Užkrėstas nešiojamasis kompiuteris VPN tinkle: izoliuokite sesiją, o ne maršrutą
Perskeltas tunelis keičia tai, kurį adresą mato paskirties taškas, o ne infekciją. Trys sąlygos nusprendžia izoliavimo, įrodymų ir grąžinimo tvarką.
Galinių taškų piktnaudžiavimo ataskaitos dažniausiai ateina su siūlomu trumpuoju keliu: įjungti nešiojamąjį kompiuterį į perskeltą tunelį, kad pasikeistų adresas, kurį mato paskirties taškas. Tai pakeičia stebėjimą, o ne infekciją. Įrenginys išlaiko visą vidinę prieigą, kurią jo sesija jau turi, o kenkėjiška programa toliau veikia aparatinėje įrangoje, kurios niekas neapžiūrėjo. Darbo tvarką turėtų nustatyti trys sąlygos: ką dar pasiekia įrenginio prisijungimo duomenys, ar ta prieiga naudojama dabar, ir kokius įrodymus sunaikintų greitas ištrynimas.
Pirmoji sąlyga: ką dar pasiekia prisijungimo duomenys
Atšaukta ar išjungta paskyra yra tik pusė atsakymo, nes klientas gali turėti sertifikatą, podėlyje saugomą žetoną, išsaugotą iš anksto bendrinamą raktą ar mašinos prisijungimo duomenis, kurie išlieka pakeitus slaptažodį. Prieš pasirinkdami veiksmą, susiekite visus autentifikatorius, kuriuos naudoja profilis. Tada patikrinkite, ar produktas atšaukimo metu nutraukia sesijas, ar tik atsisako naujų.
Kur šliuzas tai palaiko, aiškiai užbaikite sesiją ir patvirtinkite iš apskaitos ar sesijų lentelės, kad ji dingo. Pakeitimas, kuris veikia tik kitą prisijungimą, palieka dabartinį srautą veikiantį.
Antroji sąlyga: ar prieiga naudojama dabar
Susiekite įspėjimo langą su faktine sesija, priskirtu tunelio adresu ir įrenginio tapatybe. Bendra įmonės išėjimo vieta atstovauja visiems už jos, todėl stebimas viešas adresas negali nustatyti, kuris galinis taškas sukūrė srautą. Šis susiejimas yra žingsnis, kurį žmonės praleidžia, kai įspėjimas atrodo akivaizdus.
Naudokite įrašus, kuriuos įdiegta paslauga tikrai renka, pavyzdžiui, apskaitos pradžios ir pabaigos įvykius, kurie susieja sesiją su tapatybe ir adresu. Jei tie įrašai nepilni, pasakykite tai ataskaitoje, o ne užpildykite spragą ugniasienės vaizdu. Ataskaita, atskirianti įrodymus nuo išvadų, geriau atlaiko peržiūrą nei ta, kuri to nedaro.
Trečioji sąlyga: kas turi išlikti po atsako
Izoliavimas, kuris sunaikina vienintelę įrodymų kopiją, yra antras incidentas. Išsaugokite susijusius žurnalus, sesijų įrašus ir galinio taško artefaktus per procesą, kuris valdo saugojimą ir prieigą. Neįklijuokite eksporto į bilietą, kurį gali perskaityti visa palaikymo komanda.
Tada kartu su incidento savininku nuspręskite, kiek galinio taško atkurti iš naujo. Karantinas riboja žalą, kol nustatoma apimtis, ir taip pat riboja tai, ką reagavimo komanda dar gali stebėti, todėl šie du tikslai turi būti sąmoningai derinami.
Kaip iš tikrųjų atrodo izoliavimas
Veiksmingas izoliavimas yra sluoksniuotas: tinklo karantinas prieigos sluoksnyje, visų profilio naudojamų autentifikatorių atšaukimas, aiškus sesijos nutraukimas ir paskyros turėtų vidinių teisių apribojimas. Bet kuris iš jų vienas palieka atvirą kelią.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Pirmą valandą tvarka svarbesnė už išsamumą. Atšaukimas prieš ištrynimą suteikia galimybę stebėti kliento reakciją, o sesijos nutraukimas prieš atšaukimą parodo, ar šliuzas ją apskritai gerbia. Užrašykite, kuri kontrolė kokį poveikį davė.
Maršrutizavimas yra paslaugos sprendimas, o ne izoliavimo priemonė
Perskeltas tunelis sumažina, ką neša biuro išėjimas, o visas tunelis siunčia daugiau srauto pasirinktu tikrinimo keliu. Nė vienas režimas nesertifikuoja galinio taško ir nė vienas neatšaukia prisijungimo duomenų.
Viso tunelio dizainas vertas turėti, kai tikrinimo kelias yra aprūpintas aptikti ir veikti, o tai jau kitas projektas nei priešais jus esantis incidentas. Režimų keitimas incidento viduryje dažniausiai sukelia painiavą, kurie žurnalai priklauso kuriam elgesiui. Režimą nuspręskite vėliau, kartu su paslaugos savininku ir stebėjimo komanda.
Grąžinimo sąlygos
Prieš įrenginiui grįžtant, surašykite grąžinimo sąlygas: patikrinamą ištaisymo būseną, kiekvieno atskleisto prisijungimo duomens būseną, galinio taško valdiklius, kurie turi pranešti, ir minimalias teises, kurių paskyrai reikia, o ne tas, kurias ji atsitiktinai turėjo. Suskirstykite jas į būtinas ir pageidaujamas. Pradinis teisių rinkinys nėra reikalavimas.
Švarus nuskaitymas yra tik viena įvestis, o sėkmingas prisijungimas įrodo tik tai, kad autentifikavimo seka įvyko. Atkurkite prieigą etapais, stebėdami sesiją ir išteklių naudojimą pagal patvirtintą planą. Įvardykite bet kokio likusio apribojimo savininką. Jei piktnaudžiavimas pasiekė partnerį per biuro išėjimą, praneškite jam sutartyje numatytu kanalu, o ne laukite, kol jis pastebės.