Sýkt fartölva á VPN: einangraðu lotuna, ekki leiðina
Skipt göng breyta því hvaða vistfang áfangastaðurinn sér, ekki sýkingunni. Þrjú skilyrði ráða röð einangrunar, sönnunargagna og endurkomu.
Tilkynningar um misnotkun endapunkts koma venjulega með tilbúinni flýtileið: setja fartölvuna á skipt göng svo vistfang sem áfangastaðurinn sér breytist. Það breytir athugun, ekki sýkingu. Tækið heldur hvaða innri aðgangi sem lotan þess hefur þegar, og spilliforritið heldur áfram að keyra á vélbúnaði sem enginn hefur skoðað. Þrjú skilyrði eiga að ráða röð vinnunnar: hvað auðkenni tækisins ná enn til, hvort sá aðgangur er í notkun núna, og hvaða sönnunargögn hröð eyðing myndi eyðileggja.
Fyrsta skilyrði: hvað auðkennin ná enn til
Afturkallaður eða óvirkur reikningur er aðeins hálft svar, því biðlarinn gæti haldið skírteini, skyndiminni auðkenni, vistuðum fyrirfram deildum lykli eða vélauðkenni sem lifir af lykilorðsbreytingu. Kortlægðu hvern auðkenningarþátt sem sniðið notar áður en þú velur aðgerð. Athugaðu svo hvort varan stöðvar lotur við afturköllun eða hafnar bara nýjum.
Þar sem gáttin styður það, endaðu lotuna skýrt og staðfestu úr bókhalds- eða lotutöflunni að hún hafi horfið. Breyting sem gildir aðeins um næstu innskráningu lætur núverandi flæði halda áfram.
Annað skilyrði: er aðgangurinn í notkun núna
Tengdu viðvörunargluggann við raunverulegu lotuna, úthlutaða gönguvistfangið og auðkenni tækisins. Sameiginleg fyrirtækjautgöng tákna alla sem eru bak við hana, svo athugað opinbert vistfang getur ekki greint hvaða endapunktur bjó til flæðið. Sú tenging er skrefið sem fólk sleppir þegar viðvörunin virðist augljós.
Notaðu skrárnar sem uppsetta þjónustan safnar í raun, svo sem upphafs- og stöðvunaratburði bókhalds sem binda lotu við auðkenni og vistfang. Ef þessar skrár eru ófullnægjandi, segðu það í skýrslunni í stað þess að fylla skarðið með sjónarhorni eldveggsins. Skýrsla sem aðgreinir sönnunargögn frá ályktun stenst endurskoðun betur en sú sem gerir það ekki.
Þriðja skilyrði: hvað verður að lifa af viðbragðið
Einangrun sem eyðileggur eina eintak sönnunargagnanna er önnur atburðarás. Varðveittu viðeigandi annála, lotuskrárnar og grip endapunktsins í gegnum ferlið sem á varðveislu og aðgang. Límdu ekki útflutning inn í miða sem allt stuðningsteymið getur lesið.
Ákveddu svo með eiganda atburðarins hversu mikið af endapunktinum á að endurbyggja. Sóttkví takmarkar skaða meðan umfangið er kannað, og hún takmarkar líka það sem viðbragðsaðilar geta enn séð, svo þessi tvö markmið verður að vega meðvitað.
Hvernig einangrun lítur í raun út
Virk einangrun er lögskipt: net sóttkví á aðgangslaginu, afturköllun hvers auðkenningarþáttar sem sniðið notar, skýr stöðvun lotu og takmörkun innri heimilda sem reikningurinn hafði. Hvert þeirra eitt og sér skilur eftir opna leið.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Röðin skiptir meira máli en fullkomnun fyrstu klukkustundina. Afturköllun fyrir eyðingu gefur tækifæri til að fylgjast með viðbrögðum biðlarans, og stöðvun lotu fyrir afturköllun sýnir hvort gáttin virðir hana yfirleitt. Skráðu hvaða stýring olli hvaða áhrifum.
Leiðsögn er ákvörðun þjónustu, ekki einangrunartól
Skipt göng draga úr því sem skrifstofuútgöngin bera, og full göng setja meiri umferð í gegnum valda skoðunaleið. Hvorugur hamurinn vottar endapunktinn, og hvorugur afturkallar auðkenni.
Fullgönguhönnun er þess virði þegar skoðunaleiðin er búin því að greina og bregðast við, sem er annað verkefni en atburðarásin sem liggur fyrir þér. Að skipta um ham miðja vegu í atburðarás veldur að mestu ruglingi um hvaða annálar tilheyra hvaða hegðun. Ákveddu haminn eftir á, með eiganda þjónustunnar og vöktunarteyminu við borðið.
Skilyrði fyrir endurkomu
Skrifaðu endurkomuskilyrðin niður áður en tækið kemur til baka: lagfæringarástandið sem þarf að staðfesta, stöðu hvers útsetts auðkennis, stýringar endapunktsins sem þurfa að senda skýrslur, og lágmarksheimildirnar sem reikningurinn þarf frekar en þær sem hann hafði fyrir tilviljun. Raðaðu þeim í skilyrðislaus og æskileg. Upprunalega heimildasettið er ekki krafa.
Hreinskoðun er aðeins eitt inntak, og vel heppnuð innskráning sannar aðeins að auðkenningarferlið hafi keyrt. Endurheimtu aðgang í áföngum, fylgstu með lotunni og nýtingu auðlinda samkvæmt samþykktri áætlun. Nefndu eiganda hvers takmörkunar sem eftir er. Ef misnotkunin náði til samstarfsaðila í gegnum skrifstofuútgöngin, láttu þann aðila vita í gegnum rásina sem samningurinn krefst í stað þess að bíða eftir að hann taki eftir því.