VPN дээрх халдвар авсан зөөврийн компьютер: маршрутыг бус сессийг тусгаарла
Хуваасан туннель нь очих газар хэн чиглэлийг хардагийг өөрчилдөг, халдварыг биш. Тусгаарлалт, нотолгоо, буцаан оруулах дарааллыг гурван нөхцөл тодорхойлно.
Төгсгөлийн цэгийн урвуу ашиглалтын тухай мэдээлэл ихэвчлэн бэлэн богино замтай ирдэг: зөөврийн компьютерээ хуваасан туннельд оруулж, очих газарт харагдах хаягийг өөрчлөх. Энэ нь ажиглалтыг өөрчилдөг, халдварыг биш. Төхөөрөмж сессэдээ аль хэдийн байгаа дотоод хандалтыг хэвээр хадгалж, хортой програм хэн ч шалгаагүй техник хэрэгсэл дээр үргэлжлүүлэн ажилладаг. Ажлын дарааллыг гурван нөхцөл тодорхойлох ёстой: төхөөрөмжийн итгэмжлэл юунд хүрч байгаа, энэ хандалт яг одоо ашиглагдаж байгаа эсэх, хурдан устгал ямар нотолгоог устгах вэ.
Эхний нөхцөл: итгэмжлэл юунд хүрч байна
Цуцлагдсан эсвэл идэвхгүй болсон бүртгэл бол хариултын тал хувь, учир нь клиент гэрчилгээ, кэшлэсэн токен, хадгалсан урьдчилан хуваалцсан түлхүүр эсвэл нууц үг солигдсоны дараа ч үлддэг машины итгэмжлэлийг эзэмшиж болно. Үйлдэл сонгохын өмнө профайлын ашигладаг бүх баталгаажуулагчийг зур. Дараа нь бүтээгдэхүүн цуцлалтын үед сессийг зогсоодог уу, эсвэл зөвхөн шинийг татгалздаг уу гэдгийг шалга.
Гарц үүнийг дэмждэг газарт сессийг тодорхой дуусгаж, нягтлан бодох эсвэл сессийн хүснэгтээс энэ нь арилсныг батал. Зөвхөн дараагийн нэвтрэлтэд нөлөөлөх өөрчлөлт одоогийн урсгалыг ажиллуулсаар байлгана.
Хоёр дахь нөхцөл: хандалт одоо ашиглагдаж байна уу
Анхааруулгын цонхыг бодит сесс, олгосон туннелийн хаяг, төхөөрөмжийн таних тэмдэгтэй холбо. Хамтарсан корпорацийн гарц нь түүний ард байгаа бүх хүнийг төлөөлдөг тул ажигласан нийтийн хаяг аль төгсгөлийн цэг урсгалыг үүсгэснийг тодорхойлж чадахгүй. Анхааруулга тодорхой харагдах үед хүмүүсийн алгасдаг алхам нь яг энэ холболт юм.
Байршуулсан үйлчилгээ үнэхээр цуглуулдаг бичлэгүүдийг ашигла, жишээлбэл сессийг таних тэмдэг, хаягтай холбодог нягтлан бодох эхлэл ба зогсолтын үйл явдлууд. Хэрэв эдгээр бичлэг бүрэн бус бол галт ханын харагдацаар цоорхойг нөхөхгүйгээр тайланд тэмдэглэ. Нотолгоог дүгнэлтээс тусгаарласан тайлан нь тэгээгүйгээс хяналтад илүү тэсдэг.
Гурав дахь нөхцөл: хариу үйлдлээс юу үлдэх ёстой
Нотолгооны цорын ганц хувийг устгадаг тусгаарлалт бол хоёр дахь тохиолдол. Холбогдох лог, сессийн бичлэг, төгсгөлийн цэгийн олдворуудыг хадгалалт, хандалтыг эзэмшдэг процессоор хамгаал. Бүх дэмжлэгийн баг уншиж болох тасалбарт экспортыг нааж болохгүй.
Дараа нь тохиолдлын эзэнтэй хамт төгсгөлийн цэгийн хэр ихийг дахин бүтээхийг шийд. Карантин нь хамрах хүрээг тогтоох хооронд хохирлыг хязгаарладаг бөгөөд хариу арга хэмжээ авагчдын ажиглаж чадах зүйлийг ч хязгаарладаг тул эдгээр хоёр зорилгыг санаатай тэнцвэржүүлэх ёстой.
Тусгаарлалт бодитоор хэрхэн харагдах вэ
Үр дүнтэй тусгаарлалт нь давхаргатай: хандалтын давхарга дахь сүлжээний карантин, профайлын ашигладаг бүх баталгаажуулагчийг цуцлах, сессийг тодорхой зогсоох, бүртгэлийн дотоод эрхийг хязгаарлах. Эдгээрийн аль нэг нь ганцаараа нээлттэй зам үлдээдэг.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Эхний цагт бүрэн байдлаас илүү дараалал чухал. Устгахаас өмнө цуцлах нь клиентийн хариу үйлдлийг ажиглах боломж өгдөг, цуцлахаас өмнө сессийг зогсоох нь гарц үүнийг ер нь хүндэтгэдэг эсэхийг харуулна. Аль хяналт ямар үр дүн авчирсныг бич.
Маршрутлалт бол үйлчилгээний шийдвэр, тусгаарлалтын хэрэгсэл биш
Хуваасан туннель нь оффисын гарцын зөөдөг хэмжээг бууруулж, бүрэн туннель нь илүү их урсгалыг сонгосон шалгалтын замаар дамжуулдаг. Аль ч горим төгсгөлийн цэгийг гэрчилдэггүй, аль нь ч итгэмжлэлийг цуцалдаггүй.
Шалгалтын зам илрүүлэх, үйлдэл хийх чадвартай үед бүрэн туннелийн загвар нь үнэ цэнэтэй, энэ нь таны өмнөх тохиолдлоос өөр төсөл. Тохиолдлын дунд горим солих нь аль лог аль зан төлөвт хамаарах тухай төөрөгдөл л үүсгэдэг. Горимыг дараа нь, үйлчилгээний эзэн, хяналтын багтай хамт шийд.
Буцаан оруулах нөхцөл
Төхөөрөмж буцаж ирэхийн өмнө буцаан оруулах нөхцлийг бич: баталгаажуулах засварын төлөв, ил болсон итгэмжлэл бүрийн байдал, мэдээлэх ёстой төгсгөлийн цэгийн хяналтууд, бүртгэлд хэрэгтэй хамгийн бага эрхүүд, санамсаргүй байсан эрхүүд биш. Тэдгээрийг заавал ба шаардлагагүй гэж ангил. Анхны эрхийн багц бол шаардлага биш.
Цэвэр скан нь зөвхөн нэг оролт, амжилттай нэвтрэлт нь баталгаажуулалтын урсгал ажилласныг л нотолдог. Зөвшөөрөгдсөн төлөвлөгөөний дагуу сесс, нөөцийн хэрэглээг ажиглаж, хандалтыг үе шаттайгаар сэргээ. Үлдсэн аливаа хязгаарлалтын эзнийг нэрлэ. Хэрэв урвуу ашиглалт оффисын гарцаар түншэд хүрсэн бол тэд анзаарахыг хүлээхгүйгээр гэрээний шаардсан сувгаар мэдэгд.