Infikovaný notebook na VPN: zvládněte relaci, ne trasu
Rozdělený tunel mění adresu, kterou vidí cíl, ne infekci. Tři podmínky určují pořadí zvládnutí, důkazů a opětovného přijetí.
Hlášení o zneužití koncového zařízení obvykle přicházejí s navrženou zkratkou: přepněte notebook do rozděleného tunelu, aby se změnila adresa, kterou vidí cíl. To mění pozorování, ne infekci. Zařízení si ponechá veškerý interní přístup, který jeho relace už má, a malware dál běží na hardwaru, který nikdo neprohlédl. Pořadí práce by měly určit tři podmínky: kam přístupové údaje zařízení ještě dosáhnou, zda se tento přístup právě teď používá a jaké důkazy by rychlé smazání zničilo.
První podmínka: kam přístupové údaje ještě dosáhnou
Odvolaný nebo deaktivovaný účet je jen polovina odpovědi, protože klient může držet certifikát, uložený token, uložený předem sdílený klíč nebo strojový přístupový údaj, který přežije změnu hesla. Před volbou kroku zmapujte každý autentizátor, který profil používá. Pak ověřte, zda produkt při odvolání relace ukončuje, nebo jen odmítá nové.
Kde to brána podporuje, ukončete relaci výslovně a potvrďte z účtovací nebo relacové tabulky, že zmizela. Změna, která ovlivní jen příští přihlášení, nechá současný tok běžet.
Druhá podmínka: používá se přístup právě teď
Spojte okno upozornění se skutečnou relací, přidělenou adresou tunelu a identitou zařízení. Sdílený firemní výstup zastupuje všechny za ním, takže pozorovaná veřejná adresa nemůže určit, které koncové zařízení vytvořilo tok. Toto spojení je krok, který lidé vynechávají, když se upozornění zdá zřejmé.
Použijte záznamy, které nasazená služba skutečně sbírá, například události začátku a konce účtování, které spojují relaci s identitou a adresou. Pokud jsou tyto záznamy neúplné, řekněte to ve zprávě, místo abyste mezeru vyplnili pohledem firewallu. Zpráva, která odděluje důkazy od odvození, obstojí v kontrole lépe než ta, která to nedělá.
Třetí podmínka: co musí přežít reakci
Zvládnutí, které zničí jedinou kopii důkazů, je druhý incident. Uchovejte příslušné protokoly, záznamy relací a artefakty koncového zařízení prostřednictvím procesu, který vlastní uchovávání a přístup. Nevkládejte export do tiketu, který může číst celý podpůrný tým.
Potom s vlastníkem incidentu rozhodněte, jak velkou část koncového zařízení znovu postavit. Karanténa omezuje škody, dokud se stanoví rozsah, a také omezuje, co mohou zasahující ještě pozorovat, takže tyto dva cíle je třeba vědomě vyvažovat.
Jak zvládnutí skutečně vypadá
Účinné zvládnutí je vrstvené: síťová karanténa na vrstvě přístupu, odvolání každého autentizátoru, který profil používá, výslovné ukončení relace a omezení interních oprávnění, která účet měl. Kterákoli z těchto vrstev sama o sobě nechává cestu otevřenou.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
V první hodině je pořadí důležitější než úplnost. Odvolání před smazáním vám dá šanci sledovat reakci klienta a ukončení relace před odvoláním ukáže, zda to brána vůbec respektuje. Zapište, které opatření mělo jaký účinek.
Směrování je rozhodnutí služby, ne nástroj zvládnutí
Rozdělený tunel snižuje, co kancelářský výstup nese, a plný tunel posílá více provozu přes zvolenou cestu inspekce. Ani jeden režim koncové zařízení necertifikuje a ani jeden neodvolává přístupový údaj.
Návrh plného tunelu má smysl, když je cesta inspekce vybavena k detekci a zásahu, což je jiný projekt než incident před vámi. Přepínání režimů uprostřed incidentu většinou vytváří zmatek v tom, které protokoly patří kterému chování. Režim rozhodněte až potom, s vlastníkem služby a monitorovacím týmem v místnosti.
Podmínky opětovného přijetí
Podmínky opětovného přijetí napište dřív, než se zařízení vrátí: stav nápravy, který je třeba ověřit, stav každého odhaleného přístupového údaje, ovládací prvky koncového zařízení, které musí hlásit, a minimální oprávnění, která účet potřebuje, nikoli ta, která náhodou měl. Rozdělte je na povinná a volitelná. Původní sada oprávnění není požadavek.
Čistý sken je jeden vstup a úspěšné přihlášení dokazuje jen to, že autentizační postup proběhl. Obnovujte přístup po etapách a sledujte relaci a využití prostředků podle schváleného plánu. Pojmenujte vlastníka každého omezení, které zůstane. Pokud se zneužití dostalo k partnerovi přes kancelářský výstup, informujte toho partnera kanálem, který vyžaduje smlouva, místo abyste čekali, až si toho všimnou.