Zaraženo prijenosno računalo na VPN-u: zadržite sesiju, ne rutu
Split tunnel mijenja koju adresu odredište vidi, ne infekciju. Tri uvjeta određuju redoslijed zadržavanja, dokaza i ponovnog pristupa.
Izvješća o zlouporabi krajnje točke obično dolaze s predloženim prečacem: stavite prijenosno računalo na split tunnel kako bi se adresa koju odredište vidi promijenila. To mijenja opažanje, ne infekciju. Uređaj zadržava svaki unutarnji pristup koji njegova sesija već ima, a zlonamjerni program nastavlja raditi na hardveru koji nitko nije pregledao. Tri uvjeta trebaju odrediti redoslijed rada: do čega pristupnice uređaja još dosežu, je li taj pristup upravo sada u upotrebi i koje bi dokaze brzo brisanje uništilo.
Prvi uvjet: do čega pristupnice još dosežu
Opozvan ili onemogućen račun samo je pola odgovora, jer klijent može držati certifikat, predmemorirani token, spremljeni unaprijed dijeljeni ključ ili vjerodajnicu stroja koja preživi promjenu zaporke. Prije odabira radnje mapirajte svaki autentikator koji profil koristi. Zatim provjerite prekida li proizvod sesije pri opozivu ili samo odbija nove.
Gdje pristupnik to podržava, eksplicitno prekinite sesiju i potvrdite iz knjigovodstvene ili tablice sesija da je nestala. Promjena koja utječe samo na sljedeću prijavu ostavlja trenutni tok aktivnim.
Drugi uvjet: je li pristup upravo sada u upotrebi
Povežite prozor upozorenja sa stvarnom sesijom, dodijeljenom adresom tunela i identitetom uređaja. Zajednički korporativni izlaz predstavlja sve iza sebe, pa promatrana javna adresa ne može identificirati koja je krajnja točka proizvela tok. Ta korelacija je korak koji ljudi preskaču kad upozorenje izgleda očito.
Koristite zapise koje implementirana usluga doista prikuplja, poput događaja početka i kraja knjigovodstva koji vežu sesiju uz identitet i adresu. Ako su ti zapisi nepotpuni, recite to u izvješću umjesto da prazninu popunjavate prikazom vatrozida. Izvješće koje odvaja dokaze od zaključaka bolje prolazi pregled od onoga koje to ne čini.
Treći uvjet: što mora preživjeti odgovor
Zadržavanje koje uništi jedinu kopiju dokaza drugi je incident. Sačuvajte relevantne zapise, zapise sesija i artefakte krajnje točke kroz proces koji ima ovlasti zadržavanja i pristupa. Ne lijepite izvoz u tiket koji cijeli tim za podršku može čitati.
Zatim s vlasnikom incidenta odlučite koliko krajnje točke obnoviti. Karantena ograničava štetu dok se opseg utvrđuje, a ograničava i što promatrači još mogu vidjeti, pa se ta dva cilja moraju svjesno razmijeniti.
Kako zadržavanje doista izgleda
Učinkovito zadržavanje je slojevito: mrežna karantena na sloju pristupa, opoziv svakog autentikatora koji profil koristi, eksplicitno prekidanje sesije i ograničenje unutarnjih dopuštenja koje je račun imao. Bilo koje od toga samo ostavlja put otvorenim.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Redoslijed je u prvom satu važniji od potpunosti. Opoziv prije brisanja daje vam priliku gledati reakciju klijenta, a prekidanje sesije prije opoziva pokazuje poštuje li ga pristupnik uopće. Zabilježite koja je kontrola proizvela koji učinak.
Usmjeravanje je odluka usluge, ne alat za zadržavanje
Split tunnel smanjuje što uredski izlaz nosi, a full tunnel šalje više prometa kroz odabrani put pregleda. Nijedan način ne certificira krajnju točku i nijedan ne opoziva vjerodajnicu.
Full-tunnel dizajn vrijedi imati kad je put pregleda opremljen za otkrivanje i djelovanje, što je drugi projekt od incidenta pred vama. Mijenjanje načina usred incidenta uglavnom stvara zbrku oko toga koji zapisi pripadaju kojem ponašanju. Odlučite o načinu poslije, s vlasnikom usluge i timom za nadzor u sobi.
Uvjeti za ponovni pristup
Zapišite uvjete ponovnog pristupa prije nego se uređaj vrati: stanje sanacije koje se mora provjeriti, status svake izložene vjerodajnice, kontrole krajnje točke koje moraju izvještavati i najmanja dopuštenja koja račun treba, a ne ona koja je slučajno imao. Razvrstajte ih na obavezno i poželjno. Izvorni skup dopuštenja nije zahtjev.
Čisti pregled jedan je ulaz, a uspješna prijava dokazuje samo da je tijek autentifikacije prošao. Vratite pristup u fazama, promatrajući sesiju i korištenje resursa prema odobrenom planu. Imenujte vlasnika svakog ograničenja koje ostane. Ako je zlouporaba stigla do partnera kroz uredski izlaz, recite to partneru kanalom koji ugovor zahtijeva umjesto da čekate da to sam primijeti.