Uw herinstallatie heeft de gestolen VPN-referenties niet ingetrokken

Een gecompromitteerde laptop wissen voelt als het einde van het incident. Meestal is het het midden. Een wachtwoord, sessietoken of geëxporteerd VPN-profiel dat van die machine is gekopieerd, overleeft de herinstallatie volledig intact, omdat niets aan het formatteren van een schijf de server bereikt die het accepteert. Apparaatherstel en accountherstel zijn twee klussen met verschillende klokken.

Twee incidenten, twee klokken

Het apparaatwerk is lokaal en snel: herbouwen, patchen, gegevens herstellen. Het accountwerk is op afstand en langzamer, omdat het afhangt van wat de provider blootlegt en of u het herstelkanaal nog beheert. Het snelle werk eerst doen voelt productief en laat de werkelijke blootstelling precies waar die was.

Behandel de laptop als niet vertrouwd tot het accountwerk klaar is. Hem gebruiken voor accountherstel betekent een machine gebruiken waar mogelijk al een keylogger op staat.

Drie voorwaarden die de volgorde bepalen

Zoek dit uit voordat u iets aanraakt, want ze bepalen of herstel vijftien minuten of een escalatie naar support kost.

Ten eerste, wat er op het apparaat stond: een wachtwoord dat u typte, een clientcertificaat met de bijbehorende privésleutel, een opgeslagen sessietoken of alle drie. Ten tweede, wat de provider u zelf laat intrekken, omdat sommige diensten apparaat- en sessielijsten blootleggen terwijl andere alleen een wachtwoordvak bieden en niets anders. Ten derde, of het herstelkanaal nog van u is, namelijk de mailbox en het telefoonnummer die aan het account zijn gekoppeld. Als het derde is gecompromitteerd, wacht al het andere.

Schrijf de antwoorden op. Een incident waarbij u niet kunt zeggen wat er is gekopieerd, is een incident dat u niet kunt sluiten.

Vervang wat opnieuw kan worden afgespeeld

Alles wat opnieuw kan worden afgespeeld, moet worden vervangen, niet alleen gewijzigd op de nieuwe machine. Wachtwoorden, apparaatcertificaten en geëxporteerde profielen komen allemaal in aanmerking. De NIST-richtlijn over de levenscyclus van authenticators beschrijft een gecompromitteerde authenticator onmiddellijk ongeldig maken en onafhankelijke melding eisen wanneer een andere authenticator wordt gekoppeld, wat de juiste vorm van de klus is, zelfs waar een consumenten-VPN minder controles blootlegt.

Beëindig daarna sessies. Een wachtwoordwijziging maakt bestaande tokens niet betrouwbaar ongeldig, en een VPN-profiel dat al op een andere machine is geïnstalleerd, blijft werken tot de referentie ervan wordt ingetrokken. Controleer wat de dienst documenteert, niet wat u hoopt dat hij doet.

Herbouw zonder het compromis te herstellen

Herinstalleren is het makkelijke deel, en daar maken mensen hun eigen werk ongedaan. Een volledige back-up herstellen kan hetzelfde opgeslagen profiel, dezelfde browsersessie en dezelfde referentieopslag terugbrengen. Bekijk wat het herstel werkelijk importeert en schrijf het apparaat daarna vers in via de ondersteunde stroom met nieuw uitgegeven materiaal.

Houd apparaten afzonderlijk verwijderbaar waar de dienst dat toestaat. Eén profiel per apparaat is het detail dat een toekomstig incident verandert in één intrekking in plaats van een vlootbrede chaos.

Bepaal wanneer het incident voorbij is

Het is voorbij wanneer drie dingen waar zijn. Legitieme toegang werkt vanaf het herbouwde apparaat. De blootgestelde identiteiten zijn buiten gebruik gesteld via controles die u echt kunt zien. En de resterende herstelmethoden, de mailbox, het telefoonnummer, de back-upcodes, zijn van u. Een schone installatie die verbinding maakt, vervult alleen het eerste.

Als u een onverwachte authenticator of herstelcontact niet kunt inspecteren of verwijderen, escaleer dan via het geverifieerde supportproces. Lokaal herinstalleren lost nooit een herstelmethode op die iemand anders beheert.