Kithibitishaji cha VPN kilichopotea: badilisha bila kuzima MFA

Mtu anapoteza simu na tikiti inafika kama VPN imeharibika. Mtazamo huo ni makosa mara mbili: akaunti bado ipo, na lango bado linaamini mtoa utambulisho, kwa hivyo sehemu pekee iliyoharibika ni kipengele kimoja ambacho mtu hana tena. Ichukulie kama urejeshaji na si kukatika: thibitisha mwombaji, sajili mbadala, ondoa njia iliyopotea, kisha thibitisha kuwa akaunti inafanya kazi. Yote haya yanadhani mpango uliandikwa kabla ya upotevu, kwa sababu kuubuni wakati wa simu ndiyo njia ambayo MFA huishia kuzimwa kwa kila mtu.

Hatua 1: soma vipengele vilivyosajiliwa kutoka kwenye rekodi, si kutoka kwenye kumbukumbu

Swali la kwanza si kifaa gani kilipotea, bali ni nini kingine akaunti inaweza kutumia bado. Akaunti inaweza kubeba nenosiri pamoja na push, msimbo wa muda, ufunguo wa maunzi na misimbo ya urejeshaji iliyochapishwa, na kupoteza mmoja wao ni tukio tofauti kabisa na kupoteza ule wa pekee. Soma orodha ya mbinu kutoka kwenye mfumo wa utambulisho badala ya kumwomba mtumiaji kuikumbuka, na katika mpangaji wa Microsoft Entra swali ni mstari mmoja:

Get-MgUserAuthenticationMethod -UserId [email protected]

Kisha andika rekodi ya urejeshaji wakati akaunti bado inafanya kazi: kitambulisho cha akaunti, vipengele vilivyosajiliwa, mahali misimbo ya urejeshaji inapoishi, nani anaweza kuthibitisha mwombaji kwa uhuru, na mifumo ambayo akaunti inaifikia. Iweke katika orodha iliyolindwa ambayo timu tayari inatumia, kamwe usiweke kwenye noti ambayo pia ina misimbo hai. Sehemu hizo tano zinabadilisha simu ya hofu kuwa orodha ya ukaguzi, na mwongozo wa NIST wa mzunguko wa maisha wa kithibitishaji unaona urejeshaji kama sehemu ya kitambulisho na si ubaguzi wake.

Rekodi chaneli ya uthibitishaji kama sehemu yake, kwa sababu sehemu hiyo ndiyo ambayo watu wanairuka. Nambari ya simu iliyounganishwa na akaunti si chaneli huru wakati mtu anayeomba pia anadhibiti simu.

Hatua 2: thibitisha mwombaji nje ya njia inayoshindikana

Fanya ukaguzi wa utambulisho kupitia chaneli isiyotegemea VPN, kisanduku cha barua au kifaa kilichopotea. Simu ya kurudisha kwa nambari kutoka rekodi ya rasilimali watu, au ukaguzi wa ana kwa ana na meneja aliye tayari kwenye saraka, zote zinafanya kazi; ujumbe wa gumzo uliotumwa kutoka akaunti inayorejeshwa haufanyi kazi. Ukaguzi unahusu mtu, si uwezo wake wa kujibu maswali kuhusu akaunti, kwa sababu maelezo ya akaunti yanavuja. Rekodi nani alithibitisha ombi na lini, kwa kuwa mkaguzi anayefuata atahitaji vyote viwili.

Ombi linapofika kwa haraka na shinikizo la kuruka ukaguzi, huo ndio wakati wa kupunguza kasi. Udanganyifu wa urejeshaji unaonekana kama mwenzake msaidizi aliye na haraka.

Hatua 3: sajili mbadala, kisha ondoa kipengele cha zamani

Sajili kithibitishaji kipya kupitia mtiririko wa kawaida wa usajili, kamwe usifanye kupitia mzunguko wa kiutawala. Kisha ondoa njia iliyopotea kwa uwazi, kwa sababu kusajili mbadala kunaacha kithibitishaji cha awali kikiwa kimeidhinishwa hadi mtu aiondoe. Ikiwa kifaa cha zamani kinaweza kuwa mikononi mwa mtu mwingine, chukulia kuondoa kama dharura na fuata mchakato wa tukio, si ule wa urejeshaji. Batilisha vikao vilivyopo katika hatua hiyo hiyo, kwa sababu kikao kilichoundwa kabla ya mabadiliko kinaweza kikiishi zaidi yake:

Revoke-MgUserSignInSession -UserId [email protected]

Kuondoa kipengele kwa kila mtu mwingine, au kulegeza ukaguzi wa cheti cha lango, hubadilisha urejeshaji wa mtu mmoja kwa kukatika kunakogusa usambazaji wote. Weka mabadiliko ndani ya akaunti moja na upandishe ikiwa ushahidi unaonyesha uvunjaji mpana zaidi. Andika kwenye tikiti ni kipengele gani kiliondolewa na kipi kilibadilisha.

Hatua 4: thibitisha kuwa akaunti inafanya kazi pande zote mbili

Ingia mara moja kwa kipengele kipya kupitia mteja anayeungwa mkono, kisha thibitisha kuwa akaunti bado inafikia rasilimali ambazo ilifikia kabla ya upotevu. Jaribu rasilimali moja inayohitaji handaki na moja isiyohitaji, ili kushindwa kuonyesha safu sahihi. Jaribu kuingia kwa kipengele kilichoondolewa na utegemee kukataliwa badala ya kidokezo, ambayo inathibitisha kuwa kuondoa kulifanya kazi. Changamoto inayoshindikana kutoka kifaa kilichosajiliwa kilichopo ni tatizo la kidokezo, si sababu ya kusajili upya kila kitu.

Kisha mwombe mtumiaji kukamilisha kuingia kulekule bila mwongozo. Jaribio lako lililofanikiwa linathibitisha usanidi; jaribio lake linathibitisha makabidhiano.

Funga tikiti kwa muhuri wa muda wa kuingia vilivyofanikiwa na jina la kipengele kinachotumika sasa. Sasisha rekodi ya urejeshaji katika hatua hiyo hiyo, ili upotevu unaofuata uanze kutoka orodha sahihi na si iliyopitwa na wakati.

Hatua 5: ondoa sharti lililofanya hili kuwa chungu

Kila simu ya urejeshaji ni ushahidi kuhusu muundo wa usajili. Ikiwa akaunti ilikuwa na kipengele kimoja hasa, hitaji cha pili kwa kila mtu katika kundi hilo. Ikiwa misimbo ya urejeshaji ilikuwa kwenye kompyuta ya mkononi iliyopotea, badilisha mahali inapoishi. Ikiwa uthibitishaji ulihitaji meneja aliyekuwa likizoni, teua naibu. Kila marekebisho huchukua mchana mmoja na huondoa saa mbaya zaidi ya tukio linalofuata.

Kisha soma tena rekodi ya hatua ya kwanza dhidi ya ukweli. Je, inaorodhesha vipengele vilivyopo kweli, na chaneli ya uthibitishaji bado inamfikia mtu? Mwongozo ambao hakuna anayeboresha huo hubadilika kuwa hati ambayo watu wanaipuuza wakati wa simu iliyouandikiwa.