Izgubljeni VPN overitelj: zamenjava brez izklopa MFA

Nekdo izgubi telefon in zahtevek prispe kot pokvarjen VPN. Ta okvir je napačen dvakrat: račun še vedno obstaja in prehod še vedno zaupa ponudniku identitete, zato je edini pokvarjeni del en dejavnik, ki ga oseba nima več. Obravnavajte to kot obnovitev in ne kot izpad: preverite prosilca, registrirajte nadomestilo, umaknite izgubljeno metodo in nato dokažite, da račun deluje. Vse to predpostavlja, da je bil načrt napisan pred izgubo, ker si ga izmišljati med klicem je pot, po kateri se MFA na koncu izklopi vsem.

Korak 1: preberite registrirane dejavnike iz zapisa, ne iz spomina

Prvo vprašanje ni, katera naprava se je izgubila, ampak kaj drugega lahko račun še uporablja. Račun ima lahko geslo s push, časovno kodo, strojni ključ in natisnjene kode za obnovitev, in izguba enega od teh je povsem drug dogodek kot izguba edinega. Preberite seznam metod iz sistema identitete, namesto da bi uporabnika prosili, naj si ga zapomni, in v najemniku Microsoft Entra je poizvedba ena vrstica:

Get-MgUserAuthenticationMethod -UserId [email protected]

Nato napišite zapis obnovitve, dokler račun še deluje: identifikator računa, registrirani dejavniki, kje živijo kode za obnovitev, kdo lahko neodvisno preveri prosilca in do katerih sistemov račun doseže. Hranite ga v zaščitenem inventarju, ki ga ekipa že uporablja, nikoli v opombi, ki vsebuje tudi žive kode. Teh pet polj spremeni panični klic v kontrolni seznam in smernice NIST o življenjskem ciklu overitelja obravnavajo obnovitev kot del poverilnice, ne kot izjemo od nje.

Zabeležite preveritveni kanal kot ločeno polje, ker prav ta del ljudje preskočijo. Telefonska številka, povezana z računom, ni neodvisen kanal, ko oseba, ki prosi, sama nadzoruje telefon.

Korak 2: preverite prosilca zunaj poti, ki odpoveduje

Preverjanje identitete izvedite po kanalu, ki ni odvisen od VPN, poštnega predala ali izgubljene naprave. Povratni klic na številko iz kadrovskega zapisa ali osebno preverjanje pri vodji, ki je že v imeniku, delujeta oba; sporočilo v klepetu, poslano iz računa v obnovitvi, ne deluje. Preverjanje se nanaša na osebo, ne na njeno sposobnost odgovarjati na vprašanja o računu, ker podrobnosti računa uhajajo. Zabeležite, kdo je zahtevek preveril in kdaj, saj bo naslednji pregledovalec želel oboje.

Ko zahtevek prispe z nujnostjo in pritiskom, naj se preverjanje preskoči, je to trenutek za upočasnitev. Goljufija pri obnovitvi je videti natanko kot pomočljiv sodelavec v naglici.

Korak 3: registrirajte nadomestilo in nato umaknite stari dejavnik

Novi overitelj registrirajte po običajnem poteku registracije, nikoli z administrativno obhodnjo potjo. Nato izrecno odstranite izgubljeno metodo, ker registracija nadomestila pusti prejšnji overitelj pooblaščen, dokler ga nekdo ne umakne. Če je stara naprava lahko v tujih rokah, obravnavajte odstranitev kot nujno in sledite procesu incidenta, ne obnovitve. Prekličite obstoječe seje v istem prehodu, ker lahko seja, ustvarjena pred spremembo, to preživi:

Revoke-MgUserSignInSession -UserId [email protected]

Odstranitev dejavnika za vse ostale ali omilitev preverjanj potrdila prehoda zamenja obnovitev ene osebe za izpad, ki prizadene celotno uvedbo. Držite spremembo znotraj enega računa in eskalujte, če dokazi kažejo na širšo kompromitacijo. V zahtevku zabeležite, kateri dejavnik je bil umaknjen in kateri ga je nadomestil.

Korak 4: dokažite, da račun deluje v obeh smereh

Prijavite se enkrat z novim dejavnikom prek podprtega odjemalca in nato potrdite, da račun še vedno doseže vire, ki jih je dosegel pred izgubo. Preizkusite en vir, ki potrebuje tunel, in enega, ki ga ne potrebuje, da napaka pokaže na pravo plast. Poskusite prijavo z umaknjenim dejavnikom in pričakujte zavrnitev, ne poziva, kar dokazuje, da je odstranitev učinkovala. Izziv, ki spodleti z obstoječe registrirane naprave je težava poziva, ne razlog za ponovno registracijo vsega.

Nato prosite uporabnika, da dokonča isto prijavo brez vodenja. Vaš uspešni preizkus dokazuje konfiguracijo; njegov poskus dokazuje predajo.

Zaprite zahtevek s časovnim žigom uspešne prijave in imenom dejavnika, ki se zdaj uporablja. Posodobite zapis obnovitve v istem prehodu, da se naslednja izguba začne z natančnim inventarjem in ne zastarelim.

Korak 5: odstranite pogoj, ki je to naredil boleče

Vsak klic za obnovitev je dokaz o zasnovi registracije. Če je imel račun natanko en dejavnik, zahtevajte drugega za vse v tej skupini. Če so kode za obnovitev ležale na izgubljenem prenosniku, spremenite, kje živijo. Če je preverjanje potrebovalo vodjo na dopustu, imenujte namestnika. Vsak popravek vzame eno popoldne in odstrani najhujšo uro naslednjega incidenta.

Nato znova preberite zapis iz prvega koraka proti resničnosti. Ali našteva dejavnike, ki resnično obstajajo, in ali preveritveni kanal še vedno doseže človeka? Priročnik, ki ga nihče ne posodablja, se degradira v dokument, ki ga ljudje med klicem, za katerega je bil napisan, ignorirajo.