Geïnfecteerde laptop op de VPN: isoleer de sessie, niet de route

Meldingen over misbruik van een endpoint komen meestal met een kant-en-klare sluiproute: zet de laptop op split tunnel zodat het adres dat de bestemming ziet verandert. Dat verandert een waarneming, niet een infectie. Het apparaat behoudt alle interne toegang die zijn sessie al heeft, en de malware blijft draaien op hardware die niemand heeft onderzocht. Drie voorwaarden moeten de volgorde van het werk bepalen: wat de inloggegevens van het apparaat nog bereiken, of die toegang nu in gebruik is, en welk bewijs een snelle wisactie zou vernietigen.

Eerste voorwaarde: wat de inloggegevens nog bereiken

Een ingetrokken of uitgeschakeld account is maar de helft van het antwoord, want een client kan een certificaat, een gecacht token, een opgeslagen vooraf gedeelde sleutel of een machine-identiteit hebben die een wachtwoordwijziging overleeft. Breng elke authenticator in kaart die het profiel gebruikt voordat je een actie kiest. Controleer daarna of het product sessies beëindigt bij intrekking of alleen nieuwe weigert.

Waar de gateway het ondersteunt, beëindig de sessie expliciet en bevestig uit de accounting- of sessietabel dat hij weg is. Een wijziging die alleen de volgende login raakt, laat de huidige stroom doorlopen.

Tweede voorwaarde: is de toegang nu in gebruik

Correleer het waarschuwingsvenster met de werkelijke sessie, het toegewezen tunneladres en de identiteit van het apparaat. Een gedeelde bedrijfsuitgang vertegenwoordigt iedereen erachter, dus een waargenomen openbaar adres kan niet identificeren welk endpoint een stroom heeft veroorzaakt. Die correlatie is de stap die mensen overslaan wanneer de waarschuwing vanzelfsprekend lijkt.

Gebruik de gegevens die de uitgerolde dienst echt verzamelt, zoals start- en stopevenementen van accounting die een sessie aan een identiteit en een adres koppelen. Als die gegevens onvolledig zijn, zeg dat dan in het rapport in plaats van het gat te vullen met de firewallblik. Een rapport dat bewijs van gevolgtrekking scheidt, doorstaat een review beter dan een dat dit niet doet.

Derde voorwaarde: wat moet de reactie overleven

Indamming die de enige kopie van het bewijs vernietigt, is een tweede incident. Bewaar de relevante logs, de sessiegegevens en de artefacten van het endpoint via het proces dat retentie en toegang beheert. Plak geen export in een ticket dat het hele supportteam kan lezen.

Bepaal daarna samen met de incidenteigenaar hoeveel van het endpoint opnieuw wordt opgebouwd. Quarantaine beperkt de schade terwijl de omvang wordt vastgesteld, en beperkt ook wat de responders nog kunnen waarnemen, dus die twee doelen moeten bewust tegen elkaar worden afgewogen.

Hoe indamming er echt uitziet

Effectieve indamming is gelaagd: netwerkquarantaine op de toegangslaag, intrekking van elke authenticator die het profiel gebruikt, expliciete beëindiging van de sessie en beperking van de interne rechten die het account had. Elk daarvan afzonderlijk laat een pad open.

Het eerste uur is volgorde belangrijker dan volledigheid. Intrekken voor een wisactie geeft de kans om de reactie van de client te zien, en het beëindigen van de sessie voor intrekking laat zien of de gateway het überhaupt respecteert. Noteer welke maatregel welk effect had.

Routing is een dienstbeslissing, geen indammingsinstrument

Split tunnel vermindert wat de kantooruitgang draagt, en volledige tunnel stuurt meer verkeer door een gekozen inspectiepad. Geen van beide modi certificeert het endpoint, en geen van beide trekt een inloggegeven in.

Een volledige-tunnelontwerp is de moeite waard wanneer het inspectiepad is toegerust om te detecteren en te handelen, wat een ander project is dan het incident dat voor je ligt. Van modus wisselen midden in een incident zorgt vooral voor verwarring over welke logs bij welk gedrag horen. Bepaal de modus achteraf, met de eigenaar van de dienst en het monitoringteam erbij.

Voorwaarden voor hertoelating

Schrijf de hertoelatingsvoorwaarden op voordat het apparaat terugkomt: de herstelstatus die moet worden geverifieerd, de status van elk blootgesteld inloggegeven, de endpointmaatregelen die moeten rapporteren, en de minimale rechten die het account nodig heeft in plaats van de rechten die het toevallig had. Sorteer ze in verplicht en wenselijk. De oorspronkelijke set rechten is geen vereiste.

Een schone scan is één invoer, en een geslaagde login bewijst alleen dat de authenticatiestroom liep. Herstel de toegang in fasen en volg de sessie en het resourcegebruik volgens het goedgekeurde plan. Noem de eigenaar van elke beperking die blijft. Als het misbruik via de kantooruitgang een partner heeft bereikt, informeer die partner via het kanaal dat het contract vereist in plaats van te wachten tot hij het merkt.