Reinstalarea nu a revocat acreditările VPN furate

Ștergerea unui laptop compromis pare sfârșitul incidentului. De obicei este mijlocul. O parolă, un token de sesiune sau un profil VPN exportat copiate de pe acea mașină supraviețuiesc reinstalării complet intacte, pentru că nimic din formatarea unui disc nu ajunge la serverul care le acceptă. Recuperarea dispozitivului și recuperarea contului sunt două sarcini cu ceasuri diferite.

Două incidente, două ceasuri

Munca la dispozitiv este locală și rapidă: reconstruire, aplicare de corecții, restaurare de date. Munca la cont este la distanță și mai lentă, pentru că depinde de ce expune furnizorul și de faptul dacă mai controlați canalul de recuperare. A face întâi munca rapidă pare productiv și lasă expunerea reală exact unde era.

Tratați laptopul ca nefiabil până când munca la cont este terminată. Folosirea lui pentru recuperarea contului înseamnă folosirea unei mașini care poate avea deja un înregistrator de taste.

Trei condiții care stabilesc ordinea

Stabiliți-le înainte să atingeți ceva, pentru că ele decid dacă recuperarea durează cincisprezece minute sau o escaladare la suport.

În primul rând, ce era pe dispozitiv: o parolă pe care ați tastat-o, un certificat de client cu cheia sa privată, un token de sesiune salvat sau toate trei. În al doilea rând, ce vă permite furnizorul să revocați singur, deoarece unele servicii expun liste de dispozitive și sesiuni, iar altele oferă doar o casetă de parolă și nimic altceva. În al treilea rând, dacă canalul de recuperare este încă al dumneavoastră, adică cutia poștală și numărul de telefon atașate contului. Dacă al treilea este compromis, tot restul așteaptă.

Notați răspunsurile. Un incident în care nu puteți spune ce s-a copiat este un incident pe care nu îl puteți închide.

Înlocuiți ce poate fi redat

Tot ce poate fi redat trebuie înlocuit, nu doar schimbat pe mașina nouă. Parolele, certificatele de dispozitiv și profilurile exportate se califică toate. Îndrumările NIST privind ciclul de viață al autentificatorilor descriu invalidarea imediată a unui autentificator compromis și cerința unei notificări independente când este legat un alt autentificator, ceea ce este forma corectă a sarcinii chiar și acolo unde un VPN de consum expune mai puține controale.

Apoi terminați sesiunile. Schimbarea parolei nu invalidează în mod fiabil tokenurile existente, iar un profil VPN deja instalat pe altă mașină continuă să funcționeze până când acreditarea lui este revocată. Verificați ce documentează serviciul, nu ce sperați că face.

Reconstruiți fără a restaura compromiterea

Reinstalarea este partea ușoară și aici oamenii își anulează propria muncă. Restaurarea unei copii de siguranță complete poate readuce același profil salvat, aceeași sesiune de browser și același depozit de acreditări. Revedeți ce importă de fapt restaurarea, apoi înscrieți dispozitivul din nou prin fluxul acceptat cu material emis recent.

Păstrați dispozitivele detașabile separat acolo unde serviciul permite. Un profil per dispozitiv este detaliul care transformă un incident viitor într-o singură revocare în loc de o alergătură la nivelul întregii flote.

Decideți când incidentul s-a încheiat

S-a încheiat când trei lucruri sunt adevărate. Accesul legitim funcționează de pe dispozitivul reconstruit. Identitățile expuse au fost retrase prin controale pe care le vedeți cu adevărat. Și metodele de recuperare rămase, cutia poștală, numărul de telefon, codurile de rezervă, sunt ale dumneavoastră. O instalare curată care se conectează îndeplinește doar prima.

Dacă nu puteți inspecta sau elimina un autentificator sau un contact de recuperare neașteptat, escaladați prin procesul de suport verificat. Reinstalarea locală nu va repara niciodată o metodă de recuperare controlată de altcineva.