ინფიცირებული ლეპტოპი VPN-ში: შეზღუდე სესია და არა მარშრუტი
გაყოფილი გვირაბი ცვლის იმას, თუ რომელი მისამართს ხედავს დანიშნულება და არა ინფექციას. სამი პირობა განსაზღვრავს იზოლაციის, მტკიცებულებებისა და დაშვების რიგს.
ვერდპოინტის ბოროტად გამოყენების შეტყობინებებს ჩვეულებრივ მოყვება შემოთავაზებული მოკლე გზა: ლეპტოპი გადაიყვანე გაყოფილ გვირაბზე, რომ შეიცვალოს მისამართი, რომელსაც დანიშნულება ხედავს. ეს ცვლის დაკვირვებას და არა ინფექციას. მოწყობილობა ინარჩუნებს ყველა შიდა წვდომას, რომელიც მის სესიას უკვე აქვს, ხოლო მავნე პროგრამა აგრძელებს მუშაობას იმ აპარატურაზე, რომელიც არავის შეუმოწმებია. სამი პირობა უნდა განსაზღვრავდეს სამუშაოს რიგს: რას აღწევს ჯერ კიდევ მოწყობილობის სერტიფიკატები, მიმდინარეობს თუ არა ეს წვდომა ახლა და რა მტკიცებულებას გაანადგურებს სწრაფი წაშლა.
პირველი პირობა: რას აღწევს ჯერ კიდევ სერტიფიკატები
გაუქმებული ან გამორთული ანგარიში მხოლოდ ნახევარი პასუხია, რადგან კლიენტს შეიძლება ჰქონდეს სერტიფიკატი, ქეშირებული ტოკენი, შენახული წინასწარ გაზიარებული გასაღები ან მანქანური სერტიფიკატი, რომელიც გადაურჩება პაროლის შეცვლას. მოქმედების არჩევამდე გაარკვიე ყველა აუთენტიფიკატორი, რომელსაც პროფილი იყენებს. შემდეგ შეამოწმე, წყვეტს თუ არა პროდუქტი სესიებს გაუქმებისას, თუ მხოლოდ ახლებს უარყოფს.
სადაც კარიბჭე ამას მხარს უჭერს, ცხადად დაასრულე სესია და დათვლის ან სესიების ცხრილიდან დაადასტურე, რომ ის გაქრა. ცვლილება, რომელიც მხოლოდ შემდეგ შესვლაზე მოქმედებს, მიმდინარე ნაკადს მუშაობის საშუალებას აძლევს.
მეორე პირობა: არის თუ არა წვდომა ახლა გამოყენებაში
დააკავშირე გაფრთხილების ფანჯარა ფაქტობრივ სესიასთან, მინიჭებულ გვირაბის მისამართთან და მოწყობილობის იდენტობასთან. საერთო კორპორატიული გასასვლელი წარმოადგენს ყველას, ვინც მის უკან არის, ამიტომ დაკვირვებული საჯარო მისამართი ვერ დაადგენს, რომელმა ვერდპოინტმა წარმოქმნა ნაკადი. სწორედ ამ დაკავშირებას გამოტოვებს ხალხი მაშინ, როცა გაფრთხილება აშკარად გამოიყურება.
გამოიყენე ის ჩანაწერები, რომლებსაც განლაგებული სერვისი რეალურად აგროვებს, მაგალითად დათვლის დაწყებისა და შეჩერების მოვლენები, რომლებიც სესიას იდენტობასა და მისამართს უკავშირებს. თუ ეს ჩანაწერები არასრულია, თქვი ამის შესახებ ანგარიშში და ნუ შეავსებ ხარვეზს ცეცხლის კედლის ხედვით. ანგარიში, რომელიც მტკიცებულებას დასკვნისგან ჰყოფს, განხილვას უკეთ უძლებს, ვიდრე ის, რომელიც ამას არ აკეთებს.
მესამე პირობა: რა უნდა გადაურჩეს რეაგირებას
იზოლაცია, რომელიც მტკიცებულების ერთადერთ ასლს ანადგურებს, მეორე ინციდენტია. შეინახე შესაბამისი ჟურნალები, სესიების ჩანაწერები და ვერდპოინტის არტეფაქტები იმ პროცესის მეშვეობით, რომელიც პასუხისმგებელია შენახვასა და წვდომაზე. ნუ ჩასვამ ექსპორტს ბილეთში, რომლის წაკითხვაც მთელ მხარდაჭერის გუნდს შეუძლია.
შემდეგ ინციდენტის მფლობელთან ერთად გადაწყვიტე, ვერდპოინტის რამდენი ნაწილი აღადგინო. კარანტინი ზღუდავს ზიანს მანამ, სანამ ფარგლები დგინდება, და ის ასევე ზღუდავს იმას, რისი დაკვირვებაც რეაგირების ჯგუფს ჯერ კიდევ შეუძლია, ამიტომ ეს ორი მიზანი განზრახ უნდა გავაწონასწოროთ.
როგორ გამოიყურება იზოლაცია სინამდვილეში
ეფექტური იზოლაცია შრეებადაა აწყობილი: ქსელური კარანტინი წვდომის შრეზე, პროფილის ყველა აუთენტიფიკატორის გაუქმება, სესიის ცხადი დასრულება და ანგარიშის შიდა ნებართვების შეზღუდვა. რომელიმე მათგანი მარტო ღია გზას ტოვებს.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
პირველ საათში რიგი უფრო მნიშვნელოვანია, ვიდრე სისრულე. წაშლამდე გაუქმება გაძლევს შანსს დააკვირდე კლიენტის რეაქციას, ხოლო გაუქმებამდე სესიის დასრულება გვიჩვენებს, საერთოდ იცავს თუ არა მას კარიბჭე. ჩაწერე, რომელმა კონტროლმა რა ეფექტი მოიტანა.
მარშრუტიზაცია სერვისის გადაწყვეტილებაა და არა იზოლაციის ინსტრუმენტი
გაყოფილი გვირაბი ამცირებს იმას, რასაც ოფისის გასასვლელი ატარებს, ხოლო სრული გვირაბი მეტ ტრაფიკს ატარებს არჩეულ შემოწმების გზაზე. არც ერთი რეჟიმი არ ამოწმებს ვერდპოინტს და არც ერთი არ აუქმებს სერტიფიკატს.
სრული გვირაბის დიზაინი ღირს, როცა შემოწმების გზა აღჭურვილია აღმოჩენისა და მოქმედებისთვის, რაც სხვა პროექტია, ვიდრე თქვენს წინ არსებული ინციდენტი. ინციდენტის შუაში რეჟიმების შეცვლა ძირითადად დაბნეულობას ქმნის იმაზე, თუ რომელი ჟურნალი რომელ ქცევას ეკუთვნის. რეჟიმი მოგვიანებით გადაწყვიტე, სერვისის მფლობელთან და მონიტორინგის გუნდთან ერთად.
დაშვების პირობები
სანამ მოწყობილობა დაბრუნდება, ჩაწერე დაშვების პირობები: გამოსწორების ის მდგომარეობა, რომელიც უნდა შემოწმდეს, ყველა გამჟღავნებული სერტიფიკატის სტატუსი, ვერდპოინტის ის კონტროლები, რომლებმაც უნდა მოგვაწოდონ ინფორმაცია, და ანგარიშისთვის საჭირო მინიმალური ნებართვები და არა ის, რაც შემთხვევით ჰქონდა. დაალაგე ისინი სავალდებულო და სასურველ ჯგუფებად. თავდაპირველი ნებართვების ნაკრები მოთხოვნა არ არის.
სუფთა სკანირება მხოლოდ ერთი შეტანაა, ხოლო წარმატებული შესვლა მხოლოდ იმას ადასტურებს, რომ აუთენტიფიკაციის პროცესი შესრულდა. აღადგინე წვდომა ეტაპობრივად, დააკვირდე სესიასა და რესურსების გამოყენებას დამტკიცებული გეგმის მიხედვით. დაასახელე ნებისმიერი დარჩენილი შეზღუდვის მფლობელი. თუ ბოროტად გამოყენებამ ოფისის გასასვლელით პარტნიორამდე მიაღწია, აცნობე მას ხელშეკრულებით მოთხოვნილი არხით და ნუ დაელოდები, სანამ თვითონ შეამჩნევს.