Μολυσμένο φορητό στον VPN: περιορίστε τη συνεδρία, όχι τη διαδρομή

Οι αναφορές κατάχρησης τελικών σημείων φτάνουν συνήθως με μια προτεινόμενη συντόμευση: βάλτε το φορητό σε διαχωρισμένη σήραγγα ώστε να αλλάξει η διεύθυνση που βλέπει ο προορισμός. Αυτό αλλάζει μια παρατήρηση, όχι μια μόλυνση. Η συσκευή διατηρεί όποια εσωτερική πρόσβαση έχει ήδη η συνεδρία της, και το κακόβουλο λογισμικό συνεχίζει να τρέχει σε υλικό που κανείς δεν εξέτασε. Τρεις συνθήκες πρέπει να καθορίσουν τη σειρά εργασίας: πού φτάνουν ακόμη τα διαπιστευτήρια της συσκευής, αν αυτή η πρόσβαση χρησιμοποιείται τώρα και ποια αποδεικτικά θα κατέστρεφε μια γρήγορη διαγραφή.

Πρώτη συνθήκη: πού φτάνουν ακόμη τα διαπιστευτήρια

Ένας ανακλημένος ή απενεργοποιημένος λογαριασμός είναι μόνο η μισή απάντηση, γιατί ένας πελάτης μπορεί να κρατά πιστοποιητικό, διακριτικό σε προσωρινή μνήμη, αποθηκευμένο προκοινωνημένο κλειδί ή διαπιστευτήριο μηχανής που επιβιώνει από αλλαγή κωδικού. Χαρτογραφήστε κάθε μέσο ελέγχου ταυτότητας που χρησιμοποιεί το προφίλ πριν επιλέξετε ενέργεια. Έπειτα ελέγξτε αν το προϊόν τερματίζει τις συνεδρίες κατά την ανάκληση ή απλώς αρνείται τις νέες.

Όπου η πύλη το υποστηρίζει, τερματίστε ρητά τη συνεδρία και επιβεβαιώστε από τον πίνακα λογιστικής ή συνεδριών ότι έφυγε. Μια αλλαγή που επηρεάζει μόνο την επόμενη σύνδεση αφήνει τη ροή σε λειτουργία.

Δεύτερη συνθήκη: χρησιμοποιείται η πρόσβαση τώρα

Συσχετίστε το παράθυρο ειδοποίησης με την πραγματική συνεδρία, τη διεύθυνση σήραγγας που εκχωρήθηκε και την ταυτότητα της συσκευής. Μια κοινή εταιρική έξοδος αντιπροσωπεύει όλους όσους βρίσκονται πίσω της, άρα μια παρατηρούμενη δημόσια διεύθυνση δεν μπορεί να δείξει ποιο τελικό σημείο παρήγαγε μια ροή. Αυτή η συσχέτιση είναι το βήμα που παραλείπουν οι άνθρωποι όταν η ειδοποίηση φαίνεται προφανής.

Χρησιμοποιήστε τις εγγραφές που συλλέγει πραγματικά η αναπτυγμένη υπηρεσία, όπως συμβάντα έναρξης και λήξης λογιστικής που συνδέουν μια συνεδρία με ταυτότητα και διεύθυνση. Αν αυτές οι εγγραφές είναι ελλιπείς, πείτε το στην αναφορά αντί να γεμίσετε το κενό με την εικόνα του τείχους προστασίας. Μια αναφορά που χωρίζει τα αποδεικτικά από τη συμπερασματολογία περνά καλύτερα την εξέταση από μια που δεν το κάνει.

Τρίτη συνθήκη: τι πρέπει να επιβιώσει από την αντίδραση

Ο περιορισμός που καταστρέφει το μοναδικό αντίγραφο των αποδεικτικών είναι δεύτερο περιστατικό. Διατηρήστε τα σχετικά αρχεία καταγραφής, τις εγγραφές συνεδριών και τα τεχνουργήματα του τελικού σημείου μέσω της διαδικασίας που κατέχει τη διατήρηση και την πρόσβαση. Μην επικολλήσετε εξαγωγή σε δελτίο που μπορεί να διαβάσει όλη η ομάδα υποστήριξης.

Έπειτα αποφασίστε με τον υπεύθυνο του περιστατικού πόσο από το τελικό σημείο θα ξαναχτιστεί. Η καραντίνα περιορίζει τη ζημιά όσο καθορίζεται το εύρος, και επίσης περιορίζει τι μπορούν ακόμη να παρατηρήσουν όσοι ανταποκρίνονται, οπότε αυτοί οι δύο στόχοι πρέπει να ζυγιστούν σκόπιμα.

Πώς μοιάζει στην πραγματικότητα ο περιορισμός

Ο αποτελεσματικός περιορισμός είναι πολυεπίπεδος: καραντίνα δικτύου στο επίπεδο πρόσβασης, ανάκληση κάθε μέσου ελέγχου ταυτότητας που χρησιμοποιεί το προφίλ, ρητός τερματισμός της συνεδρίας και περιορισμός των εσωτερικών δικαιωμάτων που είχε ο λογαριασμός. Οποιοδήποτε από αυτά μόνο του αφήνει ένα μονοπάτι ανοιχτό.

Η σειρά μετράει περισσότερο από την πληρότητα την πρώτη ώρα. Η ανάκληση πριν από τη διαγραφή σας δίνει την ευκαιρία να δείτε τον πελάτη να αντιδρά, και ο τερματισμός της συνεδρίας πριν από την ανάκληση δείχνει αν η πύλη το σέβεται καθόλου. Καταγράψτε ποιος έλεγχος είχε ποιο αποτέλεσμα.

Η δρομολόγηση είναι απόφαση υπηρεσίας, όχι εργαλείο περιορισμού

Η διαχωρισμένη σήραγγα μειώνει ό,τι μεταφέρει η έξοδος του γραφείου, και η πλήρης σήραγγα στέλνει περισσότερη κίνηση μέσα από μια επιλεγμένη διαδρομή επιθεώρησης. Καμία λειτουργία δεν πιστοποιεί το τελικό σημείο, και καμία δεν ανακαλεί διαπιστευτήριο.

Ένας σχεδιασμός πλήρους σήραγγας αξίζει όταν η διαδρομή επιθεώρησης είναι εξοπλισμένη να εντοπίζει και να δρα, κάτι που είναι διαφορετικό έργο από το περιστατικό μπροστά σας. Η εναλλαγή λειτουργιών στη μέση ενός περιστατικού παράγει κυρίως σύγχυση για το ποια αρχεία καταγραφής ανήκουν σε ποια συμπεριφορά. Αποφασίστε τη λειτουργία αργότερα, με τον υπεύθυνο της υπηρεσίας και την ομάδα παρακολούθησης στην αίθουσα.

Συνθήκες για επανεισδοχή

Γράψτε τις συνθήκες επανεισδοχής πριν επιστρέψει η συσκευή: την κατάσταση αποκατάστασης που πρέπει να επαληθευτεί, την κατάσταση κάθε εκτεθειμένου διαπιστευτηρίου, τους ελέγχους τελικού σημείου που πρέπει να αναφέρουν και τα ελάχιστα δικαιώματα που χρειάζεται ο λογαριασμός αντί για εκείνα που έτυχε να έχει. Ταξινομήστε τα σε υποχρεωτικά και επιθυμητά. Το αρχικό σύνολο δικαιωμάτων δεν είναι απαίτηση.

Μια καθαρή σάρωση είναι μία είσοδος, και μια επιτυχής σύνδεση αποδεικνύει μόνο ότι εκτελέστηκε η ροή ελέγχου ταυτότητας. Επαναφέρετε την πρόσβαση σταδιακά, παρακολουθώντας τη συνεδρία και τη χρήση πόρων υπό το εγκεκριμένο σχέδιο. Ονομάστε τον υπεύθυνο κάθε περιορισμού που παραμένει. Αν η κατάχρηση έφτασε σε συνεργάτη μέσω της εξόδου του γραφείου, ενημερώστε αυτόν τον συνεργάτη μέσω του καναλιού που απαιτεί η σύμβαση αντί να περιμένετε να το προσέξουν.