Tartunnan saanut kannettava VPN:ssä: rajaa istunto, älä reittiä
Jaettu tunneli muuttaa sitä, minkä osoitteen kohde näkee, ei tartuntaa. Kolme ehtoa määrää rajauksen, todisteiden ja takaisinpääsyn järjestyksen.
Päätepisteen väärinkäyttöraportit saapuvat yleensä mukanaan ehdotettu oikopolku: laitetaan kannettava jaettuun tunneliin, jotta kohteessa näkyvä osoite muuttuu. Se muuttaa havaintoa, ei tartuntaa. Laite pitää kaiken sisäisen pääsyn, joka sen istunnolla jo on, ja haittaohjelma jatkaa toimintaansa laitteistolla, jota kukaan ei ole tutkinut. Kolmen ehdon pitäisi määrätä työn järjestys: mihin laitteen tunnistetiedot vielä yltävät, käytetäänkö tätä pääsyä juuri nyt ja mitkä todisteet nopea pyyhintä tuhoaisi.
Ensimmäinen ehto: mihin tunnistetiedot vielä yltävät
Peruutettu tai poistettu käytöstä oleva tili on vain puolet vastauksesta, koska asiakas voi pitää hallussaan varmennetta, välimuistiin tallennettua tokenia, tallennettua ennalta jaettua avainta tai konetunnistetietoa, joka kestää salasanan vaihdon. Kartoita jokainen todennusmenetelmä, jota profiili käyttää, ennen toimenpiteen valintaa. Tarkista sitten, lopettaako tuote istunnot peruutuksen yhteydessä vai hylkääkö se vain uudet.
Missä yhdyskäytävä tukee sitä, lopeta istunto nimenomaisesti ja vahvista kirjanpito- tai istuntotaulukosta, että se poistui. Muutos, joka vaikuttaa vain seuraavaan kirjautumiseen, jättää nykyisen virtauksen käyntiin.
Toinen ehto: käytetäänkö pääsyä juuri nyt
Korreloi hälytysikkuna todellisen istunnon, osoitetun tunneliosoitteen ja laitteen identiteetin kanssa. Jaettu yrityksen poistumistie edustaa kaikkia sen takana olevia, joten havaittu julkinen osoite ei voi kertoa, mikä päätepiste tuotti virtauksen. Tämä korrelaatio on se vaihe, jonka ihmiset ohittavat, kun hälytys näyttää ilmeiseltä.
Käytä tietueita, joita käyttöön otettu palvelu todella kerää, kuten kirjanpidon aloitus- ja lopetustapahtumia, jotka sitovat istunnon identiteettiin ja osoitteeseen. Jos nämä tietueet ovat puutteellisia, sano se raportissa sen sijaan, että täyttäisit aukon palomuurin näkymällä. Raportti, joka erottaa todisteet päättelystä, läpäisee tarkastuksen paremmin kuin sellainen, joka ei sitä tee.
Kolmas ehto: mikä vastauksen on kestettävä
Rajaus, joka tuhoaa todisteiden ainoan kopion, on toinen tapaus. Säilytä asiaankuuluvat lokit, istuntotietueet ja päätepisteen artefaktit prosessin kautta, joka omistaa säilytyksen ja pääsyn. Älä liitä vientiä tikettiin, jonka koko tukitiimi voi lukea.
Päätä sitten tapauksen omistajan kanssa, kuinka paljon päätepisteestä rakennetaan uudelleen. Karanteeni rajoittaa vahinkoa, kun laajuutta selvitetään, ja se rajoittaa myös sitä, mitä vastaajat voivat vielä havainnoida, joten nämä kaksi tavoitetta on punnittava tietoisesti.
Miltä rajaus todella näyttää
Tehokas rajaus on kerroksellinen: verkkokaranteeni pääsytasolla, jokaisen profiilin käyttämän todennusmenetelmän peruutus, istunnon nimenomainen lopetus ja tilin sisäisten oikeuksien rajoittaminen. Mikä tahansa näistä yksinään jättää polun auki.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Ensimmäisen tunnin aikana järjestys on tärkeämpi kuin täydellisyys. Peruutus ennen pyyhintää antaa mahdollisuuden seurata asiakkaan reagointia, ja istunnon lopetus ennen peruutusta näyttää, kunnioittaako yhdyskäytävä sitä lainkaan. Kirjaa, mikä kontrolli sai aikaan minkä vaikutuksen.
Reititys on palvelun päätös, ei rajausväline
Jaettu tunneli vähentää sitä, mitä toimiston poistumistie kantaa, ja täysi tunneli lähettää enemmän liikennettä valitun tarkastuspolun kautta. Kumpikaan tila ei sertifioi päätepistettä, eikä kumpikaan peruuta tunnistetietoa.
Täyden tunnelin suunnittelu kannattaa, kun tarkastuspolku on varustettu havaitsemaan ja toimimaan, mikä on eri projekti kuin edessäsi oleva tapaus. Tilojen vaihtaminen kesken tapauksen tuottaa enimmäkseen sekaannusta siitä, mitkä lokit kuuluvat mihinkin toimintaan. Päätä tila myöhemmin, palvelun omistajan ja valvontatiimin kanssa samassa huoneessa.
Takaisinpääsyn ehdot
Kirjoita takaisinpääsyn ehdot ennen kuin laite palaa: korjaustila, joka on varmennettava, jokaisen paljastetun tunnistetiedon tila, päätepisteen kontrollit, joiden on raportoitava, ja vähimmäisoikeudet, jotka tili tarvitsee, eivät ne, jotka sillä sattui olemaan. Lajittele ne pakollisiin ja toivottaviin. Alkuperäinen oikeusjoukko ei ole vaatimus.
Puhdas skannaus on yksi syöte, ja onnistunut kirjautuminen todistaa vain, että todennusprosessi suoritettiin. Palauta pääsy vaiheittain ja seuraa istuntoa ja resurssien käyttöä hyväksytyn suunnitelman mukaisesti. Nimeä jäljelle jäävän rajoituksen omistaja. Jos väärinkäyttö saavutti kumppanin toimiston poistumistien kautta, kerro siitä kumppanille sopimuksen vaatimalla kanavalla sen sijaan, että odotat heidän huomaavan sen.