La tua reinstallazione non ha revocato le credenziali VPN rubate

Cancellare un portatile compromesso sembra la fine dell'incidente. Di solito è la metà. Una password, un token di sessione o un profilo VPN esportato copiati da quella macchina sopravvivono alla reinstallazione del tutto intatti, perché nulla della formattazione di un disco raggiunge il server che li accetta. Recupero del dispositivo e recupero dell'account sono due lavori con orologi diversi.

Due incidenti, due orologi

Il lavoro sul dispositivo è locale e veloce: ricostruire, applicare patch, ripristinare i dati. Il lavoro sull'account è remoto e più lento, perché dipende da ciò che il fornitore espone e dal fatto che tu controlli ancora il canale di recupero. Fare prima il lavoro veloce sembra produttivo e lascia l'esposizione reale esattamente dove era.

Tratta il portatile come non affidabile finché il lavoro sull'account non è finito. Usarlo per recuperare l'account significa usare una macchina che potrebbe già avere un keylogger.

Tre condizioni che fissano l'ordine

Chiariscile prima di toccare qualcosa, perché decidono se il recupero richiede quindici minuti o un'escalation al supporto.

Primo, cosa c'era sul dispositivo: una password digitata, un certificato client con la sua chiave privata, un token di sessione salvato o tutti e tre. Secondo, cosa il fornitore ti consente di revocare da solo, dato che alcuni servizi espongono elenchi di dispositivi e sessioni mentre altri offrono solo un campo password e nulla più. Terzo, se il canale di recupero è ancora tuo, cioè la casella di posta e il numero di telefono collegati all'account. Se il terzo è compromesso, tutto il resto aspetta.

Scrivi le risposte. Un incidente in cui non puoi dire cosa è stato copiato è un incidente che non puoi chiudere.

Sostituisci ciò che può essere riprodotto

Tutto ciò che può essere riprodotto deve essere sostituito, non solo modificato sulla nuova macchina. Le password, i certificati dei dispositivi e i profili esportati rientrano tutti. Le linee guida di NIST sul ciclo di vita degli autenticatori descrivono l'invalidazione immediata di un autenticatore compromesso e l'obbligo di una notifica indipendente quando se ne collega un altro, che è la forma giusta del lavoro anche dove una VPN consumer espone meno controlli.

Poi termina le sessioni. Un cambio di password non invalida in modo affidabile i token esistenti, e un profilo VPN già installato su un'altra macchina continua a funzionare finché la sua credenziale non viene revocata. Controlla ciò che il servizio documenta, non ciò che speri che faccia.

Ricostruisci senza ripristinare la compromissione

Reinstallare è la parte facile, ed è qui che le persone annullano il proprio lavoro. Ripristinare un backup completo può riportare lo stesso profilo salvato, la stessa sessione del browser e lo stesso archivio delle credenziali. Esamina cosa importa davvero il ripristino, poi registra il dispositivo da zero tramite il flusso supportato con materiale appena emesso.

Tieni i dispositivi rimovibili separatamente dove il servizio lo consente. Un profilo per dispositivo è il dettaglio che trasforma un futuro incidente in un'unica revoca invece di una corsa a livello di flotta.

Decidi quando l'incidente è finito

È finito quando tre cose sono vere. L'accesso legittimo funziona dal dispositivo ricostruito. Le identità esposte sono state ritirate tramite controlli che puoi effettivamente vedere. E i metodi di recupero rimanenti, la casella di posta, il numero di telefono, i codici di backup, sono tuoi. Un'installazione pulita che si connette soddisfa solo la prima.

Se non puoi ispezionare o rimuovere un autenticatore o un contatto di recupero inatteso, escala tramite il processo di supporto verificato. Reinstallare in locale non risolverà mai un metodo di recupero controllato da qualcun altro.