Жоғалған VPN аутентификаторы: MFA-ны өшірмей ауыстыру

Біреу телефонын жоғалтады, ал билет VPN бұзылды деп келеді. Бұл тұжырым екі жерде қате: тіркелгі әлі бар және шлюз әлі де сәйкестік провайдеріне сенеді, сондықтан жалғыз бұзылған бөлік — адамда енді жоқ бір фактор. Оны ақаулық емес, қалпына келтіру ретінде қарастырыңыз: сұраныс иесін тексеріңіз, ауыстырғышты тіркеңіз, жоғалған әдісті тоқтатыңыз, содан кейін тіркелгінің жұмыс істейтінін дәлелдеңіз. Мұның бәрі жоспар жоғалтуға дейін жазылған деп болжайды, өйткені оны қоңырау кезінде ойлап табу — MFA-ның бәріне өшіріліп қалуының жолы.

1-қадам: тіркелген факторларды жадтан емес, жазбадан оқыңыз

Бірінші сұрақ қай құрылғы жоғалғаны емес, тіркелгі тағы нені пайдалана алатыны. Тіркелгіде құпиясөз бен push, уақытқа негізделген код, аппараттық кілт және басып шығарылған қалпына келтіру кодтары болуы мүмкін, және солардың біреуін жоғалту жалғызды жоғалтудан мүлде басқа оқиға. Әдістер тізімін пайдаланушыдан есте сақтауды сұраудың орнына сәйкестік жүйесінен оқыңыз, ал Microsoft Entra теңантында сұрау бір жол:

Get-MgUserAuthenticationMethod -UserId [email protected]

Содан кейін тіркелгі әлі жұмыс істеп тұрғанда қалпына келтіру жазбасын жазыңыз: тіркелгі идентификаторы, тіркелген факторлар, қалпына келтіру кодтары қайда тұрады, кім сұраныс иесін тәуелсіз тексере алады және тіркелгі қандай жүйелерге жетеді. Оны команда қолданып жүрген қорғалған тізімдемеде сақтаңыз, ешқашан тірі кодтары бар жазбада сақтамаңыз. Осы бес өріс дүрбелең қоңырауды тексеру тізіміне айналдырады, ал NIST-тің аутентификатордың өмірлік циклі туралы нұсқаулығы қалпына келтіруді тіркелгі деректерінің бөлігі деп санайды, одан ерекшелік емес.

Тексеру арнасын жеке өріс ретінде жазыңыз, өйткені адамдар дәл осы бөлікті өткізіп жібереді. Тіркелгіге байланған телефон нөмірі сұраушының өзі телефонды басқарса, тәуелсіз арна емес.

2-қадам: сұраныс иесін сәтсіз жолдан тыс тексеріңіз

Сәйкестікті тексеруді VPN-ге, пошта жәшігіне немесе жоғалған құрылғыға тәуелді емес арна арқылы жүргізіңіз. HR жазбасындағы нөмірге кері қоңырау немесе каталогта бар менеджермен бетпе-бет тексеру — екеуі де жұмыс істейді; қалпына келтіріліп жатқан тіркелгіден жіберілген чат хабарламасы жұмыс істемейді. Тексеру адамға қатысты, тіркелгі туралы сұрақтарға жауап беру қабілетіне емес, өйткені тіркелгі мәліметтері ағып кетеді. Сұранысты кім және қашан тексергенін жазыңыз, өйткені келесі шолушы екеуін де қалайды.

Сұраныс шұғылдықпен және тексеруді өткізіп жіберу қысымымен келгенде, дәл сол кезде баяулау керек. Қалпына келтіру алаяқтығы асығыс көмекші әріптеске дәл ұқсайды.

3-қадам: ауыстырғышты тіркеңіз, содан кейін ескі факторды тоқтатыңыз

Жаңа аутентификаторды қалыпты тіркеу ағынымен тіркеңіз, ешқашан әкімшілік айналып өту арқылы емес. Содан кейін жоғалған әдісті анық жойыңыз, өйткені ауыстырғышты тіркеу алдыңғы аутентификаторды біреу тоқтатқанша уәкілетті қалдырады. Егер ескі құрылғы басқа біреудің қолында болуы мүмкін болса, жоюды шұғыл деп қарастырыңыз және қалпына келтіру емес, оқиға процесін ұстаныңыз. Қолданыстағы сессияларды сол өтуде кері қайтарыңыз, өйткені өзгеріске дейін жасалған сессия одан ұзақ өмір сүруі мүмкін:

Revoke-MgUserSignInSession -UserId [email protected]

Факторды қалғандардың бәрінен жою немесе шлюздің сертификат тексерулерін әлсірету бір адамның қалпына келтірілуін бүкіл орналастыруға әсер ететін ақаулыққа айырбастайды. Өзгерісті жалғыз тіркелгімен шектеп ұстаңыз және дәлелдер кеңірек бұзуға меңзесе, жоғарыға хабарлаңыз. Билетте қай фактор тоқтатылғанын және оны қайсысы ауыстырғанын жазыңыз.

4-қадам: тіркелгінің екі бағытта да жұмыс істейтінін дәлелдеңіз

Қолдау көрсетілетін клиент арқылы жаңа фактормен бір рет кіріңіз, содан кейін тіркелгі жоғалтуға дейін жеткен ресурстарға әлі де жететінін растаңыз. Гүйікті қажет ететін бір ресурсты және қажет етпейтін бір ресурсты сынаңыз, сәтсіздік дұрыс қабатты көрсетсін. Тоқтатылған фактормен кіруге тырысыңыз және сұраныс емес, бас тартуды күтіңіз, бұл жоюдың күшіне енгенін дәлелдейді. Бар тіркелген құрылғыдан сәтсіз болатын шақыру — сұраныс мәселесі, бәрін қайта тіркеуге себеп емес.

Содан кейін пайдаланушыдан сол кіруді нұсқаусыз орындауды сұраңыз. Сіздің сәтті сынағыңыз конфигурацияны дәлелдейді; оның әрекеті тапсыруды дәлелдейді.

Билетті сәтті кірудің уақыт белгісімен және қазір қолданылатын фактордың атымен жабыңыз. Қалпына келтіру жазбасын сол өтуде жаңартыңыз, келесі жоғалту ескірген емес, дәл тізімдемеден басталсын.

5-қадам: мұны ауыртпалыққа айналдырған шартты жойыңыз

Әрбір қалпына келтіру қоңырауы тіркеу дизайны туралы дәлел. Егер тіркелгіде дәл бір фактор болса, сол топтағылардың бәріне екіншісін талап етіңіз. Егер қалпына келтіру кодтары жоғалған ноутбукта болса, олардың орнын өзгертіңіз. Егер тексеруге демалыстағы менеджер қажет болса, орынбасар тағайындаңыз. Әр түзету бір түстен кейін алады және келесі оқиғаның ең нашар сағатын жояды.

Содан кейін бірінші қадамның жазбасын шындыққа қарсы қайта оқыңыз. Ол шынымен бар факторларды тізіп тұр ма, тексеру арнасы әлі де адамға жетіп тұр ма? Ешкім жаңартпайтын нұсқаулық өзі жазылған қоңырау кезінде адамдар елемейтін құжатқа айналады.