Перевстановлення не відкликало викрадені облікові дані VPN

Стирання скомпрометованого ноутбука здається кінцем інциденту. Зазвичай це його середина. Пароль, токен сеансу або експортований профіль VPN, скопійовані з тієї машини, повністю переживають перевстановлення, бо ніщо у форматуванні диска не досягає сервера, який їх приймає. Відновлення пристрою та відновлення облікового запису — дві роботи з різними годинниками.

Два інциденти, два годинники

Робота з пристроєм локальна й швидка: перезібрати, пропатчити, відновити дані. Робота з обліковим записом віддалена й повільніша, бо залежить від того, що розкриває постачальник, і від того, чи контролюєте ви ще канал відновлення. Зробити швидку роботу першою здається продуктивним і залишає реальну експозицію рівно там, де вона була.

Вважайте ноутбук недовіреним, доки робота з обліковим записом не завершиться. Використовувати його для відновлення облікового запису — це використовувати машину, на якій уже може бути клавіатурний шпигун.

Три умови, що визначають порядок

З'ясуйте це, перш ніж щось торкатися, бо саме вони вирішують, чи відновлення займе п'ятнадцять хвилин, чи потребуватиме ескалації до підтримки.

По-перше, що було на пристрої: пароль, який ви ввели, клієнтський сертифікат із його закритим ключем, збережений токен сеансу або всі три. По-друге, що постачальник дозволяє вам відкликати самостійно, оскільки одні сервіси показують списки пристроїв і сеансів, а інші пропонують лише поле для пароля і більше нічого. По-третє, чи канал відновлення ще ваш, тобто поштова скринька й номер телефону, прив'язані до облікового запису. Якщо третє скомпрометовано, усе інше чекає.

Запишіть відповіді. Інцидент, у якому ви не можете сказати, що було скопійовано, — це інцидент, який ви не можете закрити.

Замініть те, що можна відтворити

Усе, що можна відтворити, потрібно замінити, а не просто змінити на новій машині. Паролі, сертифікати пристроїв і експортовані профілі — усе підходить. Настанови NIST щодо життєвого циклу автентифікаторів описують негайне анулювання скомпрометованого автентифікатора та вимогу незалежного повідомлення, коли прив'язується інший, що і є правильною формою роботи навіть там, де споживчий VPN розкриває менше засобів контролю.

Потім завершіть сеанси. Зміна пароля не анулює наявні токени надійно, а профіль VPN, уже встановлений на іншій машині, продовжує працювати, доки його облікові дані не відкликано. Перевіряйте, що сервіс документує, а не на що ви сподіваєтеся.

Перезберіть, не відновлюючи компрометацію

Перевстановлення — це легка частина, і саме тут люди скасовують власну роботу. Відновлення повної резервної копії може повернути той самий збережений профіль, той самий сеанс браузера й те саме сховище облікових даних. Перегляньте, що відновлення насправді імпортує, а потім зареєструйте пристрій заново через підтримуваний процес із щойно виданим матеріалом.

Тримайте пристрої окремо знімними там, де сервіс це дозволяє. Один профіль на пристрій — це деталь, яка перетворює майбутній інцидент на одне відкликання замість паніки в усьому парку.

Вирішіть, коли інцидент завершено

Він завершений, коли три речі правдиві. Легітимний доступ працює з перезібраного пристрою. Розкриті ідентичності виведено з експлуатації за допомогою засобів контролю, які ви справді бачите. А решта методів відновлення — поштова скринька, номер телефону, резервні коди — належать вам. Чисте встановлення, яке підключається, задовольняє лише перше.

Якщо ви не можете перевірити або видалити неочікуваний автентифікатор чи контакт для відновлення, ескалуйте через перевірений процес підтримки. Локальне перевстановлення ніколи не виправить метод відновлення, який контролює хтось інший.