Infektita tekkomputilo en la VPN: limigu la seancon, ne la itineron
Dividita tunelo ŝanĝas kiun adreson la celo vidas, ne la infekton. Tri kondiĉoj decidas la ordon de limigado, pruvoj kaj readmisiĝo.
Raportoj pri misuzo de finpunktoj kutime alvenas kun proponita fuŝsolvo: meti la tekkomputilon en dividitan tunelon por ke la adreso vidata ĉe la celo ŝanĝiĝu. Tio ŝanĝas observon, ne infekton. La aparato konservas ĉian internan aliron, kiun ĝia seanco jam havas, kaj la malbona programo daŭre funkcias sur aparataro, kiun neniu ekzamenis. Tri kondiĉoj devus difini la ordon de la laboro: kion la akreditaĵoj de la aparato ankoraŭ atingas, ĉu tiu aliro estas uzata nun, kaj kiujn pruvojn rapida forviŝo detruus.
Unua kondiĉo: kion la akreditaĵoj ankoraŭ atingas
Revokita aŭ malŝaltita konto estas nur duono de la respondo, ĉar kliento povas teni atestilon, kaŝmemorigitan ĵetonon, konservitan antaŭe dividitan ŝlosilon aŭ maŝinan akreditaĵon, kiu postvivas pasvortan ŝanĝon. Mapu ĉiun aŭtentigilon, kiun la profilo uzas, antaŭ ol elekti agon. Poste kontrolu, ĉu la produkto finas seancojn ĉe revoko aŭ nur rifuzas novajn.
Kie la enirejo subtenas tion, finu la seancon eksplicite kaj konfirmu el la kontada aŭ seanca tabelo, ke ĝi foriris. Ŝanĝo, kiu efikas nur al la sekva ensaluto, lasas la nunan fluon funkcii.
Dua kondiĉo: ĉu la aliro estas uzata nun
Kunrilatu la alarman fenestron kun la fakta seanco, la atribuita tunela adreso kaj la identeco de la aparato. Komuna entreprena eliro reprezentas ĉiujn malantaŭ ĝi, do observita publika adreso ne povas identigi, kiu finpunkto produktis fluon. Tiu kunrilato estas la paŝo, kiun homoj preterlasas, kiam la alarmsignalo ŝajnas evidenta.
Uzu la rikordojn, kiujn la dislokita servo vere kolektas, ekzemple kontadajn komencajn kaj finajn eventojn, kiuj ligas seancon al identeco kaj adreso. Se tiuj rikordoj estas nekompletaj, diru tion en la raporto anstataŭ plenigi la mankon per la fajroŝirma vido. Raporto, kiu apartigas pruvojn de konkludoj, pli bone trapasas revizion ol tiu, kiu ne faras tion.
Tria kondiĉo: kio devas postvivi la reagon
Limigado, kiu detruas la solan kopion de la pruvoj, estas dua okazaĵo. Konservu la koncernajn protokolojn, la seancajn rikordojn kaj la finpunktajn artefaktojn per la procezo, kiu posedas konservadon kaj aliron. Ne algluu eksportaĵon en bileton, kiun la tuta subtena teamo povas legi.
Poste decidu kun la posedanto de la okazaĵo, kiom de la finpunkto rekonstrui. Kvaranteno limigas damaĝon dum la amplekso estas starigata, kaj ĝi ankaŭ limigas, kion la respondentoj ankoraŭ povas observi, do tiuj du celoj devas esti konscie pesitaj.
Kiel limigado vere aspektas
Efika limigado estas tavoligita: reta kvaranteno ĉe la alira tavolo, revoko de ĉiu aŭtentigilo, kiun la profilo uzas, eksplicita finado de la seanco, kaj limigo de la internaj permesoj, kiujn la konto havis. Ĉiu unu el tiuj sola lasas vojon malfermita.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Ordo gravas pli ol kompleto dum la unua horo. Revoko antaŭ forviŝo donas al vi ŝancon observi la reagon de la kliento, kaj finado de la seanco antaŭ revoko montras, ĉu la enirejo entute respektas tion. Notu, kiu kontrolo produktis kiun efikon.
Enkursigo estas decido de la servo, ne limiga ilo
Dividita tunelo malpliigas tion, kion portas la oficeja eliro, kaj plena tunelo sendas pli da trafiko tra elektita inspekta vojo. Neniu reĝimo atestas la finpunkton, kaj neniu revokas akreditaĵon.
Plena tunela dezajno indas, kiam la inspekta vojo estas ekipita por detekti kaj agi, kio estas alia projekto ol la okazaĵo antaŭ vi. Ŝanĝi reĝimojn meze de okazaĵo plejparte kreas konfuzon pri tio, kiuj protokoloj apartenas al kiu konduto. Decidu la reĝimon poste, kun la posedanto de la servo kaj la monitora teamo en la ĉambro.
Kondiĉoj por readmisiĝo
Skribu la readmisiĝajn kondiĉojn antaŭ ol la aparato revenos: la riparstato, kiun oni devas kontroli, la stato de ĉiu elmontrita akreditaĵo, la finpunktaj kontroloj, kiuj devas raporti, kaj la minimumaj permesoj, kiujn la konto bezonas anstataŭ tiuj, kiujn ĝi hazarde havis. Klasifiku ilin en devigaj kaj dezirindaj. La origina permesa aro ne estas postulo.
Pura skano estas unu enigo, kaj sukcesa ensaluto pruvas nur, ke la aŭtentiga laborfluo funkciis. Restarigu aliron laŭ etapoj, observante la seancon kaj la rimedan uzadon laŭ la aprobita plano. Nomu la posedanton de ĉiu restanta limigo. Se la misuzo atingis partneron tra la oficeja eliro, informu tiun partneron per la kanalo, kiun la kontrakto postulas, anstataŭ atendi, ke ili rimarkos.