrá allt upp á nýtt.

Bjóddu notandanum svo að klára sömu innskráningu án leiðsagnar. Árangursrík prófun þín sannar stillinguna; tilraun hans sannar afhendinguna.

Lokaðu miðanum með tímarstimpli árangursríku innskráningarinnar og nafni þáttarins sem nú er notaður. Uppfærðu endurheimtaskrána í sama skrefi, svo næsta tap byrji á nákvæmri birgðaskrá en ekki úreltri.

Skref 5: fjarlægðu skilyrðið sem gerði þetta sársaukafullt

Hvert endurheimtarsímtal er sönnun um hönnun skráningarinnar. Ef reikningurinn hafði nákvæmlega einn þátt, krefjast annars fyrir alla í þeim hópi. Ef endurheimtakóðarnir voru á tapaða fartölvunni, breyttu hvar þeir eru. Ef staðfestingin krafðist stjórnanda í fríi, tilnefndu staðgengil. Sérhver lagfæring tekur eftirmiðdag og fjarlægir versta klukkutíma næsta atviks.

Lestu svo skrána úr skrefi eitt aftur gagnvart raunveruleikanum. Telur hún upp þættina sem raunverulega eru til, og nær staðfestingarleiðin enn til manneskju? Handbók sem enginn uppfærir hrörnar í skjal sem fólk hunsar í símtalinu sem hún var skrifuð fyrir.