A sua reinstalação não revogou as credenciais VPN roubadas

Apagar um portátil comprometido parece o fim do incidente. Normalmente é o meio. Uma palavra-passe, um token de sessão ou um perfil VPN exportado copiados dessa máquina sobrevivem à reinstalação completamente intactos, porque nada na formatação de um disco chega ao servidor que os aceita. A recuperação do dispositivo e a recuperação da conta são duas tarefas com relógios diferentes.

Dois incidentes, dois relógios

O trabalho no dispositivo é local e rápido: reconstruir, aplicar correções, restaurar dados. O trabalho na conta é remoto e mais lento, porque depende do que o fornecedor expõe e de ainda controlar o canal de recuperação. Fazer primeiro o trabalho rápido parece produtivo e deixa a exposição real exatamente onde estava.

Trate o portátil como não fiável até o trabalho na conta estar concluído. Usá-lo para recuperar a conta significa usar uma máquina que pode já ter um registador de teclas.

Três condições que fixam a ordem

Determine isto antes de tocar em qualquer coisa, porque decide se a recuperação leva quinze minutos ou uma escalada para o suporte.

Primeiro, o que estava no dispositivo: uma palavra-passe que escreveu, um certificado de cliente com a sua chave privada, um token de sessão guardado ou os três. Segundo, o que o fornecedor lhe permite revogar sozinho, já que alguns serviços expõem listas de dispositivos e sessões enquanto outros oferecem apenas uma caixa de palavra-passe e nada mais. Terceiro, se o canal de recuperação ainda é seu, isto é, a caixa de correio e o número de telefone ligados à conta. Se o terceiro estiver comprometido, tudo o resto espera.

Escreva as respostas. Um incidente em que não consegue dizer o que foi copiado é um incidente que não consegue encerrar.

Substitua o que pode ser reproduzido

Tudo o que pode ser reproduzido tem de ser substituído, não apenas alterado na nova máquina. As palavras-passe, os certificados de dispositivo e os perfis exportados qualificam-se todos. As orientações do NIST sobre o ciclo de vida dos autenticadores descrevem invalidar de imediato um autenticador comprometido e exigir um aviso independente quando outro autenticador é associado, o que é a forma correta da tarefa mesmo onde uma VPN de consumidor expõe menos controlos.

Depois termine as sessões. Uma alteração de palavra-passe não invalida de forma fiável os tokens existentes, e um perfil VPN já instalado noutra máquina continua a funcionar até a sua credencial ser revogada. Verifique o que o serviço documenta, não o que espera que faça.

Reconstrua sem restaurar o compromisso

Reinstalar é a parte fácil, e é aí que as pessoas desfazem o seu próprio trabalho. Restaurar uma cópia de segurança completa pode trazer de volta o mesmo perfil guardado, a mesma sessão do navegador e o mesmo armazenamento de credenciais. Reveja o que a restauração realmente importa e depois inscreva o dispositivo de novo pelo fluxo suportado com material recentemente emitido.

Mantenha os dispositivos removíveis em separado onde o serviço o permitir. Um perfil por dispositivo é o detalhe que transforma um futuro incidente numa única revogação em vez de uma correria por toda a frota.

Decida quando o incidente terminou

Terminou quando três coisas são verdadeiras. O acesso legítimo funciona a partir do dispositivo reconstruído. As identidades expostas foram retiradas através de controlos que consegue ver de facto. E os métodos de recuperação restantes, a caixa de correio, o número de telefone, os códigos de reserva, pertencem-lhe. Uma instalação limpa que liga satisfaz apenas a primeira.

Se não conseguir inspecionar ou remover um autenticador ou um contacto de recuperação inesperados, escale através do processo de suporte verificado. Reinstalar localmente nunca corrigirá um método de recuperação controlado por outra pessoa.