Преинсталацијата не ги откажа украдените VPN-акредитиви

Бришењето на компромитиран лаптоп изгледа како крај на инцидентот. Обично е неговата средина. Лозинка, сесиски токен или извезен VPN-профил копирани од таа машина целосно недопрени ја преживуваат преинсталацијата, бидејќи ништо во форматирањето на дискот не стигнува до серверот што ги прифаќа. Обновата на уредот и обновата на сметката се две работи со различни часовници.

Два инциденти, два часовници

Работата на уредот е локална и брза: повторна изградба, закрпи, обнова на податоци. Работата на сметката е оддалечена и побавна, бидејќи зависи од тоа што го изложува давателот и од тоа дали сѐ уште го контролирате каналот за обнова. Извршувањето на брзата работа прво изгледа продуктивно и ја остава вистинската изложеност токму таму каде што беше.

Третирајте го лаптопот како недоверлив додека не заврши работата на сметката. Неговото користење за обнова на сметката значи користење машина на која веќе може да има регистратор на тастатура.

Три услови што го одредуваат редоследот

Разјаснете ги пред да допрете нешто, бидејќи тие одлучуваат дали обновата ќе трае петнаесет минути или ескалација до поддршката.

Прво, што имаше на уредот: лозинка што ја внесовте, клиентски сертификат со неговиот приватен клуч, зачуван сесиски токен или сите три. Второ, што давателот ви дозволува сами да откажете, бидејќи некои услуги покажуваат списоци на уреди и сесии, додека други нудат само поле за лозинка и ништо друго. Трето, дали каналот за обнова е сѐ уште ваш, односно поштенското сандаче и телефонскиот број поврзани со сметката. Ако третото е компромитирано, сѐ друго чека.

Запишете ги одговорите. Инцидент во кој не можете да кажете што било копирано е инцидент што не можете да го затворите.

Замени го она што може повторно да се пушти

Сето што може повторно да се пушти мора да се замени, а не само да се смени на новата машина. Лозинките, сертификатите на уредите и извезените профили сите го исполнуваат условот. Упатството на NIST за животниот циклус на автентикаторите опишува итна неважност на компромитиран автентикатор и барање независно известување кога се поврзува друг автентикатор, што е вистинската форма на работата дури и таму каде потрошувачкиот VPN изложува помалку контроли.

Потоа прекинете ги сесиите. Промената на лозинката не ги поништува постоечките токени сигурно, а VPN-профилот веќе инсталиран на друга машина продолжува да работи додека не се откажат неговите акредитиви. Проверете што документира услугата, а не што се надевате.

Изградете повторно без да го вратите компромитирањето

Преинсталацијата е лесниот дел, и токму таму луѓето ја поништуваат сопствената работа. Враќањето целосна резервна копија може да ги врати истиот зачуван профил, истата сесија на прелистувачот и истото складиште на акредитиви. Прегледајте што обновата навистина увезува, потоа регистрирајте го уредот одново преку поддржаниот тек со новоиздадени материјали.

Држете ги уредите одделно отстранливи каде услугата дозволува. Еден профил по уред е детаљот што иден инцидент го претвора во едно откажување наместо паника во целата флота.

Одлучете кога инцидентот е завршен

Завршен е кога три нешта се вистинити. Легитимниот пристап работи од преизградениот уред. Изложените идентитети се повлечени преку контроли што навистина ги гледате. А преостанатите методи за обнова, поштенското сандаче, телефонскиот број, резервните кодови, се ваши. Чистата инсталација што се поврзува задоволува само првото.

Ако не можете да проверите или отстраните неочекуван автентикатор или контакт за обнова, ескалирајте преку проверениот процес за поддршка. Локалната преинсталација никогаш нема да поправи метод за обнова што го контролира некој друг.