Переустановка не отозвала украденные учётные данные VPN

Стирание скомпрометированного ноутбука кажется концом инцидента. Обычно это его середина. Пароль, токен сессии или экспортированный профиль VPN, скопированные с той машины, полностью переживают переустановку, потому что ничто в форматировании диска не достигает сервера, который их принимает. Восстановление устройства и восстановление аккаунта — две работы с разными часами.

Два инцидента, двое часов

Работа с устройством локальна и быстра: пересобрать, пропатчить, восстановить данные. Работа с аккаунтом удалённа и медленнее, потому что зависит от того, что раскрывает провайдер, и от того, контролируете ли вы ещё канал восстановления. Сделать быструю работу первой кажется продуктивным и оставляет реальную экспозицию ровно там, где она была.

Считайте ноутбук недоверенным, пока работа с аккаунтом не завершена. Использовать его для восстановления аккаунта — значит использовать машину, на которой уже может быть клавиатурный шпион.

Три условия, определяющие порядок

Выясните это, прежде чем что-либо трогать, потому что именно они решают, займёт ли восстановление пятнадцать минут или потребует эскалации в поддержку.

Во-первых, что было на устройстве: пароль, который вы ввели, клиентский сертификат с его закрытым ключом, сохранённый токен сессии или все три. Во-вторых, что провайдер позволяет вам отозвать самостоятельно, поскольку одни сервисы показывают списки устройств и сессий, а другие предлагают только поле для пароля и больше ничего. В-третьих, принадлежит ли вам ещё канал восстановления, то есть почтовый ящик и номер телефона, привязанные к аккаунту. Если третье скомпрометировано, всё остальное ждёт.

Запишите ответы. Инцидент, в котором вы не можете сказать, что было скопировано, — это инцидент, который вы не можете закрыть.

Замените то, что можно воспроизвести

Всё, что можно воспроизвести, нужно заменить, а не просто изменить на новой машине. Пароли, сертификаты устройств и экспортированные профили — всё подходит. Руководство NIST по жизненному циклу аутентификаторов описывает немедленное аннулирование скомпрометированного аутентификатора и требование независимого уведомления при привязке другого, что и есть правильная форма работы даже там, где потребительский VPN раскрывает меньше механизмов контроля.

Затем завершите сессии. Смена пароля не аннулирует существующие токены надёжно, а профиль VPN, уже установленный на другой машине, продолжает работать, пока его учётные данные не отозваны. Проверяйте, что сервис документирует, а не на что вы надеетесь.

Пересоберите, не восстанавливая компрометацию

Переустановка — простая часть, и именно здесь люди отменяют собственную работу. Восстановление полной резервной копии может вернуть тот же сохранённый профиль, ту же сессию браузера и то же хранилище учётных данных. Изучите, что восстановление на самом деле импортирует, затем зарегистрируйте устройство заново через поддерживаемый процесс со свежевыпущенным материалом.

Держите устройства отдельно съёмными там, где сервис это позволяет. Один профиль на устройство — это деталь, которая превращает будущий инцидент в один отзыв вместо паники во всём парке.

Решите, когда инцидент завершён

Он завершён, когда верны три вещи. Легитимный доступ работает с пересобранного устройства. Раскрытые идентичности выведены из эксплуатации с помощью механизмов, которые вы действительно видите. А оставшиеся методы восстановления — почтовый ящик, номер телефона, резервные коды — принадлежат вам. Чистая установка, которая подключается, удовлетворяет только первому.

Если вы не можете проверить или удалить неожиданный аутентификатор или контакт для восстановления, эскалируйте через проверенный процесс поддержки. Локальная переустановка никогда не исправит метод восстановления, который контролирует кто-то другой.