Yo‘qolgan VPN autentifikatori: MFA o‘chirmasdan almashtirish

Kimdir telefonini yo‘qotadi va chipta VPN buzilgan deb keladi. Bu ramka ikki marta noto‘g‘ri: hisob hali ham mavjud va shlyuz hali ham identifikatsiya provayderiga ishonadi, shuning uchun buzilgan yagona qism — odamda endi yo‘q bo‘lgan bitta omil. Bunga uzilish emas, tiklash sifatida qarang: so‘rovchining shaxsini tekshiring, o‘rinbosar ro‘yxatdan o‘tkazing, yo‘qolgan usulni bekor qiling, so‘ng hisob ishlashini isbotlang. Bularning barchasi reja yo‘qotishdan oldin yozilgan deb hisoblaydi, chunki uni qo‘ng‘iroq paytida o‘ylab topish MFA hammaga o‘chirilib qolishining yo‘lidir.

1-qadam: ro‘yxatdan o‘tgan omillarni xotiradan emas, yozuvdan o‘qing

Birinchi savol qaysi qurilma yo‘qolgani emas, hisob yana nima ishlata olishi. Hisobda parol va push, vaqtga asoslangan kod, apparat kaliti va chop etilgan tiklash kodlari bo‘lishi mumkin, va ulardan birini yo‘qotish yagonasini yo‘qotishdan butunlay boshqa hodisa. Usullar ro‘yxatini foydalanuvchidan eslab qolishni so‘rash o‘rniga identifikatsiya tizimidan o‘qing, va Microsoft Entra ijarasida so‘rov bir satr:

Get-MgUserAuthenticationMethod -UserId [email protected]

Keyin hisob hali ishlayotganda tiklash yozuvini yozing: hisob identifikatori, ro‘yxatdan o‘tgan omillar, tiklash kodlari qayerda yashaydi, kim so‘rovchini mustaqil tekshira oladi va hisob qaysi tizimlarga yetadi. Uni jamoa allaqachon ishlatadigan himoyalangan inventarda saqlang, hech qachon tirik kodlar ham bo‘lgan yozuvda saqlamang. O‘sha besh maydon vahimali qo‘ng‘iroqni tekshiruv ro‘yxatiga aylantiradi, va NISTning autentifikator hayot davri bo‘yicha yo‘riqnomasi tiklashni ishonchnomaning bir qismi deb biladi, undan istisno emas.

Tekshiruv kanalini alohida maydon sifatida yozing, chunki odamlar aynan shu qismni tashlab ketadi. Hisobga bog‘langan telefon raqami so‘rovchi telefonni ham boshqarsa, mustaqil kanal emas.

2-qadam: so‘rovchini muvaffaqiyatsiz yo‘ldan tashqarida tekshiring

Shaxsni tekshirishni VPN, pochta qutisi yoki yo‘qolgan qurilmaga bog‘liq bo‘lmagan kanal orqali o‘tkazing. Kadrlar yozuvidagi raqamga qayta qo‘ng‘iroq yoki katalogda allaqachon bor menejer bilan yuzma-yuz tekshiruv ikkalasi ham ishlaydi; tiklanishdagi hisobdan yuborilgan chat xabari ishlamaydi. Tekshiruv odam haqida, hisob haqidagi savollarga javob berish qobiliyati haqida emas, chunki hisob tafsilotlari oqib chiqadi. Kim va qachon so‘rovni tekshirganini yozing, chunki keyingi ko‘rib chiquvchi ikkalasini ham xohlaydi.

So‘rov shoshilinchlik va tekshiruvni tashlab ketish bosimi bilan kelganda, aynan o‘sha payt sekinlashish kerak. Tiklash firibgarligi shoshqaloq yordamchi hamkasbga tup-pat to‘g‘ri o‘xshaydi.

3-qadam: o‘rinbosarni ro‘yxatdan o‘tkazing, so‘ng eski omilni bekor qiling

Yangi autentifikatorni oddiy ro‘yxatdan o‘tish oqimi orqali ro‘yxatdan o‘tkazing, hech qachon ma’muriy chetlab o‘tish orqali emas. So‘ng yo‘qolgan usulni aniq olib tashlang, chunki o‘rinbosarni ro‘yxatdan o‘tkazish oldingi autentifikatorni kimdir bekor qilmaguncha vakolatli qoldiradi. Agar eski qurilma boshqa birovning qo‘lida bo‘lishi mumkin bo‘lsa, olib tashlashni shoshilinch deb biling va tiklash emas, hodisa jarayoniga rioya qiling. Xuddi shu bosqichda mavjud sessiyalarni bekor qiling, chunki o‘zgarishdan oldin yaratilgan sessiya undan uzoqroq yashashi mumkin:

Revoke-MgUserSignInSession -UserId [email protected]

Omilni boshqalarning hammasidan olib tashlash yoki shlyuzning sertifikat tekshiruvlarini yumshatish bir kishining tiklanishini butun joylashtirishga tegadigan uzilish bilan almashtiradi. O‘zgarishni bitta hisob bilan cheklab turing va dalillar kengroq buzilishga ishora qilsa, yuqoriga xabar bering. Chiptada qaysi omil bekor qilinganini va qaysi biri uning o‘rnini bosganini yozing.

4-qadam: hisob ikki yo‘nalishda ham ishlashini isbotlang

Qo‘llab-quvvatlanadigan mijoz orqali yangi omil bilan bir marta kiring, so‘ng hisob yo‘qotishdan oldin yetgan resurslarga hali ham yetishini tasdiqlang. Tunnel kerak bo‘lgan bitta resursni va kerak bo‘lmagan birini sinab ko‘ring, shunda nosozlik to‘g‘ri qatlamga ishora qiladi. Bekor qilingan omil bilan kirishga urinib ko‘ring va so‘rov emas, rad javobini kuting, bu olib tashlash kuchga kirganini isbotlaydi. Mavjud ro‘yxatdan o‘tgan qurilmadan muvaffaqiyatsiz bo‘ladigan chaqiriq so‘rov muammosi, hamma narsani qayta ro‘yxatdan o‘tkazishga sabab emas.

So‘ng foydalanuvchidan xuddi shu kirishni yo‘l-yo‘riqsiz bajarishini so‘rang. Sizning muvaffaqiyatli sinovingiz konfiguratsiyani isbotlaydi; uning urinishi topshirishni isbotlaydi.

Chiptani muvaffaqiyatli kirishning vaqt belgisi va hozir ishlatilayotgan omil nomi bilan yoping. Tiklash yozuvini xuddi shu bosqichda yangilang, shunda keyingi yo‘qotish eskirgan emas, aniq inventardan boshlanadi.

5-qadam: buni og‘riqli qilgan shartni olib tashlang

Har bir tiklash qo‘ng‘irog‘i ro‘yxatdan o‘tish dizayni haqida dalil. Agar hisobda aynan bitta omil bo‘lsa, o‘sha guruhdagi hamma uchun ikkinchisini talab qiling. Agar tiklash kodlari yo‘qolgan noutbukda bo‘lsa, ular qayerda yashashini o‘zgartiring. Agar tekshiruv ta’tildagi menejerni talab qilsa, o‘rinbosar tayinlang. Har bir tuzatish bir tushdan keyin vaqt oladi va keyingi hodisaning eng yomon soatini olib tashlaydi.

So‘ng birinchi qadamning yozuvini voqelikka qarshi qayta o‘qing. U haqiqatan mavjud omillarni sanab chiqadimi va tekshiruv kanali hali ham odamga yetadimi? Hech kim yangilamaydigan qo‘llanma o‘zi yozilgan qo‘ng‘iroq paytida odamlar e’tiborsiz qoldiradigan hujjatga aylanadi.