Заражённый ноутбук в VPN: изолируйте сессию, а не маршрут
Раздельный туннель меняет то, какой адрес видит назначение, а не заражение. Три условия определяют порядок изоляции, доказательств и допуска.
Сообщения о злоупотреблении конечной точкой обычно приходят с готовым коротким путём: перевести ноутбук на раздельный туннель, чтобы изменился адрес, видимый в пункте назначения. Это меняет наблюдение, а не заражение. Устройство сохраняет весь внутренний доступ, который уже есть у его сессии, а вредоносная программа продолжает работать на оборудовании, которое никто не осматривал. Порядок работы должны задавать три условия: до чего ещё доходят учётные данные устройства, используется ли этот доступ прямо сейчас и какие доказательства уничтожит быстрая очистка.
Первое условие: до чего ещё доходят учётные данные
Отозванная или отключённая учётная запись — это лишь половина ответа, потому что у клиента может остаться сертификат, кэшированный токен, сохранённый заранее общий ключ или учётные данные машины, которые переживут смену пароля. Прежде чем выбирать действие, составьте карту всех средств аутентификации, которые использует профиль. Затем проверьте, завершает ли продукт сессии при отзыве или только отказывает новым.
Там, где шлюз это поддерживает, завершите сессию явно и подтвердите по таблице учёта или сессий, что она исчезла. Изменение, которое влияет только на следующий вход, оставляет текущий поток работающим.
Второе условие: используется ли доступ сейчас
Сопоставьте окно оповещения с фактической сессией, назначенным адресом туннеля и идентичностью устройства. Общий корпоративный выход представляет всех, кто за ним, поэтому наблюдаемый публичный адрес не позволяет определить, какая конечная точка создала поток. Именно это сопоставление люди пропускают, когда оповещение кажется очевидным.
Используйте записи, которые развёрнутый сервис действительно собирает, например события начала и остановки учёта, связывающие сессию с идентичностью и адресом. Если эти записи неполны, скажите об этом в отчёте, а не заполняйте пробел взглядом межсетевого экрана. Отчёт, отделяющий доказательства от выводов, лучше выдерживает проверку, чем тот, который этого не делает.
Третье условие: что должно пережить ответные меры
Изоляция, уничтожающая единственную копию доказательств, — это второй инцидент. Сохраните соответствующие журналы, записи сессий и артефакты конечной точки через процесс, отвечающий за хранение и доступ. Не вставляйте экспорт в заявку, которую может прочитать вся команда поддержки.
Затем вместе с владельцем инцидента решите, какую часть конечной точки пересобрать. Карантин ограничивает ущерб, пока устанавливается охват, и он же ограничивает то, что реагирующие ещё могут наблюдать, поэтому эти две цели нужно сознательно уравновешивать.
Как изоляция выглядит на самом деле
Эффективная изоляция многослойна: сетевой карантин на уровне доступа, отзыв всех средств аутентификации, которые использует профиль, явное завершение сессии и ограничение внутренних прав, которые были у учётной записи. Любое из этого по отдельности оставляет открытый путь.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
В первый час порядок важнее полноты. Отзыв до очистки даёт шанс наблюдать реакцию клиента, а завершение сессии до отзыва показывает, соблюдает ли шлюз это вообще. Запишите, какое средство дало какой эффект.
Маршрутизация — решение сервиса, а не инструмент изоляции
Раздельный туннель уменьшает то, что несёт офисный выход, а полный туннель направляет больше трафика по выбранному пути проверки. Ни один режим не удостоверяет конечную точку, и ни один не отзывает учётные данные.
Проект полного туннеля стоит иметь, когда путь проверки оснащён для обнаружения и действий, а это уже другой проект, нежели инцидент перед вами. Смена режима посреди инцидента в основном создаёт путаницу в том, какие журналы относятся к какому поведению. Режим решайте потом, вместе с владельцем сервиса и командой мониторинга.
Условия повторного допуска
Запишите условия повторного допуска до возвращения устройства: состояние исправления, которое нужно проверить, статус каждой раскрытой учётной записи, элементы контроля конечной точки, которые должны отчитываться, и минимальные права, необходимые учётной записи, а не те, что у неё случайно были. Разделите их на обязательные и желательные. Исходный набор прав не является требованием.
Чистое сканирование — лишь один вход, а успешный вход доказывает только то, что процесс аутентификации выполнился. Восстанавливайте доступ поэтапно, следя за сессией и расходом ресурсов по утверждённому плану. Назовите владельца любого оставшегося ограничения. Если злоупотребление дошло до партнёра через офисный выход, сообщите ему по каналу, который требует договор, вместо того чтобы ждать, пока он заметит.