Awentikatur VPN mitluf: ibdel mingħajr ma tiddiżattiva l-MFA

Xi ħadd jitlef it-telefon u l-biljett jasal bħala VPN miksur. Dan il-qafas huwa ħażin darbtejn: il-kont għadu jeżisti, u l-gateway għadu jafda lill-fornitur tal-identità, allura l-unika parti miksura hija fattur wieħed li l-persuna m’għandhiex aktar. Ittrattah bħala rkupru u mhux bħala waqfien: ivverifika lil min jitlob, irreġistra sostitut, rtira l-metodu mitluf, imbagħad ipprova li l-kont jaħdem. Dan kollu jassumi li l-pjan inkiteb qabel it-telf, għax li toħroġ bih waqt is-sejħa huwa l-mod kif l-MFA jispiċċa mitfi għal kulħadd.

Pass 1: aqra l-fatturi rreġistrati minn rekord, mhux mill-memorja

L-ewwel mistoqsija mhix liema apparat intilef, imma x’ieħor għadu jista’ juża l-kont. Kont jista’ jġorr password flimkien ma’ push, kodiċi ibbażat fuq il-ħin, ċavetta tal-hardware u kodiċijiet ta’ rkupru stampati, u li titlef wieħed minnhom hija ġrajja kompletament differenti milli titlef l-uniku wieħed. Aqra l-lista tal-metodi mis-sistema tal-identità minflok ma titlob lill-utent jiftakarha, u f’kerrej Microsoft Entra l-mistoqsija hija linja waħda:

Get-MgUserAuthenticationMethod -UserId [email protected]

Imbagħad ikteb ir-rekord tal-irkupru waqt li l-kont għadu jaħdem: identifikatur tal-kont, fatturi rreġistrati, fejn jgħixu l-kodiċijiet tal-irkupru, min jista’ jivverifika lil min jitlob b’mod indipendenti, u liema sistemi jilħaq il-kont. Żommu fl-inventarju protett li t-tim diġà juża, qatt f’nota li fiha wkoll kodiċijiet ħajjin. Dawk il-ħames oqsma jbiddlu sejħa tal-paniku f’lista ta’ kontroll, u l-gwida NIST dwar iċ-ċiklu tal-ħajja tal-awentikatur tittratta l-irkupru bħala parti mill-kredenzjali u mhux eċċezzjoni għaliha.

Irreġistra l-kanal tal-verifika bħala qasam tiegħu, għax dan huwa l-parti li n-nies jaqbżu. Numru tat-telefon imwaħħal mal-kont mhuwiex kanal indipendenti meta l-persuna li titlob tikkontrolla wkoll it-telefon.

Pass 2: ivverifika lil min jitlob barra mill-passaġġ li qed ifalli

Agħmel il-verifika tal-identità permezz ta’ kanal li ma jiddependix mill-VPN, mill-kaxxa tal-posta jew mill-apparat mitluf. Sejħa lura għal numru mir-rekord tar-riżorsi umani, jew verifika wiċċ imb wiċċ ma’ maniġer li diġà jinsab fid-direttorju, it-tnejn jaħdmu; messaġġ taċ-chat mibgħut mill-kont li qed jiġi rkuprat ma jaħdimx. Il-verifika hija dwar il-persuna, mhux dwar il-kapaċità tagħha li twieġeb mistoqsijiet dwar il-kont, għax id-dettalji tal-kont jinxteħtu. Irreġistra min ivverifika t-talba u meta, għax il-verifikatur li jmiss se jrid it-tnejn.

Meta t-talba tasal b’urġenza u pressjoni biex jinqabeż il-verifika, dak huwa l-mument biex tnaqqas il-veloċità. Il-frodi tal-irkupru tidher eżatt bħal kollega ta’ għajnuna li jkun għaġġel.

Pass 3: irreġistra s-sostitut, imbagħad rtira l-fattur l-antik

Irreġistra l-awentikatur il-ġdid permezz tal-fluss normali tar-reġistrazzjoni, qatt permezz ta’ bypass amministrattiv. Imbagħad neħħi l-metodu mitluf b’mod espliċitu, għax l-irreġistrar ta’ sostitut iħalli l-awentikatur preċedenti awtorizzat sakemm xi ħadd jirtirah. Jekk l-apparat antik jista’ jkun f’idejn xi ħadd ieħor, ittratta t-tneħħija bħala urġenti u segwi l-proċess tal-inċident minflok dak tal-irkupru. Irrevoka s-sessjonijiet eżistenti fl-istess pass, għax sessjoni maħluqa qabel il-bidla tista’ tgħix iktar minnha:

Revoke-MgUserSignInSession -UserId [email protected]

It-tneħħija tal-fattur għal kulħadd, jew it-trattament ħafif tal-verifiki taċ-ċertifikat tal-gateway, jibdlu l-irkupru ta’ persuna waħda ma’ waqfien li jolqot l-iskjerament kollu. Żomm il-bidla limitata għall-kont wieħed u eskala jekk l-evidenza tindika kompromess usa’. Innota fil-biljett liema fattur ġie rtirat u liema ħa postu.

Pass 4: ipprova li l-kont jaħdem fiż-żewġ direzzjonijiet

Illoggja darba bil-fattur il-ġdid permezz ta’ klijent appoġġjat, imbagħad ikkonferma li l-kont għadu jilħaq ir-riżorsi li kien jilħaq qabel it-telf. Ipprova riżors wieħed li jeħtieġ it-tunnel u wieħed li ma jeħtiġx, sabiex falliment jindika s-saff it-tajjeb. Ipprova login bil-fattur irtirat u stenna rifjut u mhux prompt, li jipprova li t-tneħħija daħlet fis-seħħ. Sfida li tfalli minn apparat rreġistrat eżistenti hija problema ta’ prompt, mhux raġuni biex terġa’ tirreġistra kollox.

Imbagħad itlob lill-utent ilesti l-istess login mingħajr gwida. It-test tiegħek li rnexxa jipprova l-konfigurazzjoni; it-tentattiv tiegħu jipprova l-konsenja.

Agħlaq il-biljett bit-timbru tal-ħin tal-login li rnexxa u bl-isem tal-fattur li issa qed jintuża. Aġġorna r-rekord tal-irkupru fl-istess pass, sabiex it-telf li jmiss jibda minn inventarju preċiż u mhux skadut.

Pass 5: neħħi l-kundizzjoni li għamlet dan uġigħ

Kull sejħa tal-irkupru hija evidenza dwar id-disinn tar-reġistrazzjoni. Jekk il-kont kellu eżattament fattur wieħed, itlob it-tieni għal kulħadd f’dak il-grupp. Jekk il-kodiċijiet tal-irkupru kienu fuq il-laptop mitluf, ibdel fejn jgħixu. Jekk il-verifika kienet teħtieġ maniġer fil-vaganzi, aħtar sostitut. Kull tiswija tieħu nofs ta’ jum u tneħħi l-agħar siegħa tal-inċident li jmiss.

Imbagħad erġa’ aqra r-rekord tal-pass wieħed kontra r-realtà. Huwa jelenka l-fatturi li tassew jeżistu, u l-kanal tal-verifika għadu jilħaq bniedem? Manwal li ħadd ma jaġġorna jiddegrada f’dokument li n-nies jinjoraw waqt is-sejħa li għaliha nkiteb.