Nakatunud sülearvuti VPN-is: piira seanssi, mitte marsruuti
Jagatud tunnel muudab, millist aadressi sihtkoht näeb, mitte nakatumist. Kolm tingimust määravad tõkestamise, tõendite ja tagasilubamise järjekorra.
Lõpp-punkti kuritarvitamise aruanded tulevad tavaliselt kaasas pakutud otseteega: panna sülearvuti jagatud tunnelisse, et sihtkohas nähtav aadress muutuks. See muudab vaatlust, mitte nakatumist. Seade säilitab kogu sisemise juurdepääsu, mis tema seansil juba on, ja pahavara jookseb edasi riistvaral, mida keegi ei ole uurinud. Töö järjekorra peaksid määrama kolm tingimust: kuhu seadme mandaadid veel ulatuvad, kas seda juurdepääsu praegu kasutatakse ja milliseid tõendeid kiire kustutamine hävitaks.
Esimene tingimus: kuhu mandaadid veel ulatuvad
Tühistatud või keelatud konto on ainult pool vastust, sest klient võib hoida sertifikaati, vahemällu salvestatud tokenit, salvestatud eeljagatud võtit või masinamandaati, mis jääb parooli muutmisele vastu. Enne toimingu valimist kaardistage iga autentija, mida profiil kasutab. Seejärel kontrollige, kas toode lõpetab seansid tühistamisel või ainult keeldub uutest.
Kus lüüs seda toetab, lõpetage seanss selgesõnaliselt ja kinnitage arvestus- või seansitabelist, et see kadus. Muudatus, mis mõjutab ainult järgmist sisselogimist, jätab praeguse voo tööle.
Teine tingimus: kas juurdepääsu praegu kasutatakse
Korrelleerige hoiatuse aken tegeliku seansi, määratud tunneliaadressi ja seadme identiteediga. Ühine ettevõtte väljund esindab kõiki selle taga, seega vaadeldud avalik aadress ei saa tuvastada, milline lõpp-punkt voo tekitas. See korrelatsioon on samm, mille inimesed jätavad vahele, kui hoiatus tundub ilmne.
Kasutage kirjeid, mida juurutatud teenus tegelikult kogub, näiteks arvestuse algus- ja lõpusündmusi, mis seovad seansi identiteedi ja aadressiga. Kui need kirjed on puudulikud, öelge seda aruandes, selle asemel et lünka tulemüüri vaatega täita. Aruanne, mis eraldab tõendid järeldusest, läbib ülevaatuse paremini kui see, mis seda ei tee.
Kolmas tingimus: mis peab reageerimise üle elama
Tõkestamine, mis hävitab tõendite ainsa koopia, on teine intsident. Säilitage asjakohased logid, seansikirjed ja lõpp-punkti artefaktid protsessi kaudu, mis omab säilitamist ja juurdepääsu. Ärge kleepige eksporti pileti sisse, mida kogu tugimeeskond saab lugeda.
Seejärel otsustage koos intsidendi omanikuga, kui suur osa lõpp-punktist uuesti üles ehitada. Karantiin piirab kahju, kuni ulatus selgitatakse, ja piirab ka seda, mida reageerijad veel jälgida saavad, seega neid kahte eesmärki tuleb teadlikult kaaluda.
Kuidas tõkestamine tegelikult välja näeb
Tõhus tõkestamine on kihiline: võrgukarantiin juurdepääsukihis, iga profiili kasutatava autentija tühistamine, seansi selgesõnaline lõpetamine ja konto sisemiste õiguste piiramine. Ükskõik milline neist üksi jätab tee avatuks.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Esimesel tunnil loeb järjekord rohkem kui täielikkus. Tühistamine enne kustutamist annab võimaluse jälgida kliendi reaktsiooni, ja seansi lõpetamine enne tühistamist näitab, kas lüüs seda üldse austab. Märkige üles, milline kontroll andis millise efekti.
Marsruutimine on teenuse otsus, mitte tõkestamisvahend
Jagatud tunnel vähendab seda, mida kontori väljund kannab, ja täistunnel suunab rohkem liiklust valitud kontrolliteele. Kumbki režiim ei sertifitseeri lõpp-punkti ega tühista mandaati.
Täistunneli lahendus on väärt seda, kui kontrollitee on varustatud avastama ja tegutsema, mis on teine projekt kui teie ees olev intsident. Režiimide vahetamine keset intsidenti tekitab enamasti segadust, millised logid kuuluvad millise käitumise juurde. Otsustage režiim hiljem, teenuse omaniku ja seiremeeskonnaga ruumis.
Tagasilubamise tingimused
Kirjutage tagasilubamise tingimused enne, kui seade naaseb: kõrvaldamise olek, mis tuleb kontrollida, iga paljastatud mandaadi olek, lõpp-punkti kontrollid, mis peavad aru andma, ja miinimumõigused, mida konto vajab, mitte need, mis tal juhuslikult olid. Sortige need kohustuslikeks ja soovitavateks. Algne õiguste kogum ei ole nõue.
Puhas skaneerimine on üks sisend, ja edukas sisselogimine tõestab ainult seda, et autentimisvoog töötas. Taastage juurdepääs etappide kaupa, jälgides seanssi ja ressursikasutust kinnitatud plaani järgi. Nimetage kõigi allesjäävate piirangute omanik. Kui kuritarvitamine jõudis kontori väljundi kaudu partnerini, teatage sellele partnerile lepingus nõutud kanali kaudu, selle asemel et oodata, kuni nad seda märkavad.