Portátil infectado en la VPN: contén la sesión, no la ruta

Los informes de abuso de equipos finales suelen llegar con un atajo propuesto: poner el portátil en túnel dividido para que cambie la dirección que ve el destino. Eso cambia una observación, no una infección. El dispositivo conserva cualquier acceso interno que su sesión ya tenga, y el software malicioso sigue ejecutándose en hardware que nadie ha examinado. Tres condiciones deberían fijar el orden del trabajo: a qué llegan todavía las credenciales del dispositivo, si ese acceso se está usando ahora mismo y qué evidencia destruiría un borrado rápido.

Primera condición: a qué llegan todavía las credenciales

Una cuenta revocada o deshabilitada es solo la mitad de la respuesta, porque un cliente puede guardar un certificado, un token en caché, una clave precompartida almacenada o una credencial de máquina que sobrevive a un cambio de contraseña. Mapee cada autenticador que usa el perfil antes de elegir una acción. Después compruebe si el producto termina las sesiones al revocar o solo rechaza las nuevas.

Donde la pasarela lo admite, termine la sesión explícitamente y confirme desde la tabla de contabilidad o de sesiones que se ha ido. Un cambio que solo afecta al siguiente inicio de sesión deja el flujo actual en marcha.

Segunda condición: se está usando el acceso ahora mismo

Correlacione la ventana de alerta con la sesión real, la dirección de túnel asignada y la identidad del dispositivo. Una salida corporativa compartida representa a todos los que están detrás, así que una dirección pública observada no puede identificar qué extremo produjo un flujo. Esa correlación es el paso que la gente se salta cuando la alerta parece obvia.

Use los registros que el servicio desplegado recopila de verdad, como los eventos de inicio y fin de contabilidad que vinculan una sesión a una identidad y a una dirección. Si esos registros están incompletos, dígalo en el informe en lugar de rellenar el hueco con la vista del cortafuegos. Un informe que separa la evidencia de la inferencia supera la revisión mejor que uno que no lo hace.

Tercera condición: qué debe sobrevivir a la respuesta

Una contención que destruye la única copia de la evidencia es un segundo incidente. Preserve los registros pertinentes, los registros de sesión y los artefactos del equipo final mediante el proceso que posee la retención y el acceso. No pegue una exportación en un ticket que todo el equipo de soporte pueda leer.

Luego decida con el responsable del incidente cuánto del equipo final reconstruir. La cuarentena limita el daño mientras se establece el alcance, y también limita lo que quienes responden pueden observar todavía, así que esos dos objetivos deben sopesarse deliberadamente.

Cómo se ve realmente la contención

La contención eficaz es por capas: cuarentena de red en la capa de acceso, revocación de cada autenticador que usa el perfil, terminación explícita de la sesión y restricción de los permisos internos que tenía la cuenta. Cualquiera de ellas por sí sola deja un camino abierto.

El orden importa más que la exhaustividad en la primera hora. La revocación antes de un borrado le da la oportunidad de ver reaccionar al cliente, y la terminación de la sesión antes de la revocación muestra si la pasarela lo respeta siquiera. Anote qué control produjo qué efecto.

El enrutamiento es una decisión de servicio, no una herramienta de contención

El túnel dividido reduce lo que carga la salida de la oficina, y el túnel completo envía más tráfico por una ruta de inspección elegida. Ninguno de los dos modos certifica el equipo final, y ninguno revoca una credencial.

Un diseño de túnel completo vale la pena cuando la ruta de inspección está equipada para detectar y actuar, lo que es un proyecto distinto del incidente que tiene delante. Cambiar de modo en mitad de un incidente suele producir confusión sobre qué registros corresponden a qué comportamiento. Decida el modo después, con el propietario del servicio y el equipo de monitorización en la sala.

Condiciones para la readmisión

Escriba las condiciones de readmisión antes de que vuelva el dispositivo: el estado de remediación que debe verificarse, el estado de cada credencial expuesta, los controles del equipo final que deben estar informando y los permisos mínimos que la cuenta necesita en lugar de los que tenía por casualidad. Clasifíquelos en obligatorios y deseables. El conjunto original de permisos no es un requisito.

Un escaneo limpio es una entrada, y un inicio de sesión correcto solo demuestra que el flujo de autenticación se ejecutó. Restaure el acceso por etapas, vigilando la sesión y el uso de recursos según el plan aprobado. Nombre al responsable de cualquier restricción que quede. Si el abuso llegó a un socio a través de la salida de la oficina, avise a ese socio por el canal que exige el contrato en lugar de esperar a que lo noten.