Inficēts klēpjdators VPN: izolējiet sesiju, nevis maršrutu
Sadalīts tunelis maina to, kādu adresi redz galamērķis, nevis infekciju. Trīs nosacījumi nosaka izolācijas, pierādījumu un atgriešanās kārtību.
Galapunktu ļaunprātīgas izmantošanas ziņojumi parasti nāk ar gatavu īsceļu: ievietot klēpjdatoru sadalītā tunelī, lai mainītos adrese, ko redz galamērķis. Tas maina novērojumu, nevis infekciju. Ierīce saglabā jebkuru iekšējo piekļuvi, kas jau ir tās sesijai, un ļaunprogrammatūra turpina darboties aparatūrā, kuru neviens nav pārbaudījis. Darbu secību nosaka trīs nosacījumi: ko vēl sasniedz ierīces akreditācijas dati, vai šī piekļuve tiek izmantota tieši tagad, un kādus pierādījumus iznīcinātu ātra tīrīšana.
Pirmais nosacījums: ko vēl sasniedz akreditācijas dati
Atsaukts vai atspējots konts ir tikai puse atbildes, jo klientam var būt sertifikāts, kešatmiņā saglabāts marķieris, saglabāta iepriekš koplietota atslēga vai mašīnas akreditācijas dati, kas pārdzīvo paroles maiņu. Pirms darbības izvēles kartējiet katru autentifikatoru, ko izmanto profils. Pēc tam pārbaudiet, vai produkts atsaukšanas laikā pārtrauc sesijas vai tikai atsakās no jaunām.
Kur vārteja to atbalsta, skaidri beidziet sesiju un apstipriniet uzskaites vai sesiju tabulā, ka tā ir pazudusi. Izmaiņas, kas ietekmē tikai nākamo pieteikšanos, atstāj pašreizējo plūsmu darbojamies.
Otrais nosacījums: vai piekļuve tiek izmantota tagad
Saistiet brīdinājuma logu ar faktisko sesiju, piešķirto tuneļa adresi un ierīces identitāti. Kopīga uzņēmuma izeja pārstāv visus aiz tās, tāpēc novērotā publiskā adrese nevar noteikt, kurš galapunkts radīja plūsmu. Šī saistīšana ir solis, ko cilvēki izlaiž, kad brīdinājums šķiet acīmredzams.
Izmantojiet ierakstus, ko izvietotais pakalpojums patiešām vāc, piemēram, uzskaites sākuma un beigu notikumus, kas saista sesiju ar identitāti un adresi. Ja šie ieraksti ir nepilnīgi, sakiet to ziņojumā, nevis aizpildiet robu ar ugunsmūra skatu. Ziņojums, kas atdala pierādījumus no secinājumiem, labāk iztur pārskatīšanu nekā tāds, kas to nedara.
Trešais nosacījums: kam jāiztur atbilde
Izolācija, kas iznīcina vienīgo pierādījumu kopiju, ir otrs incidents. Saglabājiet attiecīgos žurnālus, sesiju ierakstus un galapunkta artefaktus, izmantojot procesu, kas pārvalda glabāšanu un piekļuvi. Neielīmējiet eksportu biļetē, ko var lasīt visa atbalsta komanda.
Pēc tam kopā ar incidenta īpašnieku izlemiet, cik lielu galapunkta daļu pārbūvēt. Karantīna ierobežo kaitējumu, kamēr tiek noteikts apjoms, un tā arī ierobežo to, ko reaģētāji vēl var novērot, tāpēc šie divi mērķi ir apzināti jāsabalansē.
Kā izolācija patiešām izskatās
Efektīva izolācija ir slāņota: tīkla karantīna piekļuves slānī, visu profila izmantoto autentifikatoru atsaukšana, skaidra sesijas pārtraukšana un konta iekšējo atļauju ierobežošana. Jebkurš no tiem viens pats atstāj atvērtu ceļu.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Pirmajā stundā kārtība ir svarīgāka par pilnīgumu. Atsaukšana pirms tīrīšanas dod iespēju novērot klienta reakciju, un sesijas pārtraukšana pirms atsaukšanas parāda, vai vārteja to vispār ievēro. Pierakstiet, kura kontrole deva kādu efektu.
Maršrutēšana ir pakalpojuma lēmums, nevis izolācijas rīks
Sadalīts tunelis samazina to, ko pārvadā biroja izeja, un pilns tunelis nosūta vairāk trafika pa izvēlēto pārbaudes ceļu. Neviens režīms nesertificē galapunktu, un neviens neatceļ akreditācijas datus.
Pilna tuneļa dizains ir tā vērts, ja pārbaudes ceļš ir aprīkots noteikšanai un rīcībai, kas ir cits projekts nekā jūsu priekšā esošais incidents. Režīmu maiņa incidenta vidū galvenokārt rada neskaidrību par to, kuri žurnāli pieder kurai uzvedībai. Režīmu izlemiet vēlāk, kopā ar pakalpojuma īpašnieku un uzraudzības komandu.
Atgriešanās nosacījumi
Pirms ierīce atgriežas, pierakstiet atgriešanās nosacījumus: pārbaudāmo labošanas stāvokli, katra atklātā akreditācijas datu statusu, galapunkta kontroles, kurām jāziņo, un minimālās atļaujas, kas kontam nepieciešamas, nevis tās, kas tam gadījās būt. Sadaliet tās obligātajās un vēlamajās. Sākotnējais atļauju kopums nav prasība.
Tīrs skenējums ir tikai viena ievade, un veiksmīga pieteikšanās pierāda tikai to, ka autentifikācijas plūsma ir izpildījusies. Atjaunojiet piekļuvi pa posmiem, vērojot sesiju un resursu izmantojumu saskaņā ar apstiprināto plānu. Nosauciet jebkura atlikušā ierobežojuma īpašnieku. Ja ļaunprātīgā izmantošana sasniedza partneri caur biroja izeju, informējiet to pa līgumā noteikto kanālu, nevis gaidiet, līdz tas pamanīs.