Kayıp VPN kimlik doğrulayıcı: MFA'yı kapatmadan değiştirme

Biri telefonunu kaybeder ve bilet VPN bozuk olarak gelir. Bu çerçeve iki kez yanlıştır: hesap hâlâ vardır ve ağ geçidi hâlâ kimlik sağlayıcısına güvenir, bu yüzden bozuk olan tek parça kişinin artık sahip olmadığı bir faktördür. Buna kesinti değil kurtarma olarak yaklaşın: talep edeni doğrulayın, bir yedek kaydedin, kayıp yöntemi emekliye ayırın ve ardından hesabın çalıştığını kanıtlayın. Bütün bunlar planın kayıptan önce yazıldığını varsayar, çünkü planı arama sırasında uydurmak MFA'nın herkes için kapatılmasıyla biten yoldur.

Adım 1: kayıtlı faktörleri bellekten değil, kayıttan okuyun

İlk soru hangi cihazın kaybolduğu değil, hesabın başka neyi kullanabildiğidir. Bir hesapta parola ve push, zamana dayalı kod, donanım anahtarı ve yazdırılmış kurtarma kodları bulunabilir ve bunlardan birini kaybetmek, tek olanı kaybetmekten tamamen farklı bir olaydır. Yöntem listesini kullanıcıdan hatırlamasını istemek yerine kimlik sisteminden okuyun ve Microsoft Entra kiracısında sorgu tek satırdır:

Get-MgUserAuthenticationMethod -UserId [email protected]

Ardından hesap hâlâ çalışırken kurtarma kaydını yazın: hesap tanımlayıcısı, kayıtlı faktörler, kurtarma kodlarının nerede yaşadığı, talep edeni bağımsız olarak kimin doğrulayabileceği ve hesabın hangi sistemlere eriştiği. Onu ekibin zaten kullandığı korumalı envanterde tutun, asla etkin kodlar da içeren bir notta tutmayın. Bu beş alan panik dolu bir aramayı kontrol listesine dönüştürür ve NIST'in kimlik doğrulayıcı yaşam döngüsü rehberi kurtarmayı kimlik bilgisinin bir parçası olarak görür, istisnası olarak değil.

Doğrulama kanalını ayrı bir alan olarak kaydedin, çünkü insanların atladığı kısım tam olarak orasıdır. Hesaba bağlı bir telefon numarası, talepte bulunan kişi telefonu da kontrol ediyorsa bağımsız bir kanal değildir.

Adım 2: talep edeni başarısız yolun dışında doğrulayın

Kimlik kontrolünü VPN'e, posta kutusuna veya kayıp cihaza bağlı olmayan bir kanaldan yapın. İnsan kaynakları kaydındaki bir numaraya geri arama veya zaten dizinde olan bir yöneticiyle yüz yüze kontrol ikisi de işe yarar; kurtarılan hesaptan gönderilen bir sohbet mesajı işe yaramaz. Kontrol kişiyle ilgilidir, hesap hakkındaki soruları yanıtlama yeteneğiyle değil, çünkü hesap ayrıntıları sızar. Talebi kimin ve ne zaman doğruladığını kaydedin, çünkü bir sonraki gözden geçiren ikisini de isteyecektir.

Talep aciliyet ve kontrolü atlama baskısıyla geldiğinde, yavaşlamanın tam zamanı odur. Kurtarma dolandırıcılığı acele eden yardımsever bir iş arkadaşına tıpatıp benzer.

Adım 3: yedeği kaydedin, ardından eski faktörü emekliye ayırın

Yeni kimlik doğrulayıcıyı normal kayıt akışından kaydedin, asla yönetici atlatmasıyla değil. Ardından kayıp yöntemi açıkça kaldırın, çünkü bir yedek kaydetmek önceki kimlik doğrulayıcıyı biri onu emekliye ayırana kadar yetkili bırakır. Eski cihaz başkasının elinde olabilirse, kaldırmayı acil sayın ve kurtarma süreci yerine olay sürecini izleyin. Aynı geçişte mevcut oturumları iptal edin, çünkü değişiklikten önce oluşturulan bir oturum ondan daha uzun yaşayabilir:

Revoke-MgUserSignInSession -UserId [email protected]

Faktörü diğer herkes için kaldırmak veya ağ geçidinin sertifika kontrollerini gevşetmek, bir kişinin kurtarmasını tüm dağıtımı etkileyen bir kesintiyle değiştirir. Değişikliği tek hesapta tutun ve kanıtlar daha geniş bir ihlale işaret ediyorsa yükseltin. Bilette hangi faktörün emekliye ayrıldığını ve hangisinin onun yerini aldığını not edin.

Adım 4: hesabın her iki yönde de çalıştığını kanıtlayın

Desteklenen bir istemciyle yeni faktörü kullanarak bir kez oturum açın ve ardından hesabın kayıptan önce ulaştığı kaynaklara hâlâ ulaştığını doğrulayın. Tünel gerektiren bir kaynağı ve gerektirmeyen birini test edin, böylece arıza doğru katmana işaret eder. Emekliye ayrılan faktörle oturum açmayı deneyin ve istem yerine reddetme bekleyin; bu, kaldırmanın etkili olduğunu kanıtlar. Mevcut kayıtlı bir cihazdan başarısız olan bir meydan okuma istem sorunudur, her şeyi yeniden kaydetmek için bir neden değildir.

Ardından kullanıcıdan aynı oturum açmayı yönlendirme olmadan tamamlamasını isteyin. Başarılı testiniz yapılandırmayı kanıtlar; onun denemesi devri kanıtlar.

Bileti başarılı oturum açmanın zaman damgası ve şu anda kullanılan faktörün adıyla kapatın. Kurtarma kaydını aynı geçişte güncelleyin, böylece bir sonraki kayıp eskimiş değil, doğru bir envanterden başlar.

Adım 5: bunu acı verici yapan koşulu kaldırın

Her kurtarma araması kayıt tasarımı hakkında bir kanıttır. Hesapta tam olarak bir faktör varsa, o gruptaki herkes için ikincisini zorunlu kılın. Kurtarma kodları kayıp dizüstü bilgisayardaysa, nerede yaşadıklarını değiştirin. Doğrulama izinli bir yönetici gerektiriyorsa, bir vekil atayın. Her düzeltme bir öğleden sonra alır ve bir sonraki olayın en kötü saatini ortadan kaldırır.

Ardından birinci adımın kaydını gerçekliğe karşı yeniden okuyun. Gerçekten var olan faktörleri listeliyor mu ve doğrulama kanalı hâlâ bir insana ulaşıyor mu? Kimsenin güncellemediği bir el kitabı, yazıldığı arama sırasında insanların görmezden geldiği bir belgeye dönüşür.