Okužen prenosnik v VPN: izoliraj sejo, ne pot

Prijave zlorabe končne točke običajno pridejo s pripravljeno bližnjico: prenosnik postavi na razdeljen tunel, da se spremeni naslov, ki ga vidi cilj. To spremeni opažanje, ne okužbe. Naprava obdrži ves notranji dostop, ki ga seja že ima, zlonamerna programska oprema pa teče naprej na strojni opremi, ki je nihče ni pregledal. Vrstni red dela naj določijo trije pogoji: do česa še sežejo poverilnice naprave, ali se ta dostop prav zdaj uporablja in katere dokaze bi hitro brisanje uničilo.

Prvi pogoj: do česa še sežejo poverilnice

Preklican ali onemogočen račun je le pol odgovora, ker ima lahko odjemalec potrdilo, predpomnjen žeton, shranjen vnaprej dogovorjen ključ ali strojno poverilnico, ki preživi spremembo gesla. Pred izbiro ukrepa preslikaj vsak overitelj, ki ga profil uporablja. Nato preveri, ali izdelek ob preklicu seje konča ali le zavrne nove.

Kjer prehod to podpira, sejo izrecno končaj in potrdi iz obračunske ali sejne tabele, da je izginila. Sprememba, ki vpliva le na naslednjo prijavo, pusti trenutni tok delujoč.

Drugi pogoj: ali se dostop uporablja zdaj

Poveži okno opozorila z dejansko sejo, dodeljenim naslovom tunela in identiteto naprave. Skupni korporativni izhod predstavlja vse za njim, zato opaženi javni naslov ne more ugotoviti, katera končna točka je ustvarila tok. Prav ta povezava je korak, ki ga ljudje preskočijo, ko se opozorilo zdi očitno.

Uporabi zapise, ki jih nameščena storitev res zbira, na primer dogodke začetka in ustavitve obračuna, ki sejo vežejo na identiteto in naslov. Če so ti zapisi nepopolni, to povej v poročilu, namesto da bi vrzel zapolnil s pogledom požarnega zidu. Poročilo, ki loči dokaz od sklepa, bolje prestane pregled kot tisto, ki tega ne stori.

Tretji pogoj: kaj mora preživeti odziv

Izolacija, ki uniči edino kopijo dokazov, je drugi incident. Ohrani ustrezne dnevnike, zapise sej in artefakte končne točke skozi postopek, ki upravlja hrambo in dostop. Izvoza ne lepi v zahtevek, ki ga lahko prebere vsa ekipa za podporo.

Nato se z lastnikom incidenta odloči, kolikšen del končne točke znova zgraditi. Karantena omejuje škodo, dokler se ugotavlja obseg, in omejuje tudi, kaj lahko odzivniki še opazujejo, zato je treba ta dva cilja zavestno uravnotežiti.

Kako izolacija v resnici izgleda

Učinkovita izolacija je plastovita: omrežna karantena na ravni dostopa, preklic vsakega overitelja, ki ga profil uporablja, izrecna ukinitev seje in omejitev notranjih dovoljenj, ki jih je imel račun. Vsaka od teh sama pusti odprto pot.

V prvi uri je vrstni red pomembnejši od popolnosti. Preklic pred brisanjem da priložnost za opazovanje odziva odjemalca, ukinitev seje pred preklicem pa pokaže, ali prehod to sploh spoštuje. Zapiši, kateri nadzor je imel kakšen učinek.

Usmerjanje je odločitev storitve, ne orodje za izolacijo

Razdeljen tunel zmanjša, kar nosi pisarniški izhod, polni tunel pa pošlje več prometa po izbrani poti pregleda. Noben način ne potrjuje končne točke in noben ne prekliče poverilnice.

Zasnova polnega tunela se izplača, ko je pot pregleda opremljena za odkrivanje in ukrepanje, kar je drug projekt od incidenta pred vami. Preklapljanje načina sredi incidenta večinoma ustvari zmedo o tem, kateri dnevniki pripadajo kateremu vedenju. Način odloči pozneje, z lastnikom storitve in ekipo za nadzor.

Pogoji za ponovni sprejem

Pred vrnitvijo naprave zapiši pogoje ponovnega sprejema: stanje odprave, ki ga je treba preveriti, stanje vsake izpostavljene poverilnice, nadzore končne točke, ki morajo poročati, in najmanjša dovoljenja, ki jih račun potrebuje, ne tistih, ki jih je imel po naključju. Razvrsti jih na obvezna in zaželena. Prvotni nabor dovoljenj ni zahteva.

Čist pregled je le en vhod, uspešna prijava pa dokaže samo, da je overitveni tok stekel. Dostop obnovi po stopnjah in opazuj sejo ter porabo virov po odobrenem načrtu. Poimenuj lastnika vsake omejitve, ki ostane. Če je zloraba dosegla partnerja skozi pisarniški izhod, ga obvesti po kanalu, ki ga zahteva pogodba, namesto da čakaš, da bo opazil.