Portable infecté sur le VPN : contenir la session, pas la route

Les rapports d'abus de poste de travail arrivent souvent avec un raccourci proposé : mettre le portable en tunnel divisé pour que l'adresse vue à destination change. Cela change une observation, pas une infection. L'appareil conserve tout accès interne que sa session détient déjà, et le logiciel malveillant continue de tourner sur un matériel que personne n'a examiné. Trois conditions devraient fixer l'ordre du travail : ce que les identifiants de l'appareil atteignent encore, si cet accès est utilisé en ce moment, et quelles preuves un effacement rapide détruirait.

Première condition : ce que les identifiants atteignent encore

Un compte révoqué ou désactivé n'est que la moitié de la réponse, car un client peut détenir un certificat, un jeton mis en cache, une clé pré-partagée enregistrée ou un identifiant machine qui survit à un changement de mot de passe. Cartographiez chaque authentificateur utilisé par le profil avant de choisir une action. Vérifiez ensuite si le produit termine les sessions lors d'une révocation ou refuse seulement les nouvelles.

Là où la passerelle le permet, terminez la session explicitement et confirmez, d'après la table de comptabilité ou de sessions, qu'elle a disparu. Un changement qui n'affecte que la prochaine connexion laisse le flux en cours actif.

Deuxième condition : l'accès est-il utilisé en ce moment

Corrélez la fenêtre d'alerte avec la session réelle, l'adresse de tunnel attribuée et l'identité de l'appareil. Une sortie d'entreprise partagée représente tout le monde derrière elle, donc une adresse publique observée ne peut pas désigner quel poste a produit un flux. Cette corrélation est l'étape que les gens sautent quand l'alerte paraît évidente.

Utilisez les enregistrements que le service déployé collecte réellement, comme les événements de début et de fin de comptabilité qui relient une session à une identité et à une adresse. Si ces enregistrements sont incomplets, dites-le dans le rapport plutôt que de combler le vide avec la vue du pare-feu. Un rapport qui sépare la preuve de l'inférence passe mieux la revue qu'un rapport qui ne le fait pas.

Troisième condition : ce qui doit survivre à la réponse

Un confinement qui détruit l'unique copie de la preuve est un second incident. Préservez les journaux pertinents, les enregistrements de session et les artefacts du poste via le processus qui détient la conservation et l'accès. Ne collez pas une exportation dans un ticket que toute l'équipe de support peut lire.

Décidez ensuite avec le responsable de l'incident de la part du poste à reconstruire. La quarantaine limite les dégâts pendant que le périmètre est établi, et elle limite aussi ce que les intervenants peuvent encore observer, donc ces deux objectifs doivent être arbitrés délibérément.

À quoi ressemble vraiment le confinement

Un confinement efficace est stratifié : quarantaine réseau au niveau de l'accès, révocation de chaque authentificateur utilisé par le profil, terminaison explicite de la session et restriction des permissions internes que le compte détenait. Chacun de ces éléments pris seul laisse un chemin ouvert.

L'ordre compte plus que l'exhaustivité dans la première heure. La révocation avant un effacement vous donne la chance de voir réagir le client, et la terminaison de session avant la révocation montre si la passerelle la respecte seulement. Notez quel contrôle a produit quel effet.

Le routage est une décision de service, pas un outil de confinement

Le tunnel divisé réduit ce que porte la sortie du bureau, et le tunnel complet fait passer plus de trafic par un chemin d'inspection choisi. Aucun des deux modes ne certifie le poste, et aucun ne révoque un identifiant.

Une conception en tunnel complet vaut la peine quand le chemin d'inspection est équipé pour détecter et agir, ce qui est un autre projet que l'incident devant vous. Changer de mode au milieu d'un incident produit surtout de la confusion sur les journaux qui correspondent à quel comportement. Décidez le mode ensuite, avec le propriétaire du service et l'équipe de supervision dans la salle.

Conditions de réadmission

Écrivez les conditions de réadmission avant le retour de l'appareil : l'état de remédiation à vérifier, le statut de chaque identifiant exposé, les contrôles du poste qui doivent remonter, et les permissions minimales dont le compte a besoin plutôt que celles qu'il avait par hasard. Classez-les en obligatoires et souhaitables. L'ensemble de permissions d'origine n'est pas une exigence.

Une analyse propre est une entrée, et une connexion réussie prouve seulement que le flux d'authentification s'est exécuté. Rétablissez l'accès par étapes, en surveillant la session et l'usage des ressources selon le plan approuvé. Nommez le responsable de toute restriction qui subsiste. Si l'abus a atteint un partenaire via la sortie du bureau, informez ce partenaire par le canal exigé par le contrat au lieu d'attendre qu'il le remarque.