Fertőzött laptop a VPN-en: a munkamenetet kell korlátozni, nem az útvonalat
Az osztott alagút megváltoztatja, kinek a címét látja a cél, nem a fertőzést. Három feltétel dönti el az elkülönítés, a bizonyítékok és a visszaengedés sorrendjét.
A végponti visszaélési jelentések általában kész megoldással érkeznek: tegyük a laptopot osztott alagútra, hogy megváltozzon a cél által látott cím. Ez egy megfigyelést változtat meg, nem egy fertőzést. Az eszköz megtartja mindazt a belső hozzáférést, amellyel a munkamenete már rendelkezik, a kártevő pedig olyan hardveren fut tovább, amelyet senki nem vizsgált meg. Három feltételnek kell megszabnia a munka sorrendjét: hogy az eszköz hitelesítő adatai még mit érnek el, hogy ez a hozzáférés éppen használatban van-e, és hogy milyen bizonyítékot semmisítene meg egy gyors törlés.
Első feltétel: mit érnek még el a hitelesítő adatok
A visszavont vagy letiltott fiók csak fél válasz, mert az ügyfél birtokolhat olyan tanúsítványt, gyorsítótárazott tokent, mentett előre megosztott kulcsot vagy gépi hitelesítő adatot, amely túléli a jelszóváltást. A cselekvés kiválasztása előtt térképezze fel a profil minden hitelesítő elemét. Ezután ellenőrizze, hogy a termék megszakítja-e a munkameneteket visszavonáskor, vagy csak az újakat utasítja el.
Ahol az átjáró támogatja, fejezze be a munkamenetet kifejezetten, és az elszámolási vagy munkamenet-táblából erősítse meg, hogy eltűnt. Az a változtatás, amely csak a következő bejelentkezésre hat, futni hagyja az aktuális folyamot.
Második feltétel: használatban van-e a hozzáférés most
Kösse össze a riasztási időablakot a tényleges munkamenettel, a kiosztott alagútcímmel és az eszköz identitásával. Egy közös vállalati kilépő mindenkit képvisel, aki mögötte van, ezért egy megfigyelt nyilvános cím nem azonosítja, melyik végpont hozta létre a folyamot. Ez az az összekapcsolás, amelyet az emberek kihagynak, amikor a riasztás nyilvánvalónak tűnik.
Használja azokat a rekordokat, amelyeket a telepített szolgáltatás valóban gyűjt, például az elszámolás indítási és leállítási eseményeit, amelyek a munkamenetet egy identitáshoz és egy címhez kötik. Ha ezek a rekordok hiányosak, mondja ezt meg a jelentésben, ahelyett hogy a tűzfal nézetével töltené ki a rést. Az a jelentés, amely elválasztja a bizonyítékot a következtetéstől, jobban átvészeli a felülvizsgálatot, mint amelyik nem.
Harmadik feltétel: minek kell túlélnie a választ
Az az elkülönítés, amely megsemmisíti a bizonyíték egyetlen példányát, egy második incidens. Őrizze meg a vonatkozó naplókat, a munkamenet-rekordokat és a végponti artefaktumokat azon a folyamaton keresztül, amely a megőrzésért és a hozzáférésért felel. Ne illesszen exportot olyan jegybe, amelyet az egész támogatási csapat elolvashat.
Ezután az incidens tulajdonosával döntse el, hogy a végpont mekkora részét építik újra. A karantén korlátozza a kárt, amíg a hatókör tisztázódik, ugyanakkor korlátozza azt is, amit a válaszadók még megfigyelhetnek, ezért ezt a két célt szándékosan kell egyensúlyozni.
Hogyan néz ki valójában az elkülönítés
A hatékony elkülönítés rétegezett: hálózati karantén a hozzáférési rétegen, a profil minden hitelesítő elemének visszavonása, a munkamenet kifejezett megszakítása és a fiók által birtokolt belső jogosultságok korlátozása. Ezek bármelyike önmagában nyitva hagy egy utat.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Az első órában a sorrend fontosabb, mint a teljesség. A törlés előtti visszavonás lehetőséget ad arra, hogy figyelje az ügyfél reakcióját, a visszavonás előtti munkamenet-megszakítás pedig megmutatja, hogy az átjáró egyáltalán betartja-e. Jegyezze fel, melyik intézkedés melyik hatást váltotta ki.
Az útvonalválasztás szolgáltatási döntés, nem elkülönítési eszköz
Az osztott alagút csökkenti, amit a vállalati kilépő szállít, a teljes alagút pedig több forgalmat terel egy kiválasztott vizsgálati útvonalra. Egyik mód sem hitelesíti a végpontot, és egyik sem von vissza hitelesítő adatot.
A teljes alagút kialakítása akkor éri meg, ha a vizsgálati útvonal képes észlelni és cselekedni, ami már más projekt, mint a most előttünk álló incidens. A módok incidens közbeni váltása többnyire csak zavart okoz abban, melyik napló melyik viselkedéshez tartozik. A módot utólag döntse el, a szolgáltatás tulajdonosával és a megfigyelő csapattal együtt.
A visszaengedés feltételei
Az eszköz visszatérése előtt írja le a visszaengedés feltételeit: a helyreállítási állapotot, amelyet ellenőrizni kell, minden érintett hitelesítő adat állapotát, a jelentést adó végponti vezérlőket és a fiók számára szükséges minimális jogosultságokat, nem pedig azokat, amelyek véletlenül megvoltak. Rendezze őket kötelező és hasznos kategóriákba. Az eredeti jogosultsági készlet nem követelmény.
Egy tiszta vizsgálat csak egy bemenet, a sikeres bejelentkezés pedig csak azt bizonyítja, hogy a hitelesítési folyamat lefutott. Fokozatosan állítsa vissza a hozzáférést, figyelve a munkamenetet és az erőforrás-használatot a jóváhagyott terv szerint. Nevezze meg annak a korlátozásnak a tulajdonosát, amely megmarad. Ha a visszaélés a vállalati kilépőn keresztül elérte egy partnert, a szerződésben előírt csatornán értesítse őt, ahelyett hogy megvárná, amíg észreveszi.