VPN-də yoluxmuş noutbuk: marşrutu deyil, sessiyanı məhdudlaşdırın
Bölünmüş tunel təyinatın gördüyü ünvanı dəyişir, infeksiyanı yox. Üç şərt karantin, sübut və yenidən qəbulun sırasını müəyyən edir.
Son nöqtə sui-istifadə hesabatları adətən təklif olunan qısa yolla gəlir: noutbuku bölünmüş tunelə qoyun ki, təyinatın gördüyü ünvan dəyişsin. Bu, müşahidəni dəyişir, infeksiyanı yox. Cihaz sessiyasının artıq malik olduğu daxili girişi saxlayır və zərərli proqram heç kimin yoxlamadığı avadanlıqda işləməyə davam edir. İşin sırasını üç şərt müəyyən etməlidir: cihazın etimad göstəricilərinin hara çatdığı, bu girişin hazırda istifadədə olub-olmadığı və sürətli silmənin hansı sübutları məhv edəcəyi.
Birinci şərt: etimad göstəriciləri hara çatır
Ləğv edilmiş və ya deaktiv edilmiş hesab cavabın yalnız yarısıdır, çünki müştəri şəhadətnamə, keşlənmiş token, saxlanmış əvvəlcədən paylaşılan açar və ya parol dəyişikliyindən sonra da qalan maşın etimad göstəricisi saxlaya bilər. Fəaliyyət seçməzdən əvvəl profilin istifadə etdiyi hər autentifikasiya vasitəsini xəritələyin. Sonra məhsulun ləğv zamanı sessiyaları dayandırdığını, yoxsa yalnız yenilərini rədd etdiyini yoxlayın.
Şlüz bunu dəstəklədiyi yerdə sessiyanı açıq şəkildə bitirin və uçot və ya sessiya cədvəlindən onun getdiyini təsdiqləyin. Yalnız növbəti girişə təsir edən dəyişiklik cari axını işlək saxlayır.
İkinci şərt: giriş hazırda istifadədədir
Xəbərdarlıq pəncərəsini faktiki sessiya, təyin edilmiş tunel ünvanı və cihaz kimliyi ilə əlaqələndirin. Ortaq korporativ çıxış arxasındakı hamını təmsil edir, ona görə müşahidə olunan ümumi ünvan hansı son nöqtənin axın yaratdığını müəyyən edə bilməz. Bu əlaqələndirmə insanların xəbərdarlıq aydın görünəndə atladığı addımdır.
Yerləşdirilmiş xidmətin həqiqətən topladığı qeydlərdən istifadə edin, məsələn sessiyanı kimliyə və ünvana bağlayan uçot başlama və dayanma hadisələri. Əgər bu qeydlər natamamdırsa, boşluğu firewall görünüşü ilə doldurmaq əvəzinə hesabatda bunu deyin. Sübutu çıxarışdan ayıran hesabat, etməyəndən daha yaxşı yoxlamadan keçir.
Üçüncü şərt: cavabdan nə sağ qalmalıdır
Sübutun yeganə nüsxəsini məhv edən karantin ikinci hadisədir. Müvafiq jurnalları, sessiya qeydlərini və son nöqtə artefaktlarını saxlanma və giriş hüququna sahib proses vasitəsilə qoruyun. Bütün dəstək komandasının oxuya biləcəyi bilettə eksport yapışdırmayın.
Sonra hadisə sahibi ilə son nöqtənin nə qədərinin yenidən qurulacağına qərar verin. Karantin əhatə dairəsi müəyyən edilərkən zərəri məhdudlaşdırır və eyni zamanda cavab verənlərin hələ müşahidə edə biləcəklərini məhdudlaşdırır, ona görə bu iki məqsəd qəsdən tarazlaşdırılmalıdır.
Karantin əslində necə görünür
Effektiv karantin qat-qatdır: giriş qatında şəbəkə karantini, profilin istifadə etdiyi hər autentifikasiya vasitəsinin ləğvi, sessiyanın açıq şəkildə dayandırılması və hesabın saxladığı daxili icazələrin məhdudlaşdırılması. Bunlardan hər hansı biri tək başına bir yol açıq qoyur.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
İlk saatda sıra tamlıqdan vacibdir. Silmədən əvvəl ləğv müştərinin reaksiyasını izləmək imkanı verir, ləğvdən əvvəl sessiyanın dayandırılması isə şlüzün buna ümumiyyətlə əməl edib-etmədiyini göstərir. Hansı nəzarətin hansı təsiri doğurduğunu qeyd edin.
Marşrutlaşdırma xidmət qərarıdır, karantin aləti deyil
Bölünmüş tunel ofis çıxışının daşıdığını azaldır, tam tunel isə daha çox trafiki seçilmiş yoxlama yolundan keçirir. Heç bir rejim son nöqtəni təsdiqləmir və heç biri etimad göstəricisini ləğv etmir.
Tam tunel dizaynı yoxlama yolu aşkarlama və tədbir görmək üçün təchiz olunduqda dəyərlidir və bu, qarşınızdakı hadisədən fərqli bir layihədir. Hadisənin ortasında rejimləri dəyişmək əsasən hansı jurnalların hansı davranışa aid olduğu barədə qarışıqlıq yaradır. Rejimi sonra, xidmətin sahibi və monitorinq komandası otaqda olarkən qərar verin.
Yenidən qəbul şərtləri
Cihaz qayıtmazdan əvvəl yenidən qəbul şərtlərini yazın: yoxlanılmalı olan bərpa vəziyyəti, hər açıq etimad göstəricisinin statusu, hesabat verməli olan son nöqtə nəzarətləri və hesabın təsadüfən malik olduğu deyil, ehtiyac duyduğu minimum icazələr. Onları mütləq və arzuolunan kimi ayırın. İlkin icazə dəsti tələb deyil.
Təmiz skan bir girişdir və uğurlu giriş yalnız autentifikasiya iş axınının işlədiyini sübut edir. Girişi mərhələlərlə bərpa edin, sessiyanı və resurs istifadəsini təsdiqlənmiş plan çərçivəsində izləyin. Qalan hər hansı məhdudiyyətin sahibini adlandırın. Əgər sui-istifadə ofis çıxışı ilə bir tərəfdaşa çatıbsa, onların fərq etməsini gözləmək əvəzinə müqavilənin tələb etdiyi kanalla həmin tərəfdaşa deyin.