Заражёны ноўтбук у VPN: стрымаць сесію, а не маршрут
Раздзелены тунель змяняе адрас, які бачыць прызначэнне, а не інфекцыю. Тры ўмовы вызначаюць парадак стрымання, доказаў і паўторнага допуску.
Справаздачы аб злоўжыванні канчатковымі прыладамі звычайна прыходзяць з прапанаваным скарчэннем: паставіць ноўтбук у раздзелены тунель, каб адрас, які бачыць прызначэнне, змяніўся. Гэта змяняе назіранне, а не заражэнне. Прылада захоўвае любы ўнутраны доступ, які ўжо мае яе сесія, а шкоднае ПЗ працягвае працаваць на абсталяванні, якое ніхто не аглядаў. Тры ўмовы павінны вызначыць парадак працы: чаго яшчэ дасягаюць уліковыя даныя прылады, ці выкарыстоўваецца гэты доступ цяпер, і якія доказы знішчыць хуткае сціранне.
Першая ўмова: чаго яшчэ дасягаюць уліковыя даныя
Адкліканы або адключаны ўліковы запіс — гэта толькі палова адказу, бо кліент можа трымаць сертыфікат, кэшаваны токен, захаваны папярэдне агучаны ключ або машынныя ўліковыя даныя, якія перажываюць змену пароля. Перад выбарам дзеяння адлюструйце кожны сродак аўтэнтыфікацыі, які выкарыстоўвае профіль. Затым праверце, ці прадукт спыняе сесіі пры адкліканні ці толькі адмаўляе новыя.
Там, дзе шлюз гэта падтрымлівае, спыніце сесію яўна і пацвердзіце па табліцы ўліку або сесій, што яна знікла. Змена, якая закранае толькі наступны ўваход, пакідае бягучы паток працуючым.
Другая ўмова: ці выкарыстоўваецца доступ цяпер
Суаднясіце акно апавяшчэння з фактычнай сесіяй, прызначаным адрасам тунеля і ідэнтычнасцю прылады. Агульны карпаратыўны выхад прадстаўляе ўсіх за ім, таму назіраны публічны адрас не можа вызначыць, якая канчатковая прылада стварыла паток. Гэта суаднясенне — крок, які людзі прапускаюць, калі апавяшчэнне выглядае відавочным.
Выкарыстоўвайце запісы, якія разгорнутая служба сапраўды збірае, напрыклад падзеі пачатку і спынення ўліку, якія звязваюць сесію з ідэнтычнасцю і адрасам. Калі гэтыя запісы няпоўныя, скажыце пра гэта ў справаздачы, а не затыкайце прабел выглядам міжсеткавага экрана. Справаздача, якая аддзяляе доказы ад высновы, лепш праходзіць разгляд, чым тая, што не.
Трэцяя ўмова: што павінна перажыць рэагаванне
Стрыманне, якое знішчае адзіную копію доказаў, — гэта другі інцыдэнт. Захавайце адпаведныя журналы, запісы сесій і артэфакты канчатковай прылады праз працэс, які валодае захаваннем і доступам. Не ўстаўляйце экспарт у заяўку, якую можа чытаць уся каманда падтрымкі.
Затым разам з уладальнікам інцыдэнту вырашыце, якую частку канчатковай прылады перабудаваць. Карантын абмяжоўвае шкоду, пакуль усталёўваецца аб'ём, і ён таксама абмяжоўвае тое, што яшчэ могуць назіраць рэагавальнікі, таму гэтыя дзве мэты трэба ўзважваць свядома.
Як стрыманне выглядае насамрэч
Эфектыўнае стрыманне шматузроўневае: сеткавы карантын на ўзроўні доступу, адкліканне кожнага сродку аўтэнтыфікацыі, які выкарыстоўвае профіль, яўнае спыненне сесіі і абмежаванне ўнутраных правоў, якія меў уліковы запіс. Любое з гэтага паасобку пакідае шлях адкрытым.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
У першую гадзіну парадак важнейшы за поўнасць. Адкліканне перад сціраннем дае шанец паназіраць за рэакцыяй кліента, а спыненне сесіі перад адкліканнем паказвае, ці шлюз увогуле гэта паважае. Запішыце, які кантроль даў які эфект.
Маршрутызацыя — гэта рашэнне службы, а не інструмент стрымання
Раздзелены тунель паменшвае тое, што нясе офісны выхад, а поўны тунель накіроўвае больш трафіку праз выбраны шлях агляду. Ні адзін рэжым не сертыфікуе канчатковую прыладу, і ні адзін не адклікае ўліковыя даныя.
Праект поўнага тунеля варта мець, калі шлях агляду здольны выяўляць і дзейнічаць, а гэта іншы праект, чым інцыдэнт перад вамі. Пераключэнне рэжымаў пасярод інцыдэнту часцей за ўсё спараджае блытаніну наконт таго, якія журналы адпавядаюць якім паводзінам. Вырашыце рэжым пазней, разам з уладальнікам службы і камандай маніторынгу ў пакоі.
Умовы паўторнага допуску
Запішыце ўмовы паўторнага допуску да таго, як прылада вернецца: стан выпраўлення, які трэба праверыць, статус кожных раскрытых уліковых даных, кантролі канчатковай прылады, якія павінны справаздачыць, і мінімальныя правы, якія патрэбны ўліковаму запісу, а не тыя, якія ён выпадкова меў. Падзяліце іх на абавязковыя і жаданыя. Зыходны набор правоў не з'яўляецца патрабаваннем.
Чыстае сканаванне — гэта адзін уваход, а паспяховы ўваход даказвае толькі тое, што працэс аўтэнтыфікацыі выканаўся. Аднаўляйце доступ паэтапна, назіраючы за сесіяй і выкарыстаннем рэсурсаў паводле зацверджанага плана. Назавіце ўладальніка любога абмежавання, якое застанецца. Калі злоўжыванне дасягнула партнёра праз офісны выхад, паведаміце гэтаму партнёру праз канал, якога патрабуе дагавор, замест таго каб чакаць, пакуль яны заўважаць.