Verluerene VPN-Authenticator: ersetzen ouni MFA auszeschalten

Een verléiert en Telefon an den Ticket kënnt als VPN futti. Dës Astellung ass zweemol falsch: de Kont existéiert nach, an de Gateway vertraut nach ëmmer dem Identitéitsprovider, also ass deen eenzegen defekten Deel ee Faktor, deen d'Persoun net méi huet. Behandelt et als Restauratioun an net als Ausfall: iwwerpréift den Ufroer, registréiert en Ersatz, zitt déi verlueren Method zeréck an dann beweist, datt de Kont funktionnéiert. All dat setzt viraus, datt de Plang virum Verloscht geschriwwe gouf, well en während dem Uruff erféieren ass de Wee, op deem MFA schlussendlech fir all ausgeschalt gëtt.

Schrëtt 1: liest déi registréiert Faktore aus engem Rekord, net aus dem Gediechtnes

Déi éischt Fro ass net, wéi en Apparat verluer gaangen ass, mä wat de Kont nach ka benotzen. E Kont kann e Passwuert plus Push, en zäitbaséierte Code, en Hardware-Schlëssel an gedréckte Restauratiounscodë droen, an ee vun deene verléieren ass e ganz aneren Event wéi deen eenzegen ze verléieren. Liest d'Lëscht vun de Methoden aus dem Identitéitssystem, amplaz de Benotzer ze froen, se ze erënneren, an an engem Microsoft Entra-Mandant ass d'Ufro eng Zeil:

Get-MgUserAuthenticationMethod -UserId [email protected]

Dann schreift de Restauratiounsrekord, well de Kont nach funktionnéiert: Kontidentifikator, registréiert Faktore, wou d'Restauratiounscodë liewen, wien den Ufroer onofhängeg iwwerpréiwen kann a wéi eng Systemer de Kont erreecht. Halt en am geschützten Inventar, deen den Team schonn benotzt, ni an enger Notiz, déi och aktiv Codë enthält. Déi fënnef Felder maachen aus engem panikéierten Uruff eng Checklist, an d'NIST-Leitlinn zum Liewenszyklus vun Authenticatoren behandelt Restauratioun als Deel vum Zertifikat an net als Ausnahm dovun.

Erfaasst de Prüfkanal als eegent Feld, well genee deen Deel loossen d'Leit aus. Eng Telefonsnummer, déi um Kont hänkt, ass keen onofhängege Kanal, wann déi froend Persoun och den Telefon kontrolléiert.

Schrëtt 2: iwwerpréift den Ufroer baussent dem fehlerhafte Wee

Maacht déi Identitéitsprüfung iwwer ee Kanal, deen net vun der VPN, der Mailbox oder dem verluerenen Apparat ofhängeg ass. En Zeréckruff op eng Nummer aus dem HR-Rekord oder eng perséinlech Prüfung bei engem Manager, deen nach am Verzeechnes ass, funktionéieren allebéid; eng Chatnoriicht, déi vum Kont ënner Restauratioun geschéckt gëtt, funktionnéiert net. D'Prüfung geet ëm d'Persoun, net ëm hir Fäegkeet, Froen iwwer de Kont ze beäntweren, well Kontdetailer auslafen. Loggt, wien d'Ufro gepréift huet a wéini, well den nächsten Iwwerpréifer béides wëll.

Wann d'Ufro mat Eile an Drock kënnt, d'Prüfung ze iwwersprangen, ass dat de Moment fir lueser ze ginn. Restauratiounsbedruch gesäit genee aus wéi e hëllefsbereete Kolleg, deen et eilig huet.

Schrëtt 3: registréiert den Ersatz an zitt dann den ale Faktor zeréck

Registréiert den neien Authenticator iwwer de normale Registrierungsablaf, ni iwwer eng administrativ Ëmgeung. Entfernt dann déi verlueren Method ausdrécklech, well d'Registréiere vun engem Ersatz den viregen Authenticator autoriséiert léisst, bis een en zréckzitt. Wann den alen Apparat an aneren Hänn kéint sinn, behandelt d'Entferne als dringend a befollegt den Tëschefallprozess amplaz dee vun der Restauratioun. Zitt déi existéierend Sessiounen am selwechten Duerchgang zréck, well eng Sessioun, déi virun der Ännerung erstallt gouf, se iwwerliewe kann:

Revoke-MgUserSignInSession -UserId [email protected]

De Faktor fir all déi aner ze entfernen oder d'Zertifikatsprüfunge vum Gateway ze lockeren tauscht d'Restauratioun vun enger Persoun géint en Ausfall, deen déi ganz Ausrollung trëfft. Halt d'Ännerung op deen eenzegen Kont begrenzt a eskaléiert, wann d'Beweiser op eng méi breet Kompromittéierung deiten. Notéiert am Ticket, wéi ee Faktor zréckgezunn gouf a wéien en ersat huet.

Schrëtt 4: beweist, datt de Kont a béide Richtungen funktionnéiert

Mellt Iech eng Kéier mam neie Faktor iwwer en ënnerstëtzten Client un, an bestätegt dann, datt de Kont nach déi Ressourcen erreecht, déi en virum Verloscht erreecht huet. Test eng Ressource, déi den Tunnel brauch, an eng, déi en net brauch, sou datt e Feeler op déi richteg Schicht weist. Probéiert eng Umeldung mam zréckgezunnenen Faktor a erwaart eng Oflehnung amplaz en Ufro, wat beweist, datt d'Entferne gewierkt huet. Eng Erausfuerderung, déi vun engem existéierende registréierte Gerät feelt ass en Ufroprobleem, keen Grond, alles nei ze registréieren.

Frot dann de Benotzer, déiselwecht Umeldung ouni Uleedung ze fäerdeg ze maachen. Ären erfollegräichen Test beweet d'Konfiguratioun; säin Versuch beweet d'Iwwergab.

Schléisst den Ticket mam Zäitstempel vun der erfollegräicher Umeldung an dem Numm vum Faktor, deen elo benotzt gëtt. Aktualiséiert de Restauratiounsrekord am selwechten Duerchgang, sou datt de nächste Verloscht vun engem geneeën Inventar ufänkt an net vun engem alen.

Schrëtt 5: entfernt d'Konditioun, déi dat schmäerzhaft gemaach huet

Jeden Restauratiouns-Uruff ass e Beweis iwwer d'Registrierungsdesign. Wann de Kont genee ee Faktor hat, verlaangt een zweete fir all an där Grupp. Wann d'Restauratiounscodë um verluerenen Laptop waren, ännert wou se liewen. Wann d'Prüfung en Manager am Congé gebraucht huet, nennt en Vertrieder. All Korrektur kascht en Nomëtteg an eliminéiert déi schlëmmst Stonn vum nächsten Tëschefall.

Liest dann de Rekord aus Schrëtt eent géint d'Realitéit nach eng Kéier. Lëscht en d'Faktore op, déi tatsächlech existéieren, an erreecht de Prüfkanal nach ëmmer en Mënsch? En Handbuch, deen keen aktualiséiert, verfält zu engem Dokument, deen d'Leit während dem Uruff ignoréieren, fir deen et geschriwwe gouf.