Zaraženi laptop na VPN-u: zadržite sesiju, a ne rutu
Split tunel mijenja adresu koju odredište vidi, a ne infekciju. Tri uslova određuju redoslijed obuzdavanja, dokaza i ponovnog prijema.
Izvještaji o zloupotrebi krajnje tačke obično dolaze s predloženom prečicom: stavite laptop u split tunel kako bi se adresa koju odredište vidi promijenila. To mijenja zapažanje, a ne infekciju. Uređaj zadržava svaki interni pristup koji njegova sesija već ima, a zlonamjerni softver nastavlja raditi na hardveru koji niko nije pregledao. Tri uslova treba da odrede redoslijed rada: do čega pristupni podaci uređaja još dopiru, da li se taj pristup trenutno koristi i koje bi dokaze brzo brisanje uništilo.
Prvi uslov: do čega pristupni podaci još dopiru
Opozvani ili deaktivirani račun je samo pola odgovora, jer klijent može držati certifikat, keširani token, sačuvani unaprijed podijeljeni ključ ili mašinski pristupni podatak koji preživi promjenu lozinke. Prije odabira radnje mapirajte svaki autentifikator koji profil koristi. Zatim provjerite da li proizvod prekida sesije pri opozivu ili samo odbija nove.
Gdje gateway to podržava, eksplicitno završite sesiju i potvrdite iz računovodstvene ili sesijske tabele da je otišla. Promjena koja utiče samo na sljedeću prijavu ostavlja trenutni tok aktivnim.
Drugi uslov: da li se pristup trenutno koristi
Povežite prozor upozorenja sa stvarnom sesijom, dodijeljenom adresom tunela i identitetom uređaja. Zajednički korporativni izlaz predstavlja sve iza njega, pa promatrana javna adresa ne može identificirati koja je krajnja tačka proizvela tok. Ta korelacija je korak koji ljudi preskaču kada upozorenje izgleda očigledno.
Koristite zapise koje implementirana usluga zaista prikuplja, poput događaja početka i zaustavljanja računovodstva koji vežu sesiju za identitet i adresu. Ako su ti zapisi nepotpuni, recite to u izvještaju umjesto da prazninu popunjavate pogledom firewall-a. Izvještaj koji razdvaja dokaze od zaključka bolje prolazi recenziju od onog koji to ne čini.
Treći uslov: šta mora preživjeti odgovor
Obuzdavanje koje uništava jedinu kopiju dokaza drugi je incident. Sačuvajte relevantne dnevnike, zapise sesija i artefakte krajnje tačke kroz proces koji posjeduje zadržavanje i pristup. Ne lijepite izvoz u tiket koji cijeli tim za podršku može čitati.
Zatim s vlasnikom incidenta odlučite koliko ćete krajnje tačke ponovo izgraditi. Karantena ograničava štetu dok se obim utvrđuje, a također ograničava šta oni koji reaguju još mogu promatrati, pa se ta dva cilja moraju namjerno odvagnuti.
Kako obuzdavanje zaista izgleda
Efikasno obuzdavanje je slojevito: mrežna karantena na sloju pristupa, opoziv svakog autentifikatora koji profil koristi, eksplicitno prekidanje sesije i ograničavanje internih dozvola koje je račun imao. Bilo koje od toga samo ostavlja put otvorenim.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Redoslijed je važniji od potpunosti u prvom satu. Opoziv prije brisanja daje vam priliku da gledate reakciju klijenta, a prekidanje sesije prije opoziva pokazuje poštuje li gateway to uopće. Zabilježite koja kontrola je proizvela koji efekat.
Rutiranje je odluka usluge, a ne alat za obuzdavanje
Split tunel smanjuje ono što nosi kancelarijski izlaz, a puni tunel propušta više saobraćaja kroz odabranu putanju inspekcije. Nijedan režim ne certificira krajnju tačku i nijedan ne opoziva pristupni podatak.
Dizajn punog tunela vrijedi imati kada je putanja inspekcije opremljena da otkriva i djeluje, što je drugačiji projekat od incidenta pred vama. Mijenjanje režima usred incidenta uglavnom stvara zbrku oko toga koji dnevnici pripadaju kojem ponašanju. Odlučite o režimu kasnije, s vlasnikom usluge i timom za monitoring u prostoriji.
Uslovi za ponovni prijem
Zapišite uslove ponovnog prijema prije nego se uređaj vrati: stanje sanacije koje se mora provjeriti, status svakog izloženog pristupnog podatka, kontrole krajnje tačke koje moraju izvještavati i minimalne dozvole koje račun treba, a ne one koje je slučajno imao. Razvrstajte ih na obavezne i poželjne. Prvobitni skup dozvola nije uslov.
Čist sken je jedan ulaz, a uspješna prijava dokazuje samo da je proces autentifikacije prošao. Vraćajte pristup u fazama, gledajući sesiju i korištenje resursa po odobrenom planu. Navedite vlasnika svakog ograničenja koje ostane. Ako je zloupotreba stigla do partnera kroz kancelarijski izlaz, obavijestite tog partnera kanalom koji ugovor zahtijeva umjesto da čekate da to primijete.