Twoja reinstalacja nie unieważniła skradzionych danych logowania VPN

Wymazanie zainfekowanego laptopa wydaje się końcem incydentu. Zwykle jest jego środkiem. Hasło, token sesji lub wyeksportowany profil VPN skopiowane z tej maszyny przechodzą reinstalację całkowicie nietknięte, bo nic w formatowaniu dysku nie dociera do serwera, który je akceptuje. Odzyskiwanie urządzenia i odzyskiwanie konta to dwa zadania o różnych zegarach.

Dwa incydenty, dwa zegary

Praca nad urządzeniem jest lokalna i szybka: odbudowa, łatki, przywracanie danych. Praca nad kontem jest zdalna i wolniejsza, bo zależy od tego, co ujawnia dostawca, i od tego, czy nadal kontrolujesz kanał odzyskiwania. Wykonanie najpierw szybkiej pracy wydaje się produktywne i zostawia rzeczywiste narażenie dokładnie tam, gdzie było.

Traktuj laptopa jako niezaufany, dopóki praca nad kontem nie zostanie zakończona. Używanie go do odzyskiwania konta oznacza używanie maszyny, na której może już być keylogger.

Trzy warunki, które ustalają kolejność

Ustal je, zanim czegokolwiek dotkniesz, bo decydują, czy odzyskiwanie zajmie piętnaście minut, czy eskalację do wsparcia.

Po pierwsze, co było na urządzeniu: hasło, które wpisałeś, certyfikat klienta z jego kluczem prywatnym, zapisany token sesji albo wszystkie trzy. Po drugie, co dostawca pozwala ci unieważnić samodzielnie, ponieważ niektóre usługi pokazują listy urządzeń i sesji, a inne oferują tylko pole hasła i nic więcej. Po trzecie, czy kanał odzyskiwania nadal jest twój, czyli skrzynka pocztowa i numer telefonu przypisane do konta. Jeśli trzeci warunek jest naruszony, wszystko inne czeka.

Zapisz odpowiedzi. Incydent, w którym nie możesz powiedzieć, co skopiowano, to incydent, którego nie możesz zamknąć.

Zastąp to, co można odtworzyć

Wszystko, co można odtworzyć, trzeba zastąpić, a nie tylko zmienić na nowej maszynie. Hasła, certyfikaty urządzeń i wyeksportowane profile wszystkie się kwalifikują. Wytyczne NIST dotyczące cyklu życia authentykatorów opisują natychmiastowe unieważnienie przejętego authentykatora i wymóg niezależnego powiadomienia, gdy podłączany jest inny, co jest właściwą formą tego zadania nawet tam, gdzie konsumencki VPN ujawnia mniej mechanizmów kontroli.

Następnie zakończ sesje. Zmiana hasła nie unieważnia niezawodnie istniejących tokenów, a profil VPN już zainstalowany na innej maszynie działa dalej, dopóki jego dane logowania nie zostaną unieważnione. Sprawdzaj, co usługa dokumentuje, a nie czego się spodziewasz.

Odbuduj bez przywracania kompromitacji

Reinstalacja to łatwiejsza część i właśnie tutaj ludzie cofają własną pracę. Przywrócenie pełnej kopii zapasowej może przynieść ten sam zapisany profil, tę samą sesję przeglądarki i ten sam magazyn danych logowania. Przejrzyj, co przywracanie faktycznie importuje, a potem zarejestruj urządzenie od nowa obsługiwanym przepływem z nowo wydanym materiałem.

Utrzymuj urządzenia osobno odłączalne tam, gdzie usługa na to pozwala. Jeden profil na urządzenie to szczegół, który zmienia przyszły incydent w jedno unieważnienie zamiast zamieszania w całej flocie.

Zdecyduj, kiedy incydent się skończył

Kończy się, gdy prawdziwe są trzy rzeczy. Legalny dostęp działa z odbudowanego urządzenia. Ujawnione tożsamości zostały wycofane za pomocą mechanizmów, które naprawdę widzisz. A pozostałe metody odzyskiwania, skrzynka pocztowa, numer telefonu, kody zapasowe, należą do ciebie. Czysta instalacja, która się łączy, spełnia tylko pierwszy warunek.

Jeśli nie możesz sprawdzić lub usunąć nieoczekiwanego authentykatora lub kontaktu odzyskiwania, eskaluj przez zweryfikowany proces wsparcia. Lokalna reinstalacja nigdy nie naprawi metody odzyskiwania kontrolowanej przez kogoś innego.