Preinštalovanie neodvolalo ukradnuté prihlasovacie údaje VPN

Vymazanie kompromitovaného notebooku vyzerá ako koniec incidentu. Zvyčajne je to jeho stred. Heslo, token relácie alebo exportovaný profil VPN skopírované z tohto stroja prežijú preinštalovanie úplne neporušené, pretože nič vo formátovaní disku nedosiahne server, ktorý ich prijíma. Obnova zariadenia a obnova účtu sú dve práce s rôznymi hodinami.

Dva incidenty, dvoje hodiny

Práca so zariadením je miestna a rýchla: prestavať, opraviť, obnoviť údaje. Práca s účtom je vzdialená a pomalšia, pretože závisí od toho, čo poskytovateľ zverejňuje, a od toho, či ešte ovládate kanál obnovy. Urobiť najprv rýchlu prácu pôsobí produktívne a ponechá skutočnú expozíciu presne tam, kde bola.

Považujte notebook za nedôveryhodný, kým nebude práca s účtom hotová. Používať ho na obnovu účtu znamená používať stroj, na ktorom už môže byť záznamník klávesov.

Tri podmienky, ktoré určujú poradie

Zistite ich predtým, než sa čohokoľvek dotknete, pretože rozhodujú, či obnova zaberie pätnásť minút, alebo eskaláciu na podporu.

Po prvé, čo bolo v zariadení: heslo, ktoré ste zadali, klientsky certifikát s jeho súkromným kľúčom, uložený token relácie, alebo všetky tri. Po druhé, čo vám poskytovateľ dovolí odvolať sami, keďže niektoré služby zverejňujú zoznamy zariadení a relácií, zatiaľ čo iné ponúkajú len pole pre heslo a nič viac. Po tretie, či je kanál obnovy stále váš, teda poštová schránka a telefónne číslo pripojené k účtu. Ak je tretie kompromitované, všetko ostatné čaká.

Zapíšte odpovede. Incident, pri ktorom nemôžete povedať, čo bolo skopírované, je incident, ktorý nemôžete uzavrieť.

Nahraďte, čo sa dá prehrať

Všetko, čo sa dá prehrať, musí byť nahradené, nielen zmenené na novom stroji. Heslá, certifikáty zariadení a exportované profily všetky spĺňajú podmienku. Pokyny NIST k životnému cyklu autentifikátorov opisujú okamžité zneplatnenie kompromitovaného autentifikátora a požiadavku nezávislého oznámenia, keď sa pripojí iný autentifikátor, čo je správna forma práce aj tam, kde spotrebiteľská VPN zverejňuje menej kontrol.

Potom ukončite relácie. Zmena hesla spoľahlivo nezruší existujúce tokeny a profil VPN už nainštalovaný na inom stroji funguje ďalej, kým sa jeho prihlasovacie údaje neodvolajú. Skontrolujte, čo služba dokumentuje, nie čo dúfate, že robí.

Prestavte bez obnovenia kompromitácie

Preinštalovanie je ľahká časť a práve tam ľudia rušia vlastnú prácu. Obnovenie úplnej zálohy môže vrátiť rovnaký uložený profil, rovnakú reláciu prehliadača a rovnaké úložisko prihlasovacích údajov. Prejdite, čo obnova skutočne importuje, a potom zariadenie znova zaregistrujte podporovaným postupom s novo vydaným materiálom.

Udržujte zariadenia samostatne odnímateľné, kde to služba umožňuje. Jeden profil na zariadenie je detail, ktorý budúci incident zmení na jedno odvolanie namiesto zmätku v celej flotile.

Rozhodnite, kedy je incident u konca

Je u konca, keď platia tri veci. Legitímny prístup funguje z prestavaného zariadenia. Odhalené identity boli vyradené prostredníctvom kontrol, ktoré skutočne vidíte. A zostávajúce metódy obnovy, poštová schránka, telefónne číslo, záložné kódy, patria vám. Čistá inštalácia, ktorá sa pripojí, spĺňa iba prvú.

Ak nemôžete skontrolovať alebo odstrániť neočakávaný autentifikátor alebo kontakt na obnovu, eskalujte cez overený proces podpory. Miestna preinštalácia nikdy neopraví metódu obnovy, ktorú ovláda niekto iný.