Վարակված նոթբուքը VPN-ում՝ մեկուսացրեք սեսիան, ոչ թե երթուղին
Բաժանված թունելը փոխում է այն, թե ում հասցեն է տեսնում նպատակակետը, ոչ թե վարակը։ Երեք պայման է որոշում մեկուսացման, ապացույցների և վերադարձի հերթականությունը։
Վերջնակետի չարաշահման մասին հաղորդագրությունները սովորաբար գալիս են առաջարկվող կարճ ճանապարհով՝ նոթբուքը դնել բաժանված թունելի մեջ, որպեսզի փոխվի այն հասցեն, որը տեսնում է նպատակակետը։ Դա փոխում է դիտարկումը, ոչ թե վարակը։ Սարքը պահպանում է այն ներքին հասանելիությունը, որը նրա սեսիան արդեն ունի, իսկ չարամիտ ծրագիրը շարունակում է աշխատել այն սարքաշարի վրա, որը ոչ ոք չի զննել։ Երեք պայման պետք է սահմանի աշխատանքի հերթականությունը՝ ինչին են դեռ հասնում սարքի հավատարմագրերը, արդյոք այդ հասանելիությունը հենց հիմա օգտագործվում է, և ինչ ապացույց կկործանի արագ ջնջումը։
Առաջին պայման. ինչին են դեռ հասնում հավատարմագրերը
Չեղարկված կամ անջատված հաշիվը միայն կես պատասխան է, քանի որ հաճախորդը կարող է պահել վկայական, քեշավորված թոքեն, պահված նախապես համաձայնեցված բանալի կամ մեքենայի հավատարմագիր, որը վերապրում է գաղտնաբառի փոփոխությունը։ Գործողություն ընտրելուց առաջ քարտեզագրեք բոլոր հավատարմագրիչները, որոնք օգտագործում է պրոֆիլը։ Այնուհետև ստուգեք՝ արդյոք ապրանքը դադարեցնում է սեսիաները չեղարկման պահին, թե միայն մերժում է նորերը։
Այնտեղ, որտեղ դարպասը դա աջակցում է, բացահայտ ավարտեք սեսիան և հաշվառման կամ սեսիաների աղյուսակից հաստատեք, որ այն անհետացել է։ Փոփոխությունը, որը ազդում է միայն հաջորդ մուտքի վրա, թողնում է ընթացիկ հոսքը աշխատող։
Երկրորդ պայման. արդյոք հասանելիությունը հիմա օգտագործվում է
Կապեք ծանուցման պատուհանը փաստացի սեսիայի, հատկացված թունելի հասցեի և սարքի ինքնության հետ։ Ընդհանուր կորպորատիվ ելքը ներկայացնում է բոլորին, ովքեր գտնվում են դրա հետևում, ուստի դիտարկված հանրային հասցեն չի կարող նույնականացնել, թե որ վերջնակետն է ստեղծել հոսքը։ Այդ կապակցումն այն քայլն է, որը մարդիկ բաց են թողնում, երբ ծանուցումը ակնհայտ է թվում։
Օգտագործեք այն գրառումները, որոնք տեղակայված ծառայությունն իրականում հավաքում է, օրինակ՝ հաշվառման մեկնարկի և դադարի իրադարձությունները, որոնք սեսիան կապում են ինքնության և հասցեի հետ։ Եթե այդ գրառումները թերի են, ասեք դա զեկույցում՝ բացը հրդեհային պատի տեսքով լրացնելու փոխարեն։ Զեկույցը, որը տարանջատում է ապացույցը եզրակացությունից, ավելի լավ է դիմանում վերանայմանը, քան այն, որը չի անում։
Երրորդ պայման. ինչ պետք է վերապրի արձագանքը
Մեկուսացումը, որը ոչնչացնում է ապացույցի միակ օրինակը, երկրորդ միջադեպ է։ Պահպանեք համապատասխան մատյանները, սեսիաների գրառումները և վերջնակետի արտեֆակտները այն գործընթացի միջոցով, որը պատասխանատու է պահպանման և հասանելիության համար։ Չտեղադրեք արտահանումը տոմսի մեջ, որը կարող է կարդալ ամբողջ աջակցության թիմը։
Այնուհետև միջադեպի պատասխանատուի հետ որոշեք, թե վերջնակետի որ մասը վերակառուցել։ Կարանտինը սահմանափակում է վնասը, քանի դեռ շրջանակը պարզվում է, և այն նաև սահմանափակում է այն, ինչ արձագանքողները դեռ կարող են դիտարկել, ուստի այդ երկու նպատակները պետք է գիտակցաբար հավասարակշռվեն։
Ինչպիսին է իրականում մեկուսացումը
Արդյունավետ մեկուսացումը շերտավորված է՝ ցանցային կարանտին հասանելիության շերտում, պրոֆիլի բոլոր հավատարմագրիչների չեղարկում, սեսիայի բացահայտ դադարեցում և հաշվի ներքին թույլտվությունների սահմանափակում։ Դրանցից ցանկացածը միայնակ բաց է թողնում ուղի։
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Առաջին ժամին հերթականությունն ավելի կարևոր է, քան ամբողջականությունը։ Ջնջելուց առաջ չեղարկումը հնարավորություն է տալիս դիտել հաճախորդի արձագանքը, իսկ չեղարկումից առաջ սեսիայի դադարեցումը ցույց է տալիս՝ արդյոք դարպասն ընդհանրապես հարգում է այն։ Գրանցեք, թե որ վերահսկողությունն ինչ ազդեցություն ունեցավ։
Երթուղավորումը ծառայության որոշում է, ոչ թե մեկուսացման գործիք
Բաժանված թունելը նվազեցնում է այն, ինչ փոխադրում է գրասենյակի ելքը, իսկ ամբողջական թունելը ավելի շատ երթևեկություն է ուղղում ընտրված զննման ուղի։ Ոչ մի ռեժիմ չի հավաստագրում վերջնակետը և ոչ մեկը չի չեղարկում հավատարմագիր։
Ամբողջական թունելի ձևավորումն արժե ունենալ, երբ զննման ուղին հագեցած է հայտնաբերելու և գործելու համար, ինչը տարբեր նախագիծ է ձեր առջև եղած միջադեպից։ Միջադեպի ընթացքում ռեժիմները փոխելը հիմնականում շփոթություն է առաջացնում, թե որ մատյանը որ վարքագծին է պատկանում։ Ռեժիմը որոշեք ավելի ուշ՝ ծառայության սեփականատիրոջ և մոնիտորինգի թիմի հետ միասին։
Վերադարձի պայմանները
Մինչ սարքը կվերադառնա, գրեք վերադարձի պայմանները՝ վերականգնման այն վիճակը, որը պետք է ստուգվի, յուրաքանչյուր բացահայտված հավատարմագրի կարգավիճակը, վերջնակետի այն վերահսկիչները, որոնք պետք է հաղորդեն, և հաշվի համար անհրաժեշտ նվազագույն թույլտվությունները, այլ ոչ թե նրանք, որոնք պատահաբար եղել են։ Դասավորեք դրանք պարտադիր և ցանկալի խմբերի։ Թույլտվությունների սկզբնական հավաքածուն պահանջ չէ։
Մաքուր սկանավորումը միայն մեկ մուտք է, իսկ հաջող մուտքը ապացուցում է միայն, որ նույնականացման հոսքն աշխատել է։ Վերականգնեք հասանելիությունը փուլերով՝ հետևելով սեսիային և ռեսուրսների օգտագործմանը հաստատված պլանի համաձայն։ Նշեք մնացած ցանկացած սահմանափակման պատասխանատուին։ Եթե չարաշահումը գրասենյակի ելքի միջով հասել է գործընկերոջ, տեղեկացրեք նրան պայմանագրով պահանջվող ալիքով՝ սպասելու փոխարեն, որ ինքը նկատի։