VPN에 연결된 감염 노트북: 경로가 아니라 세션을 봉쇄하라

엔드포인트 오용 신고는 대개 노트북을 분할 터널에 올려 목적지에서 보이는 주소를 바꾸라는 손쉬운 지름길과 함께 온다. 그것은 관측을 바꿀 뿐 감염을 바꾸지 않는다. 장치는 세션이 이미 가진 내부 접근을 그대로 유지하고, 악성코드는 아무도 점검하지 않은 하드웨어에서 계속 실행된다. 작업 순서는 장치 자격 증명이 여전히 무엇에 닿는지, 그 접근이 지금 사용 중인지, 빠른 초기화가 어떤 증거를 파괴하는지라는 세 가지 조건이 정해야 한다.

첫 번째 조건: 자격 증명이 여전히 닿는 곳

폐기되거나 비활성화된 계정은 답의 절반일 뿐이다. 클라이언트가 인증서, 캐시된 토큰, 저장된 사전 공유 키, 비밀번호 변경 후에도 남는 머신 자격 증명을 보유할 수 있기 때문이다. 조치를 고르기 전에 프로필이 사용하는 모든 인증 수단을 지도로 그린 뒤, 제품이 폐기 시 세션을 종료하는지 아니면 새 세션만 거부하는지 확인하라.

게이트웨이가 지원한다면 세션을 명시적으로 종료하고, 회계 또는 세션 표에서 그것이 사라졌는지 확인하라. 다음 로그인에만 영향을 주는 변경은 현재 흐름을 그대로 실행시킨다.

두 번째 조건: 그 접근이 지금 사용 중인가

경보 시간대를 실제 세션, 할당된 터널 주소, 장치 신원과 연관 지어라. 공유된 기업 출구는 그 뒤에 있는 모든 이를 대표하므로, 관측된 공인 주소만으로는 어느 엔드포인트가 흐름을 만들었는지 식별할 수 없다. 경보가 뻔해 보일 때 사람들이 건너뛰는 단계가 바로 이 연관 짓기다.

배포된 서비스가 실제로 수집하는 기록, 예를 들어 세션을 신원과 주소에 묶는 회계 시작 및 종료 이벤트를 사용하라. 그 기록이 불완전하면 방화벽 관점으로 빈틈을 메우지 말고 보고서에 그렇게 밝혀라. 증거와 추론을 분리한 보고서가 그렇지 않은 보고서보다 검토를 더 잘 견디다.

세 번째 조건: 대응 후에도 남아야 할 것

증거의 유일한 사본을 파괴하는 봉쇄는 두 번째 사건이다. 관련 로그, 세션 기록, 엔드포인트 아티팩트를 보존과 접근을 담당하는 프로세스를 통해 보존하라. 지원 팀 전체가 읽을 수 있는 티켓에 내보내기를 붙여 넣지 마라.

그런 다음 사건 책임자와 함께 엔드포인트를 얼마나 다시 만들지 결정하라. 격리는 범위가 확정되는 동안 피해를 제한하지만, 대응자가 여전히 관찰할 수 있는 것도 제한하므로 두 목표는 의식적으로 맞바꿔야 한다.

봉쇄의 실제 모습

효과적인 봉쇄는 접근 계층의 네트워크 격리, 프로필이 사용하는 모든 인증 수단의 폐기, 명시적 세션 종료, 계정이 가진 내부 권한의 제한이라는 계층으로 이루어진다. 이 중 하나만으로는 열린 경로가 남는다.

첫 한 시간에는 완전성보다 순서가 중요하다. 초기화 전에 폐기하면 클라이언트의 반응을 관찰할 기회가 생기고, 폐기 전에 세션을 종료하면 게이트웨이가 그것을 존중하는지 알 수 있다. 어떤 통제가 어떤 효과를 냈는지 기록하라.

경로 설계는 서비스의 결정이지 봉쇄 도구가 아니다

분할 터널은 사무실 출구가 운반하는 양을 줄이고, 전체 터널은 더 많은 트래픽을 선택한 검사 경로로 보낸다. 어느 모드도 엔드포인트를 인증하지 않으며, 어느 쪽도 자격 증명을 폐기하지 않는다.

검사 경로가 탐지하고 조치할 능력을 갖추었다면 전체 터널 설계는 가치가 있으며, 그것은 지금 눈앞의 사건과는 다른 프로젝트다. 사건 도중 모드를 바꾸면 어느 로그가 어느 동작에 속하는지에 대한 혼란만 커진다. 모드는 나중에 서비스 소유자와 모니터링 팀과 함께 결정하라.

복귀 조건

장치가 돌아오기 전에 검증해야 할 교정 상태, 노출된 모든 자격 증명의 상태, 보고해야 할 엔드포인트 통제, 계정이 우연히 가졌던 권한이 아니라 필요한 최소 권한이라는 복귀 조건을 적어라. 필수와 권장으로 나뇠라. 원래 권한 집합은 요구 사항이 아니다.

깨끗한 검사는 하나의 입력일 뿐이고, 성공한 로그인은 인증 흐름이 실행되었다는 것만 증명한다. 승인된 계획에 따라 세션과 자원 사용을 지켜보며 접근을 단계적으로 복원하라. 남는 제한의 책임자를 명시하라. 오용이 사무실 출구를 통해 파트너에게 닿았다면, 그들이 알아차리기를 기다리지 말고 계약이 요구하는 경로로 알려라.