Vaša ponovna namestitev ni preklicala ukradenih poverilnic VPN

Brisanje ogroženega prenosnika se zdi konec incidenta. Običajno je njegova sredina. Geslo, sejni žeton ali izvoženi profil VPN, kopirani s tega računalnika, popolnoma nepoškodovani preživijo ponovno namestitev, ker nič pri formatiranju diska ne doseže strežnika, ki jih sprejme. Obnovitev naprave in obnovitev računa sta dve opravili z različnima urama.

Dva incidenta, dve uri

Delo na napravi je lokalno in hitro: ponovna gradnja, popravki, obnovitev podatkov. Delo na računu je oddaljeno in počasnejše, ker je odvisno od tega, kaj ponudnik razkrije, in od tega, ali še vedno nadzorujete kanal za obnovitev. Opraviti hitro delo najprej se zdi produktivno in pusti dejansko izpostavljenost točno tam, kjer je bila.

Prenosnik obravnavajte kot nezanesljiv, dokler delo na računu ni končano. Uporabljati ga za obnovitev računa pomeni uporabljati stroj, na katerem je morda že snemalnik tipkovnice.

Trije pogoji, ki določajo vrstni red

Ugotovite jih, preden se česar koli dotaknete, ker odločajo, ali bo obnovitev trajala petnajst minut ali eskalacijo na podporo.

Prvič, kaj je bilo na napravi: geslo, ki ste ga vnesli, odjemalski certifikat z njegovim zasebnim ključem, shranjen sejni žeton ali vsi trije. Drugič, kaj vam ponudnik dovoli preklicati sami, saj nekatere storitve razkrijejo sezname naprav in sej, druge pa ponujajo le polje za geslo in nič drugega. Tretjič, ali je kanal za obnovitev še vaš, to je poštni predal in telefonska številka, povezana z računom. Če je tretji ogrožen, vse ostalo čaka.

Zapišite odgovore. Incident, pri katerem ne morete povedati, kaj je bilo kopirano, je incident, ki ga ne morete zapreti.

Zamenjajte, kar je mogoče predvajati

Vse, kar je mogoče predvajati, je treba zamenjati, ne le spremeniti na novem stroju. Gesla, certifikati naprav in izvoženi profili vsi izpolnjujejo pogoj. Smernice NIST o življenjskem ciklu avtentikatorjev opisujejo takojšnjo razveljavitev ogroženega avtentikatorja in zahtevo po neodvisnem obvestilu, ko je vezan drug avtentikator, kar je pravilna oblika dela tudi tam, kjer potrošniški VPN razkrije manj nadzorov.

Nato zaključite seje. Sprememba gesla ne razveljavi zanesljivo obstoječih žetonov, profil VPN, ki je že nameščen na drugem stroju, pa nadaljuje z delovanjem, dokler njegove poverilnice niso preklicane. Preverite, kaj storitev dokumentira, ne pa, kaj upate, da počne.

Ponovno zgradite, ne da bi obnovili ogroženost

Ponovna namestitev je lažji del in prav tu ljudje razveljavijo svoje delo. Obnovitev celotne varnostne kopije lahko vrne isti shranjeni profil, isto sejo brskalnika in isto shrambo poverilnic. Preglejte, kaj obnovitev res uvozi, nato napravo znova registrirajte po podprtem postopku z na novo izdanim gradivom.

Naprave naj bodo ločeno odstranljive, kjer storitev to dovoljuje. En profil na napravo je podrobnost, ki prihodnji incident spremeni v en sam preklic namesto zmede po celotni floti.

Odločite, kdaj je incident končan

Končan je, ko veljajo tri stvari. Zakonit dostop deluje s ponovno zgrajene naprave. Izpostavljene identitete so bile umaknjene s pomočjo nadzorov, ki jih res vidite. In preostale metode obnovitve, poštni predal, telefonska številka, varnostne kode, so vaše. Čista namestitev, ki se poveže, izpolnjuje le prvo.

Če ne morete pregledati ali odstraniti nepričakovanega avtentikatorja ali stika za obnovitev, eskalujte prek preverjenega postopka podpore. Lokalna ponovna namestitev nikoli ne bo popravila metode obnovitve, ki jo nadzoruje nekdo drug.