Portàtil infectat a la VPN: contingueu la sessió, no la ruta
El túnel dividit canvia quina adreça veu la destinació, no la infecció. Tres condicions decideixen l'ordre de contenció, evidència i readmissió.
Els informes d'abús d'equips finals solen arribar amb una drecera proposada: posar el portàtil en túnel dividit perquè l'adreça que veu la destinació canviï. Això canvia una observació, no una infecció. L'equip conserva qualsevol accés intern que la seva sessió ja tingui, i el programari maliciós continua funcionant en maquinari que ningú ha examinat. Tres condicions haurien de fixar l'ordre de treball: a què arriben encara les credencials de l'equip, si aquest accés s'està utilitzant ara mateix i quina evidència destruiria un esborrat ràpid.
Primera condició: a què arriben encara les credencials
Un compte revocat o desactivat només és la meitat de la resposta, perquè un client pot portar un certificat, un testimoni en memòria cau, una clau prèviament compartida desada o una credencial de màquina que sobreviu a un canvi de contrasenya. Mapegeu cada autenticador que utilitza el perfil abans de triar una acció. Després comproveu si el producte acaba les sessions en revocar o només rebutja les noves.
On la passarel·la ho admeti, acabeu la sessió explícitament i confirmeu des de la taula de comptabilitat o de sessions que ha desaparegut. Un canvi que només afecta la propera entrada deixa el flux actual en marxa.
Segona condició: s'està utilitzant l'accés ara mateix
Correlacioneu la finestra d'alerta amb la sessió real, l'adreça de túnel assignada i la identitat del dispositiu. Una sortida corporativa compartida representa tothom qui hi ha darrere, així que una adreça pública observada no pot identificar quin equip final va produir un flux. Aquesta correlació és el pas que la gent s'estalvia quan l'alerta sembla òbvia.
Utilitzeu els registres que el servei desplegat recull de debò, com ara esdeveniments d'inici i aturada de comptabilitat que lliguen una sessió a una identitat i una adreça. Si aquests registres són incomplets, digueu-ho a l'informe en lloc d'omplir el buit amb la visió del tallafoc. Un informe que separa l'evidència de la inferència supera la revisió millor que un que no ho fa.
Tercera condició: què ha de sobreviure a la resposta
Una contenció que destrueix l'única còpia de l'evidència és un segon incident. Preserveu els registres pertinents, els registres de sessió i els artefactes de l'equip final mitjançant el procés que posseeix la retenció i l'accés. No enganxeu una exportació en un tiquet que tot l'equip de suport pugui llegir.
Després decidiu amb el responsable de l'incident quant de l'equip final cal reconstruir. La quarantena limita el dany mentre s'estableix l'abast, i també limita què poden observar encara els qui responen, així que aquests dos objectius s'han de compensar deliberadament.
Com es veu realment la contenció
La contenció eficaç és per capes: quarantena de xarxa a la capa d'accés, revocació de cada autenticador que utilitza el perfil, terminació explícita de la sessió i restricció dels permisos interns que tenia el compte. Qualsevol d'aquestes per si sola deixa un camí obert.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
L'ordre importa més que la completesa a la primera hora. La revocació abans d'un esborrat us dona l'oportunitat de veure com reacciona el client, i la terminació de la sessió abans de la revocació mostra si la passarel·la ho respecta de debò. Anoteu quin control va produir quin efecte.
L'encaminament és una decisió de servei, no una eina de contenció
El túnel dividit redueix què porta la sortida de l'oficina, i el túnel complet fa passar més trànsit per un camí d'inspecció triat. Cap dels dos modes certifica l'equip final, i cap dels dos revoca una credencial.
Un disseny de túnel complet val la pena quan el camí d'inspecció està equipat per detectar i actuar, cosa que és un projecte diferent de l'incident que teniu al davant. Canviar de mode enmig d'un incident sol produir confusió sobre quins registres corresponen a quin comportament. Decidiu el mode després, amb el propietari del servei i l'equip de monitoratge a la sala.
Condicions per a la readmissió
Escriviu les condicions de readmissió abans que l'equip torni: l'estat de remediació que cal verificar, l'estat de cada credencial exposada, els controls de l'equip final que han d'informar i els permisos mínims que el compte necessita en lloc dels que tenia per casualitat. Classifiqueu-los en obligatoris i desitjables. El conjunt original de permisos no és un requisit.
Una exploració neta és una entrada, i una entrada correcta només demostra que el flux d'autenticació s'ha executat. Restaureu l'accés per etapes, vigilant la sessió i l'ús de recursos sota el pla aprovat. Nomenau el responsable de qualsevol restricció que quedi. Si l'abús ha arribat a un soci a través de la sortida de l'oficina, aviseu aquell soci pel canal que exigeix el contracte en lloc d'esperar que se n'adonin.