Inficeret bærbar på VPN: hold sessionen, ikke ruten

Rapporter om misbrug af slutpunkter kommer normalt med en foreslået genvej vedhæftet: sæt den bærbare på split tunnel, så adressen, der ses ved destinationen, ændres. Det ændrer en observation, ikke en infektion. Enheden beholder enhver intern adgang, som dens session allerede har, og malware kører videre på hardware, som ingen har undersøgt. Tre betingelser bør fastlægge arbejdets rækkefølge: hvad enhedens legitimationsoplysninger stadig når, om den adgang bruges lige nu, og hvilke beviser en hurtig sletning ville ødelægge.

Første betingelse: hvad legitimationsoplysningerne stadig når

En tilbagekaldt eller deaktiveret konto er kun halvdelen af svaret, fordi en klient kan ligge inde med et certifikat, et cachelagret token, en gemt forudelt nøgle eller en maskinlegitimationsoplysning, der overlever en adgangskodeændring. Kortlæg hver autentifikator, profilen bruger, før du vælger en handling. Kontrollér derefter, om produktet afslutter sessioner ved tilbagekaldelse eller kun afviser nye.

Hvor gatewayen understøtter det, afslut sessionen eksplicit, og bekræft ud fra regnskabs- eller sessionstabellen, at den forsvandt. En ændring, der kun påvirker næste login, lader den aktuelle strøm køre.

Anden betingelse: bruges adgangen lige nu

Korrelér alarmvinduet med den faktiske session, den tildelte tunneladresse og enhedens identitet. En fælles virksomhedsudgang repræsenterer alle bag den, så en observeret offentlig adresse kan ikke identificere, hvilket slutpunkt der skabte en strøm. Den korrelation er det trin, folk springer over, når alarmen ser oplagt ud.

Brug de poster, som den udrullede tjeneste faktisk indsamler, såsom regnskabsstart- og stophændelser, der binder en session til en identitet og en adresse. Hvis disse poster er ufuldstændige, så sig det i rapporten i stedet for at udfylde hullet med firewall-visningen. En rapport, der adskiller beviser fra slutninger, overlever gennemgang bedre end en, der ikke gør.

Tredje betingelse: hvad skal overleve responsen

Inddæmning, der ødelægger den eneste kopi af beviset, er en ny hændelse. Bevar de relevante logfiler, sessionsposterne og slutpunktsartefakterne gennem den proces, der ejer opbevaring og adgang. Indsæt ikke en eksport i en billet, som hele supportteamet kan læse.

Beslut derefter sammen med hændelsesejeren, hvor meget af slutpunktet der skal genopbygges. Karantæne begrænser skaden, mens omfanget fastlægges, og den begrænser også, hvad de, der reagerer, stadig kan observere, så de to mål skal afvejes bevidst.

Sådan ser inddæmning i virkeligheden ud

Effektiv inddæmning er lagdelt: netværkskarantæne på adgangslaget, tilbagekaldelse af hver autentifikator, profilen bruger, eksplicit afslutning af sessionen og begrænsning af de interne tilladelser, kontoen havde. Enhver af disse alene efterlader en vej åben.

Rækkefølge betyder mere end fuldstændighed i den første time. Tilbagekaldelse før en sletning giver dig en chance for at se klienten reagere, og afslutning af sessionen før tilbagekaldelse viser, om gatewayen overhovedet respekterer det. Notér, hvilken kontrol der gav hvilken effekt.

Routing er en tjenestebeslutning, ikke et inddæmningsværktøj

Split tunnel reducerer, hvad kontorudgangen bærer, og fuld tunnel sender mere trafik gennem en valgt inspektionsvej. Ingen af tilstandene certificerer slutpunktet, og ingen af dem tilbagekalder en legitimationsoplysning.

Et fuldtunneldesign er værd at have, når inspektionsvejen er udstyret til at opdage og handle, hvilket er et andet projekt end hændelsen foran dig. At skifte tilstand midt i en hændelse skaber mest forvirring om, hvilke logfiler der hører til hvilken adfærd. Beslut tilstanden bagefter, med tjenestens ejer og overvågningsteamet i lokalet.

Betingelser for genoptagelse

Skriv genoptagelsesbetingelserne ned, før enheden kommer tilbage: den afhjælpningstilstand, der skal verificeres, status for hver eksponeret legitimationsoplysning, de slutpunktskontroller, der skal rapportere, og de minimumstilladelser, kontoen har brug for, i stedet for dem, den tilfældigvis havde. Sortér dem i skal og rart at have. Det oprindelige tilladelsessæt er ikke et krav.

En ren scanning er ét input, og et vellykket login beviser kun, at autentificeringsflowet kørte. Gendan adgang i etaper, mens du overvåger sessionen og ressourceforbruget under den godkendte plan. Navngiv ejeren af enhver restriktion, der bliver tilbage. Hvis misbruget nåede en partner gennem kontorudgangen, så fortæl den partner det gennem den kanal, kontrakten kræver, i stedet for at vente på, at de bemærker det.