Infizierter Laptop im VPN: die Sitzung eindämmen, nicht die Route
Split-Tunnel ändert, welche Adresse das Ziel sieht, nicht die Infektion. Drei Bedingungen bestimmen die Reihenfolge von Eindämmung, Beweisen und Wiederzulassung.
Meldungen über Missbrauch von Endgeräten kommen meist mit einer vorgeschlagenen Abkürzung: den Laptop in den Split-Tunnel setzen, damit sich die am Ziel sichtbare Adresse ändert. Das ändert eine Beobachtung, nicht eine Infektion. Das Gerät behält jeden internen Zugriff, den seine Sitzung bereits hat, und die Schadsoftware läuft weiter auf Hardware, die niemand untersucht hat. Drei Bedingungen sollten die Reihenfolge der Arbeit bestimmen: wohin die Zugangsdaten des Geräts noch reichen, ob dieser Zugriff gerade genutzt wird und welche Beweise ein schnelles Löschen zerstören würde.
Erste Bedingung: wohin die Zugangsdaten noch reichen
Ein gesperrtes oder deaktiviertes Konto ist nur die halbe Antwort, denn ein Client kann ein Zertifikat, ein zwischengespeichertes Token, einen gespeicherten vorab geteilten Schlüssel oder eine Maschinen-Anmeldeinformation halten, die eine Passwortänderung übersteht. Bilden Sie jeden Authenticator ab, den das Profil nutzt, bevor Sie eine Maßnahme wählen. Prüfen Sie dann, ob das Produkt Sitzungen beim Widerruf beendet oder nur neue ablehnt.
Wo das Gateway es unterstützt, beenden Sie die Sitzung ausdrücklich und bestätigen Sie anhand der Accounting- oder Sitzungstabelle, dass sie verschwunden ist. Eine Änderung, die nur die nächste Anmeldung betrifft, lässt den laufenden Datenfluss weiterlaufen.
Zweite Bedingung: wird der Zugriff gerade genutzt
Korrelieren Sie das Alarmfenster mit der tatsächlichen Sitzung, der zugewiesenen Tunneladresse und der Geräteidentität. Ein gemeinsamer Unternehmensausgang steht für alle dahinter, daher kann eine beobachtete öffentliche Adresse nicht erkennen lassen, welcher Endpunkt einen Datenfluss erzeugt hat. Diese Korrelation ist der Schritt, den Leute überspringen, wenn der Alarm offensichtlich wirkt.
Nutzen Sie die Datensätze, die der eingesetzte Dienst wirklich sammelt, etwa Accounting-Start- und -Stopp-Ereignisse, die eine Sitzung an eine Identität und eine Adresse binden. Sind diese Datensätze unvollständig, sagen Sie das im Bericht, statt die Lücke mit der Firewall-Sicht zu füllen. Ein Bericht, der Beweise von Schlussfolgerungen trennt, übersteht die Prüfung besser als einer, der das nicht tut.
Dritte Bedingung: was die Reaktion überstehen muss
Eindämmung, die die einzige Kopie der Beweise zerstört, ist ein zweiter Vorfall. Bewahren Sie die relevanten Protokolle, die Sitzungsdatensätze und die Endpunkt-Artefakte über den Prozess, der Aufbewahrung und Zugriff verantwortet. Kleben Sie keinen Export in ein Ticket, das das ganze Supportteam lesen kann.
Entscheiden Sie dann mit dem Vorfallverantwortlichen, wie viel vom Endpunkt neu aufgebaut wird. Quarantäne begrenzt den Schaden, während der Umfang festgestellt wird, und sie begrenzt auch, was die Einsatzkräfte noch beobachten können, daher müssen diese beiden Ziele bewusst abgewogen werden.
Wie Eindämmung tatsächlich aussieht
Wirksame Eindämmung ist geschichtet: Netzwerkquarantäne auf der Zugriffsebene, Widerruf jedes Authenticators, den das Profil nutzt, ausdrückliche Beendigung der Sitzung und Einschränkung der internen Berechtigungen, die das Konto hatte. Jedes davon allein lässt einen Weg offen.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
In der ersten Stunde zählt die Reihenfolge mehr als Vollständigkeit. Widerruf vor dem Löschen gibt Ihnen die Chance, die Reaktion des Clients zu beobachten, und die Sitzungsbeendigung vor dem Widerruf zeigt, ob das Gateway das überhaupt beachtet. Halten Sie fest, welche Kontrolle welche Wirkung hatte.
Routing ist eine Dienstentscheidung, kein Werkzeug zur Eindämmung
Split-Tunnel verringert, was der Büroausgang trägt, und Full-Tunnel schickt mehr Verkehr durch einen gewählten Prüfpfad. Keiner der Modi zertifiziert den Endpunkt, und keiner widerruft Anmeldeinformationen.
Ein Full-Tunnel-Design lohnt sich, wenn der Prüfpfad zur Erkennung und zum Handeln ausgestattet ist, was ein anderes Projekt ist als der Vorfall vor Ihnen. Den Modus mitten im Vorfall zu wechseln, erzeugt meist Verwirrung darüber, welche Protokolle zu welchem Verhalten gehören. Entscheiden Sie den Modus danach, mit dem Dienstverantwortlichen und dem Überwachungsteam im Raum.
Bedingungen für die Wiederzulassung
Schreiben Sie die Bedingungen für die Wiederzulassung auf, bevor das Gerät zurückkommt: der zu prüfende Behebungszustand, der Status jeder offengelegten Anmeldeinformation, die Endpunktkontrollen, die berichten müssen, und die Mindestberechtigungen, die das Konto braucht, statt derer, die es zufällig hatte. Sortieren Sie sie in Pflicht und Kür. Die ursprüngliche Berechtigungsgruppe ist keine Anforderung.
Ein sauberer Scan ist ein Eingangswert, und eine erfolgreiche Anmeldung beweist nur, dass der Authentifizierungsablauf gelaufen ist. Stellen Sie den Zugriff stufenweise wieder her und beobachten Sie dabei die Sitzung und die Ressourcennutzung nach dem genehmigten Plan. Benennen Sie den Verantwortlichen für jede verbleibende Einschränkung. Wenn der Missbrauch einen Partner über den Büroausgang erreicht hat, informieren Sie diesen Partner über den im Vertrag geforderten Kanal, statt zu warten, bis er es bemerkt.