Din ominstallation återkallade inte de stulna VPN-uppgifterna

Att rensa en komprometterad bärbar dator känns som slutet på incidenten. Oftast är det mitten. Ett lösenord, en sessionstoken eller en exporterad VPN-profil som kopierats från den maskinen överlever ominstallationen helt intakt, eftersom inget i formateringen av en disk når servern som tar emot den. Återställning av enheten och återställning av kontot är två jobb med olika klockor.

Två incidenter, två klockor

Enhetsarbetet är lokalt och snabbt: bygga om, lappa, återställa data. Kontoarbetet är avlägset och långsammare, eftersom det beror på vad leverantören visar och på om du fortfarande kontrollerar återställningskanalen. Att göra det snabba arbetet först känns produktivt och lämnar den faktiska exponeringen exakt där den var.

Behandla den bärbara datorn som ej betrodd tills kontoarbetet är klart. Att använda den för kontoåterställning innebär att använda en maskin som kanske redan har en tangentbordsloggare.

Tre villkor som bestämmer ordningen

Ta reda på dem innan du rör något, eftersom de avgör om återställningen tar femton minuter eller en eskalering till supporten.

För det första, vad som fanns på enheten: ett lösenord du skrev, ett klientcertifikat med sin privata nyckel, en sparad sessionstoken eller alla tre. För det andra, vad leverantören låter dig återkalla själv, eftersom vissa tjänster visar listor över enheter och sessioner medan andra bara erbjuder en lösenordsruta och inget annat. För det tredje, om återställningskanalen fortfarande är din, det vill säga brevlådan och telefonnumret som är kopplade till kontot. Om det tredje är komprometterat väntar allt annat.

Skriv ner svaren. En incident där du inte kan säga vad som kopierades är en incident du inte kan stänga.

Byt ut det som kan spelas upp igen

Allt som kan spelas upp igen måste bytas ut, inte bara ändras på den nya maskinen. Lösenord, enhetscertifikat och exporterade profiler kvalificerar alla. NIST:s riktlinjer för autentiseringsfaktorers livscykel beskriver att en komprometterad autentiseringsfaktor omedelbart ogiltigförklaras och att oberoende avisering krävs när en annan faktor kopplas, vilket är rätt form för jobbet även där en konsument-VPN visar färre kontroller.

Avsluta sedan sessioner. En lösenordsändring ogiltigförklarar inte befintliga tokens på ett tillförlitligt sätt, och en VPN-profil som redan är installerad på en annan maskin fortsätter att fungera tills dess uppgifter återkallas. Kontrollera vad tjänsten dokumenterar, inte vad du hoppas att den gör.

Bygg om utan att återställa kompromissen

Ominstallation är den lätta delen, och det är där folk gör om sitt eget arbete. Att återställa en fullständig säkerhetskopia kan ta tillbaka samma sparade profil, samma webbläsarsession och samma förvar för inloggningsuppgifter. Granska vad återställningen faktiskt importerar och registrera sedan enheten på nytt via det stödda flödet med nyligen utfärdat material.

Håll enheter separat avtagbara där tjänsten tillåter det. En profil per enhet är detaljen som gör en framtida incident till en enda återkallelse i stället för en oreda i hela flottan.

Bestäm när incidenten är över

Den är över när tre saker är sanna. Legitim åtkomst fungerar från den ombyggda enheten. De exponerade identiteterna har tagits ur bruk genom kontroller som du faktiskt kan se. Och de återstående återställningsmetoderna, brevlådan, telefonnumret, reservkoderna, tillhör dig. En ren installation som ansluter uppfyller bara det första.

Om du inte kan granska eller ta bort en oväntad autentiseringsfaktor eller återställningskontakt, eskalera genom den verifierade supportprocessen. En lokal ominstallation kommer aldrig att laga en återställningsmetod som någon annan kontrollerar.