Infikovaný laptop na VPN: izolujte reláciu, nie trasu
Rozdelený tunel mení, akú adresu vidí cieľ, nie infekciu. O poradí izolácie, dôkazov a opätovného prijatia rozhodujú tri podmienky.
Hlásenia o zneužití koncového bodu zvyčajne prichádzajú s pripravenou skratkou: dať laptop na rozdelený tunel, aby sa zmenila adresa viditeľná v cieli. To mení pozorovanie, nie infekciu. Zariadenie si zachováva všetok interný prístup, ktorý jeho relácia už má, a škodlivý program ďalej beží na hardvéri, ktorý nikto nepreskúmal. Poradie práce majú určiť tri podmienky: na čo ešte siaha prihlasovací údaj zariadenia, či sa tento prístup práve používa a aké dôkazy by rýchle vymazanie zničilo.
Prvá podmienka: na čo ešte siaha prihlasovací údaj
Odvolaný alebo vypnutý účet je len polovica odpovede, pretože klient môže mať certifikát, token v cache, uložený vopred zdieľaný kľúč alebo strojový prihlasovací údaj, ktorý prežije zmenu hesla. Pred výberom akcie zmapujte každý autentifikátor, ktorý profil používa. Potom skontrolujte, či produkt pri odvolaní ukončuje relácie, alebo len odmieta nové.
Kde to brána podporuje, reláciu výslovne ukončite a potvrďte z účtovnej alebo relačnej tabuľky, že zmizla. Zmena, ktorá ovplyvní len nasledujúce prihlásenie, necháva aktuálny tok bežať.
Druhá podmienka: používa sa prístup teraz
Spojte okno upozornenia so skutočnou reláciou, pridelenou adresou tunela a identitou zariadenia. Zdieľaný firemný výstup zastupuje všetkých za ním, takže pozorovaná verejná adresa nedokáže určiť, ktorý koncový bod vytvoril tok. Práve toto prepojenie ľudia preskočia, keď sa upozornenie zdá zjavné.
Použite záznamy, ktoré nasadená služba skutočne zbiera, napríklad udalosti začiatku a zastavenia účtovania, ktoré spájajú reláciu s identitou a adresou. Ak sú tie záznamy neúplné, povedzte to v správe namiesto vypĺňania medzery pohľadom firewallu. Správa, ktorá oddeľuje dôkaz od záveru, lepšie obstojí pri kontrole než tá, ktorá to nerobí.
Tretia podmienka: čo musí prežiť reakciu
Izolácia, ktorá zničí jedinú kópiu dôkazov, je druhý incident. Zachovajte príslušné záznamy, záznamy relácií a artefakty koncového bodu prostredníctvom procesu, ktorý vlastní uchovávanie a prístup. Nevkladajte export do tiketu, ktorý môže čítať celý tím podpory.
Potom sa s vlastníkom incidentu rozhodnite, akú časť koncového bodu znovu postaviť. Karanténa obmedzuje škody, kým sa určuje rozsah, a obmedzuje aj to, čo môžu zasahujúci ešte pozorovať, takže tieto dva ciele treba vedome vyvažovať.
Ako izolácia naozaj vyzerá
Účinná izolácia je vrstvená: sieťová karanténa na vrstve prístupu, odvolanie každého autentifikátora, ktorý profil používa, výslovné ukončenie relácie a obmedzenie interných oprávnení, ktoré účet mal. Každé z nich samo necháva otvorenú cestu.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
V prvej hodine je poradie dôležitejšie než úplnosť. Odvolanie pred vymazaním dáva šancu pozorovať reakciu klienta a ukončenie relácie pred odvolaním ukáže, či to brána vôbec rešpektuje. Zapíšte, ktorá kontrola mala aký účinok.
Smerovanie je rozhodnutie služby, nie nástroj izolácie
Rozdelený tunel znižuje to, čo nesie firemný výstup, a plný tunel posiela viac prevádzky vybranou cestou kontroly. Žiadny režim necertifikuje koncový bod a žiadny neodvoláva prihlasovací údaj.
Návrh plného tunela sa vyplatí, keď je cesta kontroly vybavená na odhaľovanie a konanie, čo je iný projekt než incident pred vami. Prepínanie režimu uprostred incidentu väčšinou vytvára zmätok v tom, ktoré záznamy patria ktorému správaniu. Režim rozhodnite neskôr, s vlastníkom služby a tímom monitorovania.
Podmienky opätovného prijatia
Pred návratom zariadenia zapíšte podmienky opätovného prijatia: stav nápravy, ktorý treba overiť, stav každého exponovaného prihlasovacieho údaja, kontroly koncového bodu, ktoré musia hlásiť, a minimálne oprávnenia, ktoré účet potrebuje, a nie tie, ktoré náhodou mal. Rozdeľte ich na povinné a žiaduce. Pôvodný súbor oprávnení nie je požiadavka.
Čistá kontrola je len jeden vstup a úspešné prihlásenie dokazuje iba to, že autentifikačný tok prebehol. Obnovte prístup po etapách a sledujte reláciu a spotrebu zdrojov podľa schváleného plánu. Pomenujte vlastníka každého obmedzenia, ktoré zostane. Ak sa zneužitie dostalo k partnerovi cez firemný výstup, informujte ho kanálom, ktorý vyžaduje zmluva, namiesto čakania, kým si to všimne.