Pracownik rozpoczyna dzień od telefonu do serwisu: konto znów jest zablokowane. Po odblokowaniu dostęp wraca, lecz następnego ranka sytuacja się powtarza. Nowe hasło wpisywane na komputerze jest poprawne, a mimo to system rejestruje kolejne nieudane próby logowania.
W takim przypadku wsparcie IT powinno ustalić, co wysyła błędne dane dostępowe. Przyczyną może być drugi komputer, zapamiętane poświadczenie lub automatyczne zadanie. Trzeba jednak równolegle sprawdzić, czy blokada nie wynika z działania osoby próbującej przejąć konto.
Najpierw rozpoznać rodzaj blokady
Komunikat „nie można się zalogować” nie opisuje jednej usterki. Konto może zostać zablokowane po błędnych hasłach, wyłączone przez administratora albo objęte regułą bezpieczeństwa. Oddzielnym problemem jest wygasłe hasło. Każdy z tych przypadków wymaga innej reakcji, dlatego samo zgłoszenie użytkownika nie wystarcza do wyboru naprawy.
Należy zapisać dokładną treść komunikatu oraz ustalić, gdzie występuje: przy uruchamianiu komputera, w aplikacji czy podczas dostępu do firmowego zasobu. Konto lokalne, konto w firmowej usłudze katalogowej i konto chmurowe mogą mieć różne zasady blokowania. Ich powiązanie nie oznacza automatycznie identycznego stanu we wszystkich systemach.
Zakres obsługi problemów użytkowników z dostępem do systemów powinien obejmować rozpoznanie mechanizmu blokady, a nie tylko wykonanie polecenia odblokowania konta. Inaczej firma codziennie ponosi koszt tej samej przerwy w pracy.
Jak wsparcie IT łączy godzinę zdarzenia ze źródłem logowania
Najbardziej użyteczna informacja to moment wystąpienia błędu. Blokada po włączeniu laptopa sugeruje inny kierunek sprawdzania niż zdarzenie pojawiające się nocą, gdy pracownik nie korzysta z urządzeń. Regularne odstępy mogą wskazywać automatyczne ponawianie połączenia, ale same w sobie nie wykluczają ataku.
Administrator powinien zestawić zdarzenia z systemu uwierzytelniania z dziennikami aplikacji i urządzeń pośredniczących. Widoczny adres źródłowy może należeć do bramy lub serwera, a nie bezpośrednio do komputera pracownika. Bez sprawdzenia tej zależności łatwo przypisać problem niewłaściwemu urządzeniu.
- Ustalić ostatnie poprawne logowanie i pierwszą zarejestrowaną nieudaną próbę.
- Sprawdzić nazwę konta, usługę docelową oraz dostępne oznaczenie źródła.
- Porównać godziny zdarzeń z uruchamianiem urządzeń i harmonogramem zadań.
- Zweryfikować zgodność czasu w analizowanych systemach.
- Sprawdzić, czy podobne próby dotyczą również innych kont.
Wsparcie informatyczne powinno prowadzić jedną historię problemu. Kilka oddzielnych zgłoszeń zamkniętych informacją „dostęp przywrócony” utrudnia zauważenie powtarzalnego wzorca.
Poprawne hasło na laptopie, stare hasło w tle
Po zmianie hasła pracownik może nadal mieć uruchomiony drugi komputer z zapisanymi poświadczeniami. Podobny efekt powodują połączenia do udziałów sieciowych, zadania harmonogramu albo usługi skonfigurowane do działania na jego koncie. Zależnie od sposobu uwierzytelniania także aplikacja na telefonie może ponawiać połączenie z nieaktualnymi danymi.
Wsparcie IT powinno sprawdzać te miejsca według ustalonej kolejności, zamiast usuwać wszystkie zapisane dane dostępowe. Nieprzemyślane czyszczenie konfiguracji może odłączyć potrzebne zasoby i stworzyć dodatkowe problemy. Zatrzymanie usługi wymaga natomiast ustalenia, jaki proces biznesowy od niej zależy.
Szerszy kontekst opisuje materiał o zmianie haseł bez utraty dostępu do firmowych zasobów. W przypadku nawracającej blokady najważniejsze jest odnalezienie konkretnego miejsca przechowującego stare poświadczenie, a nie ponowne zmienianie hasła bez diagnozy.
Kiedy potraktować blokadę jako sygnał incydentu
Nieznane źródła, próby dotyczące wielu pracowników lub udane logowanie po serii błędów wymagają analizy bezpieczeństwa. Żaden z tych objawów sam nie dowodzi włamania, ale nie powinien zostać zamknięty jako zwykła pomyłka użytkownika. Znaczenie mają również nieoczekiwane żądania zatwierdzenia logowania i zmiany metod odzyskiwania.
W takiej sytuacji należy zabezpieczyć dostępne dzienniki i ocenić potrzebę ograniczenia dostępu, zmiany hasła lub unieważnienia sesji. Zakres działań zależy od platformy i ustalonego ryzyka. Nie należy zakładać, że sama zmiana hasła kończy wszystkie aktywne sesje.
Jeżeli po blokadzie pojawia się telefoniczna prośba o usunięcie dodatkowego zabezpieczenia, zastosowanie mają zasady weryfikacji osoby zgłaszającej reset MFA. Presja na szybkie przywrócenie pracy nie potwierdza tożsamości rozmówcy.
Próba kontrolna zamiast kolejnego odblokowania
Serwisowy punkt kontrolny M3 Group to porównanie zachowania konta po wyłączeniu jednego podejrzanego źródła i po jego kontrolowanym ponownym uruchomieniu. Taka próba pozwala sprawdzić zależność, zamiast uznawać przypadkową poprawę za rozwiązanie. Nie należy celowo doprowadzać do blokady konta potrzebnego do bieżącej pracy.
- Zapisać podejrzane urządzenie, aplikację lub zadanie oraz podstawę podejrzenia.
- Uzgodnić z odpowiedzialną osobą czasowe zatrzymanie tego elementu.
- Obserwować, czy nieudane próby ustają w dotychczasowym cyklu.
- Poprawić poświadczenia lub sposób uwierzytelniania i wznowić działanie.
- Potwierdzić zarówno brak kolejnych błędów, jak i poprawność procesu biznesowego.
Wsparcie IT powinno obserwować wynik co najmniej przez okres obejmujący wcześniejszy moment nawrotu. Jeżeli blokada występowała rano, kilkuminutowa próba po południu nie potwierdza usunięcia przyczyny. Podnoszenie progu blokowania lub wyłączanie zabezpieczenia jedynie maskuje problem.
Po naprawie uporządkować konta używane przez automaty
Jeżeli przyczyną okazało się zadanie działające na osobistym koncie pracownika, potrzebna jest zmiana organizacyjna. Automatyzacja powinna korzystać z mechanizmu przeznaczonego do danego zastosowania, z ograniczonymi uprawnieniami i wskazanym opiekunem. Zmiana hasła człowieka nie powinna zatrzymywać firmowego procesu.
Firma informatyczna we Wrocławiu powinna udokumentować taką zależność, a osoba odpowiedzialna za aplikację zatwierdzić sposób jej przebudowy. Opieka informatyczna we Wrocławiu wymaga również ustalenia, kto kontroluje wynik naprawy. Ten podział odpowiedzialności wpisuje się w model stałej opieki nad środowiskiem informatycznym firmy.
Skuteczne wsparcie IT kończy sprawę po ustaleniu źródła błędnych logowań i potwierdzeniu działania zabezpieczeń. Odblokowane konto jest wynikiem doraźnym. Trwała naprawa oznacza, że problem nie wraca w kolejnym cyklu pracy.
