Жоголгон VPN аутентификатору: MFA өчүрбөй алмаштыруу

Бирөө телефонун жоготот, ал эми билет VPN бузулду деп келет. Бул алкак эки жерден туура эмес: аккаунт дагы эле бар жана шлюз дагы эле идентификация провайдерине ишенет, ошондуктан жалгыз бузулган бөлүк — адамда эми жок болгон бир фактор. Аны бузулуу эмес, калыбына келтирүү катары караңыз: суроо ээсин текшериңиз, алмаштыргычты каттаңыз, жоголгон ыкманы токтотуңуз, анан аккаунт иштешин далилдеңиз. Мунун баары план жоготуудан мурун жазылган деп болжолдойт, анткени аны чалуу учурунда ойлоп табуу — MFA баарына өчүрүлүп калышынын жолу.

1-кадам: катталган факторлорду эстен эмес, жазуудан окуңуз

Биринчи суроо кайсы түзмөк жоголду эмес, аккаунт дагы эмнени колдоно алат. Аккаунтта сырсөз жана push, убакытка негизделген код, аппараттык ачкыч жана басып чыгарылган калыбына келтирүү коддору болушу мүмкүн, жана алардын бирин жоготуу жалгызды жоготуудан таптакыр башка окуя. Колдонуучудан эстеп калууну суроонун ордуна идентификация системасынан ыкмалардын тизмесин окуңуз, ал эми Microsoft Entra тенантында суроо бир сап:

Get-MgUserAuthenticationMethod -UserId [email protected]

Анан аккаунт дагы иштеп турганда калыбына келтирүү жазуусун жазыңыз: аккаунт идентификатору, катталган факторлор, калыбына келтирүү коддору кайда жашайт, ким суроо ээсин көз карандысыз текшере алат жана аккаунт кайсы системаларга жетет. Аны команда колдонуп жаткан корголгон инвентарда сактаңыз, эч качан тирүү коддору бар жазууда сактабаңыз. Ошол беш талаа дүрбөлөң чалуусун текшерүү тизмесине айландырат, ал эми NISTтин аутентификатордун жашоо циклы боюнча көрсөтмөсү калыбына келтирүүнү күбөлүктүн бөлүгү деп эсептейт, андан өзгөчөлүк эмес.

Текшерүү каналын өзүнчө талаа катары жазыңыз, анткени адамдар ушул бөлүктү өткөрүп жиберет. Аккаунтка байланган телефон номери суроочу өзү телефонду башкарса, көз карандысыз канал эмес.

2-кадам: суроо ээсин ийгиликсиз жолдон тышкары текшериңиз

Идентификация текшерүүсүн VPN, почта кутусу же жоголгон түзмөккө көз каранды эмес канал аркылуу жүргүзүңүз. HR жазуусундагы номерге кайтарып чалуу же каталогдо бар менеджер менен бетме-бет текшерүү — экөө тең иштейт; калыбына келтирилип жаткан аккаунттан жөнөтүлгөн чат билдирүүсү иштебейт. Текшерүү адамга тиешелүү, аккаунт жөнүндө суроолорго жооп берүү жөндөмүнө эмес, анткени аккаунт маалыматтары агып кетет. Суроону ким жана качан текшергенин жазыңыз, анткени кийинки кароочу экөөнү тең каалайт.

Суроо шашылыштык жана текшерүүнү өткөрүп жиберүү басымы менен келгенде, ошол учурда жайлашуу керек. Калыбына келтирүү алдамчылыгы шашып жаткан жардамчы кесиптешке так окшош.

3-кадам: алмаштыргычты каттаңыз, анан эски факторду токтотуңуз

Жаңы аутентификаторду кадимки каттоо агымы аркылуу каттаңыз, эч качан административдик айланып өтүү аркылуу эмес. Анан жоголгон ыкманы ачык жок кылыңыз, анткени алмаштыргычты каттоо мурунку аутентификаторду бирөө токтотконго чейин ыйгарым укуктуу калтырат. Эгер эски түзмөк башка бирөөнүн колунда болушу мүмкүн болсо, жоюуну шашылыш деп караңыз жана калыбына келтирүү эмес, окуя процессин аткарыңыз. Учурдагы сессияларды ошол эле өтүүдө жокко чыгарыңыз, анткени өзгөртүүдөн мурун түзүлгөн сессия андан узак жашашы мүмкүн:

Revoke-MgUserSignInSession -UserId [email protected]

Факторду калгандардын баарынан жоюу же шлюздун сертификат текшерүүлөрүн алсыратуу бир адамдын калыбына келишин бүтүндөй жайылтууга тийген бузулууга алмаштырат. Өзгөртүүнү жалгыз аккаунт менен чектеп кармаңыз жана далилдер кененирээк бузууга багыттаса, жогоруга билдириңиз. Билетте кайсы фактор токтотулганын жана аны кайсы алмаштырганын жазыңыз.

4-кадам: аккаунт эки багытта тең иштешин далилдеңиз

Колдоого алынган клиент аркылуу жаңы фактор менен бир жолу кириңиз, анан аккаунт жоготууга чейин жеткен ресурстарга дагы жетерин ырастаңыз. Туннель керектөөчү бир ресурсту жана керектелбеген бир ресурсту сынаңыз, ийгиликсиздик туура катмарды көрсөтсүн. Токтотулган фактор менен кирүүгө аракет кылыңыз жана сурам эмес, баш тартууну күтүңүз, бул жоюу күчүнө киргенин далилдейт. Учурдагы катталган түзмөктөн ийгиликсиз болгон чакырык — сурам маселеси, баарын кайра каттоого себеп эмес.

Анан колдонуучудан ошол эле кирүүнү жетекчиликсиз бүтүрүүнү сураңыз. Сиздин ийгиликтүү сынагыңыз конфигурацияны далилдейт; анын аракети өткөрүп берүүнү далилдейт.

Билетти ийгиликтүү кирүүнүн убакыт белгиси жана азыр колдонулган фактордун аты менен жабыңыз. Калыбына келтирүү жазуусун ошол эле өтүүдө жаңыртыңыз, кийинки жоготуу эскирген эмес, так инвентардан башталсын.

5-кадам: муну оор кылган шартты жок кылыңыз

Ар бир калыбына келтирүү чалуусу каттоо дизайны жөнүндө далил. Эгер аккаунтта так бир фактор болсо, ошол топтогу баарына экинчисин талап кылыңыз. Эгер калыбына келтирүү коддору жоголгон ноутбукта болсо, алардын ордун өзгөртүңүз. Эгер текшерүүгө эс алуудагы менеджер керек болсо, орун басар дайындаңыз. Ар бир оңдоо жарым күн алат жана кийинки окуянын эң жаман саатын алып салат.

Анан биринчи кадамдын жазуусун чындыкка каршы кайра окуңуз. Ал чындап бар факторлорду тизмелейби, текшерүү каналы дагы эле адамга жетеби? Эч ким жаңыртпаган колдонмо өзү жазылган чалуу учурунда адамдар этибарга албаган документке айланат.