Laptop i infektuar në VPN: izolo sesionin, jo rrugën
Tuneli i ndarë ndryshon cilën adresë sheh destinacioni, jo infeksionin. Tre kushte përcaktojnë rendin e izolimit, provave dhe ripranimit.
Raportet e abuzimit me pikën fundore zakonisht vijnë me një shkurtore të gatshme: vendos laptopin në tunel të ndarë që adresa e parë në destinacion të ndryshojë. Kjo ndryshon një vëzhgim, jo një infeksion. Pajisja mban çdo akses të brendshëm që sesioni i saj tashmë ka, dhe malware vazhdon të ekzekutohet në harduer që askush nuk e ka ekzaminuar. Rendi i punës duhet të përcaktohet nga tre kushte: çfarë arrijnë ende kredencialet e pajisjes, nëse ky akses po përdoret tani dhe çfarë provash do të shkatërronte një fshirje e shpejtë.
Kushti i parë: çfarë arrijnë ende kredencialet
Një llogari e revokuar ose e çaktivizuar është vetëm gjysma e përgjigjes, sepse klienti mund të mbajë një certifikatë, një token të ruajtur në cache, një çelës të ruajtur të paracaktuar ose një kredencial makine që i mbijeton ndryshimit të fjalëkalimit. Përpara se të zgjidhni një veprim, hartoni çdo vërtetues që përdor profili. Pastaj kontrolloni nëse produkti i përfundon sesionet në revokim ose thjesht refuzon ata të rinj.
Aty ku porta e mbështet, përfundo sesionin në mënyrë eksplicite dhe konfirmo nga tabela e kontabilitetit ose e sesioneve se ai u zhduk. Një ndryshim që prek vetëm hyrjen e radhës e lë rrjedhën aktuale duke punuar.
Kushti i dytë: a po përdoret aksesi tani
Lidh dritaren e alarmit me sesionin real, adresën e tunelit të caktuar dhe identitetin e pajisjes. Një dalje korporative e përbashkët përfaqëson të gjithë ata pas saj, prandaj një adresë publike e vëzhguar nuk mund të identifikojë cila pikë fundore prodhoi një rrjedhë. Pikërisht kjo lidhje është hapi që njerëzit e kapërcejnë kur alarmi duket i qartë.
Përdor regjistrimet që shërbimi i vendosur mbledh vërtet, si ngjarjet e fillimit dhe ndalimit të kontabilitetit që lidhin një sesion me një identitet dhe një adresë. Nëse ato regjistrime janë të paplota, thuaje atë në raport në vend që ta plotësosh boshllëkun me pamjen e firewall-it. Një raport që ndan provën nga përfundimi i reziston rishikimit më mirë se një që nuk e bën.
Kushti i tretë: çfarë duhet t'i mbijetojë përgjigjes
Një izolim që shkatërron kopjen e vetme të provave është një incident i dytë. Ruaj regjistrat përkatës, të dhënat e sesioneve dhe artefaktet e pikës fundore përmes procesit që zotëron mbajtjen dhe aksesin. Mos e ngjit një eksport në një tiketë që mund ta lexojë i gjithë ekipi i suportit.
Pastaj vendos me pronarin e incidentit se sa e pikës fundore duhet rindërtuar. Karantina kufizon dëmin ndërsa përcaktohet shtrirja, dhe kufizon gjithashtu atë që përgjigjësit mund të vëzhgojnë ende, prandaj këto dy qëllime duhet të balancohen me vetëdije.
Si duket në të vërtetë izolimi
Izolimi efektiv është i shtresuar: karantinë rrjeti në shtresën e aksesit, revokim i çdo vërtetuesi që përdor profili, përfundim eksplicit i sesionit dhe kufizim i lejeve të brendshme që kishte llogaria. Secili prej tyre vetëm lë një rrugë të hapur.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Në orën e parë rendi ka më shumë rëndësi se plotësia. Revokimi përpara fshirjes jep mundësinë për të vëzhguar reagimin e klientit, dhe përfundimi i sesionit përpara revokimit tregon nëse porta e respekton fare. Regjistro cili kontroll dha çfarë efekti.
Rrugëtimi është vendim shërbimi, jo mjet izolimi
Tuneli i ndarë zvogëlon atë që mbart dalja e zyrës, dhe tuneli i plotë dërgon më shumë trafik nëpër një rrugë inspektimi të zgjedhur. Asnjë mënyrë nuk e certifikon pikën fundore dhe asnjëra nuk revokon një kredencial.
Një dizajn me tunel të plotë ia vlen kur rruga e inspektimit është e pajisur për të zbuluar dhe për të vepruar, çka është një projekt tjetër nga incidenti para jush. Ndryshimi i mënyrës në mes të incidentit prodhon kryesisht konfuzion se cilat regjistra i përkasin cilit sjellje. Vendos mënyrën më vonë, me pronarin e shërbimit dhe ekipin e monitorimit.
Kushtet për ripranim
Shkruaj kushtet e ripranimit përpara se pajisja të kthehet: gjendja e korrigjimit që duhet verifikuar, statusi i çdo kredenciali të ekspozuar, kontrollet e pikës fundore që duhet të raportojnë dhe lejet minimale që i duhen llogarisë, jo ato që kishte rastësisht. Renditi në të detyrueshme dhe të dëshirueshme. Grupi origjinal i lejeve nuk është kërkesë.
Një skanim i pastër është vetëm një input, dhe një hyrje e suksesshme provon vetëm se rrjedha e vërtetimit u ekzekutua. Rikthe aksesin në faza, duke vëzhguar sesionin dhe përdorimin e burimeve sipas planit të aprovuar. Emërto pronarin e çdo kufizimi që mbetet. Nëse abuzimi arriti te një partner përmes daljes së zyrës, njofto atë partner përmes kanalit që kërkon kontrata në vend që të presësh ta vërë re.