Поновно инсталирање није опозвало украдене VPN акредитиве

Брисање компромитованог лаптопа изгледа као крај инцидента. Обично је његова средина. Лозинка, токен сесије или извезени VPN профил копирани са те машине потпуно неоштећени преживљавају поновно инсталирање, јер ништа у форматирању диска не стиже до сервера који их прихвата. Опоравак уређаја и опоравак налога су два посла са различитим сатовима.

Два инцидента, два сата

Рад на уређају је локалан и брз: поновна изградња, закрпе, опоравак података. Рад на налогу је удаљен и спорији, јер зависи од тога шта добављач открива и од тога да ли још контролишете канал за опоравак. Обављање брзог посла прво изгледа продуктивно и оставља стварну изложеност тачно тамо где је била.

Третирајте лаптоп као неповерљив док се рад на налогу не заврши. Његово коришћење за опоравак налога значи коришћење машине на којој већ може бити снимач тастатуре.

Три услова која одређују редослед

Разјасните их пре него што било шта додирнете, јер они одлучују да ли ће опоравак трајати петнаест минута или ескалацију ка подршци.

Прво, шта је било на уређају: лозинка коју сте унели, клијентски сертификат са његовим приватним кључем, сачувани токен сесије или сва три. Друго, шта вам добављач дозвољава да сами опозовете, јер неке услуге приказују листе уређаја и сесија, док друге нуде само поље за лозинку и ништа више. Треће, да ли је канал за опоравак још ваш, односно поштанско сандуче и број телефона повезани са налогом. Ако је треће компромитовано, све остало чека.

Запишите одговоре. Инцидент у ком не можете да кажете шта је копирано јесте инцидент који не можете да затворите.

Замените оно што може поново да се пусти

Све што може поново да се пусти мора да се замени, а не само да се промени на новој машини. Лозинке, сертификати уређаја и извезени профили сви испуњавају услов. Упутство NIST о животном циклусу аутентификатора описује хитно поништавање компромитованог аутентификатора и захтев за независним обавештењем када се повеже други аутентификатор, што је прави облик посла чак и тамо где потрошачки VPN открива мање контрола.

Затим окончајте сесије. Промена лозинке не поништава поуздано постојеће токене, а VPN профил већ инсталиран на другој машини наставља да ради док се његови акредитиви не опозову. Проверите шта услуга документује, а не чему се надате.

Поново изградите без враћања компромитације

Поновно инсталирање је лакши део и управо ту људи поништавају сопствени рад. Враћање пуне резервне копије може да врати исти сачувани профил, исту сесију прегледача и исто складиште акредитива. Прегледајте шта опоравак заиста увози, затим поново региструјте уређај кроз подржани ток са новоиздатим материјалом.

Држите уређаје одвојено уклоњивим где услуга то дозвољава. Један профил по уређају је детаљ који будући инцидент претвара у једно опозивање уместо панике у целој флоти.

Одлучите када је инцидент завршен

Завршен је када су три ствари тачне. Легитиман приступ ради са поново изграђеног уређаја. Изложени идентитети су повучени кроз контроле које заиста видите. А преостале методе опоравка, поштанско сандуче, број телефона, резервни кодови, припадају вама. Чиста инсталација која се повеже испуњава само прво.

Ако не можете да прегледате или уклоните неочекивани аутентификатор или контакт за опоравак, ескалирајте кроз проверени процес подршке. Локално поновно инсталирање никада неће поправити методу опоравка коју контролише неко други.