Рабочий ноутбук потерян или украден: какие сессии, сертификаты и доступы отозвать в первые часы
Рабочий ноутбук забыли в такси, оставили в кафе или украли из сумки. Пока устройство ищут, нужно защитить рабочую почту, документы и доступ к системам компании. Поэтому о пропаже сразу сообщают в ИТ-службу или отдел информационной безопасности, не дожидаясь результатов поиска
Дальше в задачу специалистов входит прекратить действующие подключения, отозвать средства повторного входа и оценить защищённость файлов на самом ноутбуке. Эти действия выполняют параллельно, не нужно заканчивать полную инвентаризацию, чтобы заблокировать уже известный доступ, а как именно и что конкретно делать, рассказали в нашей статье.
Сначала выясняем, что потеряли вместе с ноутбуком
Для первичной оценки нужны конкретные обстоятельства, когда сотрудник последний раз видел ноутбук, когда обнаружил пропажу и в каком состоянии оставил устройство. Выключенный компьютер, спящий ноутбук и открытый рабочий стол, все это разные исходные условия для проверки.
Уточните, какие системы использовал сотрудник и какие документы сохранял локально. Отдельно спросите про административные аккаунты, банковские сервисы, электронную подпись и менеджер паролей. Не пропали ли вместе с сумкой телефон, аппаратный ключ входа или коды восстановления?
В системе управления устройствами проверьте последнее подключение ноутбука, состояние защитного агента и шифрования всех накопителей с рабочими данными. Если информации не хватает, ограничьте известные доступы, а детали уточняйте по ходу. Для общения с сотрудником используйте другое доверенное устройство. Перед сбросом паролей и выдачей новых средств входа подтвердите его личность по принятой в компании процедуре.
Корпоративные сессии
Начинать стоит с почты, системы единого входа и сервисов с наиболее чувствительными данными. Если сотрудник использует обычную и отдельную административную учётные записи, проверить нужно обе.
При высоком риске вход в затронутые аккаунты временно блокируют. Затем завершают активные сессии в браузерах, почтовых клиентах, мессенджерах, приложениях синхронизации файлов. Отдельного внимания требуют менеджер паролей и синхронизация браузера, если они использовались для работы.
Стоит учесть, что блокировка аккаунта и завершение сессий это разные операции. Не следует считать, что запрет нового входа автоматически прекращает уже выданный доступ.
Когда платформа позволяет надежно определить потерянное устройство, его сессии можно завершить адресно. Если определить их нельзя или есть подозрение на копирование средств доступа, завершают все сессии затронутого пользователя. Саму учетную запись сотрудника удалять не нужно. Для расследования необходимы её история, права и связь с действиями в системах.
Пароли, токены и MFA
Завершенная сессия не решает проблему, если на ноутбуке остались средства для получения новой. Поэтому следующим шагом надо выяснить, чем устройство могло подтверждать право доступа.
- Пароли. Заменяют те, которые могли быть раскрыты: сохранённые в браузере, файлах, клиентах подключения или доступном хранилище паролей. Приоритетом является почта, административные аккаунты и системы с критичными данными.
- Токены. Отзывают связанные с устройством токены доступа и обновления, а также разрешения приложений, которыми мог воспользоваться посторонний. При этом проверяют, что произойдёт с уже выданными токенами: отзыв исходного средства авторизации не всегда аннулирует производные. Если сервис не поддерживает немедленный отзыв, предусматривают временное ограничение на стороне ресурса или шлюза. В карточке инцидента фиксируют, какие токены ещё могут действовать и до какого момента.
- Пароли приложений. Отдельные пароли почтовых клиентов и программ синхронизации проверяют независимо от основного пароля аккаунта. Порядок их сброса зависит от платформы.
- Способы подтверждения входа. У потерянного ноутбука отзывают статус доверенного устройства и исключения вида «не запрашивать второй фактор». В системах управления доступом доверие к устройству может учитываться отдельно от пароля пользователя. Отключать MFA ради удобства восстановления не стоит. Сотруднику нужно зарегистрировать новый безопасный способ входа, а не временно оставить аккаунт без второго фактора.
Сертификаты доступа
На ноутбуке могут использоваться сертификаты для VPN, корпоративного Wi-Fi, проводной сети и входа в приложения. Начинать нужно не с массового отзыва, а с определения, где находились соответствующие закрытые ключи.
Открытая копия сертификата сама по себе не позволяет выдавать себя за его владельца. Если же закрытый ключ остался на утраченном устройстве и его защищённость нельзя подтвердить, инициируют отзыв сертификата.
После этого проверяют принимающую сторону: VPN-шлюз, сервер аутентификации или приложение. Она должна учитывать актуальный статус сертификата через список отозванных сертификатов CRL либо сервис проверки OCSP. Отметка «отозван» в удостоверяющем центре ещё не подтверждает, что все системы перестали принимать сертификат. Нужно проверить применение изменений на нужных узлах. Действующие соединения завершают отдельно.
Электронная подпись
Если вместе с ноутбуком пропал носитель электронной подписи или её закрытый ключ хранился на диске, к реагированию немедленно подключают владельца сертификата и выдавший его удостоверяющий центр. Прекращение действия сертификата оформляют по процедуре УЦ, параллельно проверяя операции в ЭДО и других сервисах, где использовалась подпись.
При нарушении конфиденциальности ключа усиленной электронной подписи статья 10 закона № 63-ФЗ требует уведомить УЦ и других участников электронного взаимодействия не позднее одного рабочего дня со дня получения информации о нарушении. При наличии оснований считать ключ скомпрометированным использовать его нельзя. Если носитель остался у сотрудника, ключ не копировался на ноутбук и признаков компрометации нет, потерю компьютера не следует автоматически приравнивать к потере подписи. Но открытые сессии ЭДО и других приложений всё равно требуют проверки.
Ноутбук администратора или разработчика
На таком устройстве могут находиться SSH-ключи, токены репозиториев, облачные API-ключи, пароли сервисных аккаунтов, конфигурации подключения к базам данных, системам сборки и развёртывания. Блокировка личной учётной записи сотрудника не заменяет проверку этих средств доступа.
Для утраченных закрытых SSH-ключей соответствующие открытые ключи исключают из разрешённых на всех серверах и в сервисах, где они использовались. Выпуск новой пары сам по себе не запрещает вход со старой.
Для общих сервисных секретов сначала определяют зависимости. Если признаков активной атаки нет, замену согласуют с владельцами систем: выпускают новый секрет, переводят на него легитимные приложения и отключают старый. Если ключ уже используют посторонние, в приоритете немедленная блокировка, даже с временной остановкой интеграции. Отдельно оценивают менеджер паролей, был ли он разблокирован и какие записи мог видеть посторонний. При подозрении на раскрытие меняют сами доступные секреты, а не только мастер-пароль.
Когда нужно уведомлять Роскомнадзор
Сама потеря ноутбука не доказывает утечку персональных данных. Обстоятельства оценивают ИБ, юристы и ответственный за обработку ПДн. При этом для начала оценки не нужно ждать, пока данные появятся в открытом доступе.
Если установлен предусмотренный частью 3.1 статьи 21 закона № 152-ФЗ факт неправомерной или случайной передачи, предоставления, распространения либо доступа к ПДн, повлекший нарушение прав субъектов, оператор уведомляет Роскомнадзор: в течение 24 часов — об инциденте, в течение 72 часов — о результатах внутреннего расследования. Оба срока отсчитываются от выявления соответствующего инцидента, а не последовательно. Порядок и форма обращения размещены на портале Роскомнадзора.
Когда сотруднику можно вернуть доступ
Работу возобновляют с доверенного устройства после проверки личности, замены необходимых средств доступа и подтверждения, что старые способы входа больше не работают. Снятие временной блокировки аккаунта не должно возвращать доступ утраченному ноутбуку.
Если компьютер найдётся, сначала его передают ИТ и ИБ. Необходимость исследования, переустановки и повторного выпуска ключей определяют по обстоятельствам пропажи.
Заключение
При потере рабочего ноутбука нельзя ограничиваться сменой пароля. Нужно завершить действующие сессии, отозвать средства повторного входа и отдельно оценить защиту локальных данных. При этом состав действий зависит от того, что действительно находилось на устройстве.
Чтобы не собирать этот порядок с нуля, заранее определите ответственных, составьте перечень используемых систем и проверьте процедуры экстренного отзыва доступов. Особенно важно знать, какие ограничения срабатывают сразу, а какие требуют дополнительных действий. Сотрудник должен знать, куда немедленно сообщить о пропаже. А если у вас еще остались вопросы, «Астрал. Безопасность» всегда готовы с этим помочь!
Автор статьи: Филиппова Анастасия, специалист по информационной безопасности «Астрал. Безопасность».
