Nyinstallasjonen din tilbakekalte ikke de stjålne VPN-opplysningene

Å slette en kompromittert bærbar datamaskin føles som slutten på hendelsen. Vanligvis er det midten. Et passord, et sesjonstoken eller en eksportert VPN-profil kopiert fra den maskinen overlever nyinstallasjonen helt intakt, fordi ingenting ved formateringen av en disk når serveren som godtar den. Gjenoppretting av enheten og gjenoppretting av kontoen er to jobber med ulike klokker.

To hendelser, to klokker

Enhetsarbeidet er lokalt og raskt: bygge på nytt, lappe, gjenopprette data. Kontoarbeidet er eksternt og langsommere, fordi det avhenger av hva tilbyderen legger frem og av om du fortsatt kontrollerer gjenopprettingskanalen. Å gjøre den raske jobben først føles produktivt og lar den faktiske eksponeringen være nøyaktig der den var.

Behandle den bærbare datamaskinen som ikke betrodd til kontoarbeidet er ferdig. Å bruke den til kontogjenoppretting betyr å bruke en maskin som kanskje allerede har en tastaturlogger.

Tre vilkår som fastsetter rekkefølgen

Finn ut dette før du rører noe, fordi de avgjør om gjenopprettingen tar femten minutter eller en eskalering til støtte.

For det første, hva som var på enheten: et passord du skrev, et klientcertifikat med sin private nøkkel, et lagret sesjonstoken eller alle tre. For det andre, hva tilbyderen lar deg tilbakekalle selv, siden noen tjenester legger frem lister over enheter og sesjoner mens andre bare tilbyr et passordfelt og ingenting annet. For det tredje, om gjenopprettingskanalen fortsatt er din, altså postkassen og telefonnummeret som er knyttet til kontoen. Hvis det tredje er kompromittert, venter alt annet.

Skriv ned svarene. En hendelse der du ikke kan si hva som ble kopiert, er en hendelse du ikke kan lukke.

Erstatt det som kan spilles av på nytt

Alt som kan spilles av på nytt, må erstattes, ikke bare endres på den nye maskinen. Passord, enhetssertifikater og eksporterte profiler kvalifiserer alle. NISTs retningslinjer for livssyklusen til autentiseringsfaktorer beskriver å gjøre en kompromittert autentiseringsfaktor ugyldig med en gang og kreve uavhengig varsel når en annen faktor bindes, som er riktig form på jobben selv der en forbruker-VPN legger frem færre kontroller.

Avslutt deretter sesjoner. En passordendring gjør ikke eksisterende tokens pålitelig ugyldige, og en VPN-profil som allerede er installert på en annen maskin fortsetter å virke til opplysningene dens blir tilbakekalt. Sjekk hva tjenesten dokumenterer, ikke hva du håper den gjør.

Bygg på nytt uten å gjenopprette kompromisset

Nyinstallasjon er den enkle delen, og det er der folk gjør sin egen jobb om igjen. Å gjenopprette en full sikkerhetskopi kan bringe tilbake den samme lagrede profilen, den samme nettleserøkten og den samme opplysningslagringen. Gå gjennom hva gjenopprettingen faktisk importerer, og registrer deretter enheten på nytt gjennom den støttede flyten med nylig utstedt materiale.

Hold enheter separat avtakbare der tjenesten tillater det. Én profil per enhet er detaljen som gjør en fremtidig hendelse til én tilbakekalling i stedet for kaos over hele flåten.

Bestem når hendelsen er over

Den er over når tre ting er sanne. Legitim tilgang virker fra den ombygde enheten. De eksponerte identitetene er tatt ut av bruk gjennom kontroller du faktisk kan se. Og de gjenværende gjenopprettingsmetodene, postkassen, telefonnummeret, sikkerhetskopikodene, er dine. En ren installasjon som kobler til, oppfyller bare det første.

Hvis du ikke kan granske eller fjerne en uventet autentiseringsfaktor eller gjenopprettingskontakt, eskaler gjennom den verifiserte støtteprosessen. Lokal nyinstallasjon vil aldri rette en gjenopprettingsmetode som noen andre kontrollerer.