VPN authenticator หาย: เปลี่ยนโดยไม่ปิด MFA

มีคนทำโทรศัพท์หาย แล้วตั๋วแจ้งเข้ามาว่า VPN เสีย การมองแบบนั้นผิดสองชั้น บัญชียังอยู่ และเกตเวย์ยังเชื่อถือผู้ให้บริการระบุตัวตน ดังนั้นส่วนเดียวที่เสียคือปัจจัยหนึ่งซึ่งบุคคลนั้นไม่มีแล้ว จัดการเป็นงานกู้คืน ไม่ใช่ระบบล่ม ตรวจสอบผู้ขอ ลงทะเบียนตัวแทน เลิกใช้วิธีที่หายไป แล้วพิสูจน์ว่าบัญชีทำงานได้ ทั้งหมดนี้ตั้งอยู่บนสมมติฐานว่าแผนถูกเขียนไว้ก่อนการสูญหาย เพราะการคิดขึ้นมาในระหว่างสายคือหนทางที่ทำให้ MFA ถูกปิดสำหรับทุกคนในที่สุด

ขั้นที่ 1: อ่านปัจจัยที่ลงทะเบียนไว้จากบันทึก ไม่ใช่จากความจำ

คำถามแรกไม่ใช่ว่าอุปกรณ์ใดหาย แต่คือบัญชียังใช้อะไรได้อีก บัญชีอาจมีรหัสผ่านคู่กับ push รหัสตามเวลา คีย์ฮาร์ดแวร์ และรหัสกู้คืนที่พิมพ์ไว้ และการสูญเสียหนึ่งในนั้นเป็นเหตุการณ์ที่ต่างจากการสูญเสียปัจจัยเดียวโดยสิ้นเชิง อ่านรายการวิธีการจากระบบระบุตัวตนแทนการขอให้ผู้ใช้จำมัน และในผู้เช่า Microsoft Entra คำสั่งค้นหาคือบรรทัดเดียว

Get-MgUserAuthenticationMethod -UserId [email protected]

จากนั้นเขียนบันทึกการกู้คืนขณะที่บัญชียังใช้งานได้ ตัวระบุบัญชี ปัจจัยที่ลงทะเบียนไว้ รหัสกู้คืนอยู่ที่ใด ใครสามารถตรวจสอบผู้ขอได้อย่างอิสระ และบัญชีเข้าถึงระบบใด เก็บไว้ในคลังสินค้าที่ทีมใช้อยู่แล้ว ไม่เคยเก็บในบันทึกที่เก็บรหัสที่ใช้งานจริงด้วย ห้าช่องนั้นเปลี่ยนสายที่ตื่นตระหนกให้เป็นรายการตรวจสอบ และแนวปฏิบัติของ NIST เรื่องวงจรชีวิตของ authenticator มองการกู้คืนเป็นส่วนหนึ่งของข้อมูลรับรอง ไม่ใช่ข้อยกเว้น

บันทึกช่องทางตรวจสอบเป็นช่องแยก เพราะนั่นคือส่วนที่คนข้ามไป หมายเลขโทรศัพท์ที่ผูกกับบัญชีไม่ใช่ช่องทางอิสระเมื่อผู้ขอควบคุมโทรศัพท์เองด้วย

ขั้นที่ 2: ตรวจสอบผู้ขอนอกเส้นทางที่ล้มเหลว

ทำการตรวจสอบตัวตนผ่านช่องทางที่ไม่ขึ้นกับ VPN กล่องจดหมาย หรืออุปกรณ์ที่หาย การโทรกลับไปยังหมายเลขจากบันทึกทรัพยากรบุคคล หรือการตรวจสอบต่อหน้ากับผู้จัดการที่มีอยู่ในไดเรกทอรี ทำงานได้ทั้งสองอย่าง ข้อความแชทที่ส่งจากบัญชีที่กำลังกู้คืนใช้ไม่ได้ การตรวจสอบเป็นเรื่องของบุคคล ไม่ใช่ความสามารถในการตอบคำถามเกี่ยวกับบัญชี เพราะรายละเอียดบัญชีรั่วไหล บันทึกว่าใครตรวจสอบคำขอและเมื่อใด เพราะผู้ตรวจคนถัดไปจะต้องการทั้งสองอย่าง

เมื่อคำขอมาพร้อมความเร่งด่วนและแรงกดดันให้ข้ามการตรวจสอบ นั่นคือจังหวะที่ต้องชะลอ การฉ้อโกงการกู้คืนดูเหมือนเพื่อนร่วมงานที่ช่วยเหลือและกำลังรีบพอดี

ขั้นที่ 3: ลงทะเบียนตัวแทน แล้วเลิกใช้ปัจจัยเก่า

ลงทะเบียน authenticator ใหม่ผ่านขั้นตอนการลงทะเบียนปกติ ไม่เคยผ่านการข้ามขั้นของผู้ดูแล จากนั้นลบวิธีที่หายไปอย่างชัดเจน เพราะการลงทะเบียนตัวแทนทำให้ authenticator ก่อนหน้ายังได้รับอนุญาตจนกว่าจะมีคนเลิกใช้ หากอุปกรณ์เกมอยู่ในมือผู้อื่นได้ ให้ถือว่าการลบเป็นเรื่องเร่งด่วนและทำตามกระบวนการเหตุการณ์ ไม่ใช่กระบวนการกู้คืน ยกเลิกเซสชันที่มีอยู่ในรอบเดียวกัน เพราะเซสชันที่สร้างก่อนการเปลี่ยนแปลงอาจมีอายุยืนกว่า

Revoke-MgUserSignInSession -UserId [email protected]

การลบปัจจัยสำหรับคนอื่นทั้งหมด หรือการผ่อนปรนการตรวจสอบใบรับรองของเกตเวย์ แลกการกู้คืนของคนหนึ่งกับการล่มที่กระทบทั้งการติดตั้ง รักษาการเปลี่ยนแปลงให้จำกัดอยู่ในบัญชีเดียว และยกระดับหากหลักฐานชี้ไปที่การถูกบุกรุกที่กว้างขึ้น บันทึกในตั๋วว่าปัจจัยใดถูกเลิกใช้และปัจจัยใดมาแทน

ขั้นที่ 4: พิสูจน์ว่าบัญชีทำงานได้ทั้งสองทาง

เข้าสู่ระบบหนึ่งครั้งด้วยปัจจัยใหม่ผ่านไคลเอนต์ที่รองรับ แล้วยืนยันว่าบัญชียังเข้าถึงทรัพยากรที่เคยเข้าถึงก่อนการสูญหาย ทดสอบทรัพยากรหนึ่งที่ต้องใช้ทันเนลและหนึ่งที่ไม่ต้อง เพื่อให้ความล้มเหลวชี้ไปที่ชั้นที่ถูกต้อง ลองเข้าสู่ระบบด้วยปัจจัยที่เลิกใช้แล้วและคาดว่าจะถูกปฏิเสธ ไม่ใช่ถูกถาม ซึ่งพิสูจน์ว่าการลบมีผล ความท้าทายที่ล้มเหลวจากอุปกรณ์ที่ลงทะเบียนอยู่แล้ว เป็นปัญหาของการถาม ไม่ใช่เหตุผลที่จะลงทะเบียนทุกอย่างใหม่

จากนั้นขอให้ผู้ใช้ทำการเข้าสู่ระบบเดียวกันโดยไม่มีคำแนะนำ การทดสอบที่สำเร็จของคุณพิสูจน์การกำหนดค่า ความพยายามของเขาพิสูจน์การส่งมอบ

ปิดตั๋วพร้อมเวลาเข้าสู่ระบบที่สำเร็จและชื่อปัจจัยที่ใช้อยู่ในขณะนี้ อัปเดตบันทึกการกู้คืนในรอบเดียวกัน เพื่อให้การสูญหายครั้งต่อไปเริ่มจากคลังสินค้าที่แม่นยำ ไม่ใช่ที่เก่า

ขั้นที่ 5: ลบเงื่อนไขที่ทำให้เรื่องนี้เจ็บปวด

ทุกสายการกู้คืนเป็นหลักฐานเกี่ยวกับการออกแบบการลงทะเบียน หากบัญชีมีปัจจัยเดียวพอดี ให้กำหนดปัจจัยที่สองสำหรับทุกคนในกลุ่มนั้น หากรหัสกู้คืนอยู่บนแล็ปท็อปที่หายไป ให้เปลี่ยนที่เก็บ หากการตรวจสอบต้องใช้ผู้จัดการที่ลาพักร้อน ให้แต่งตั้งผู้รักษาการ แต่ละการแก้ไขใช้เวลาบ่ายเดียวและลบชั่วโมงที่แย่ที่สุดของเหตุการณ์ครั้งถัดไป

จากนั้นอ่านบันทึกจากขั้นที่หนึ่งเทียบกับความเป็นจริงอีกครั้ง มันระบุปัจจัยที่มีอยู่จริงหรือไม่ และช่องทางตรวจสอบยังเข้าถึงคนได้หรือไม่ คู่มือที่ไม่มีใครอัปเดตจะเสื่อมลงเป็นเอกสารที่ผู้คนเพิกเฉยในระหว่างสายที่มันถูกเขียนขึ้นมาเพื่อ