Заражени лаптоп на VPN-у: задржите сесију, не руту
Када је заражени уређај на VPN-у, окончајте сесију, опозовите акредитиве и сачувајте доказе уместо да мењате руту.
Пријаве злоупотребе крајње тачке обично стижу са предложеним пречицом: ставите лаптоп на split tunnel да би се адреса виђена на одредишту променила. То мења запажање, а не инфекцију. Уређај задржава сваки интерни приступ који његова сесија већ има, а малвер наставља да ради на хардверу који нико није прегледао. Три услова треба да одреде редослед рада: до чега акредитиви уређаја још допиру, да ли је тај приступ тренутно у употреби и какве би доказе брзо брисање уништило.
Први услов: до чега акредитиви још допиру
Опозван или онемогућен налог само је пола одговора, јер клијент може да држи сертификат, кеширани токен, сачувани унапред дељени кључ или акредитив уређаја који преживљава промену лозинке. Мапирајте сваки аутентикатор који профил користи пре него што изаберете радњу. Затим проверите да ли производ окончава сесије при опозиву или само одбија нове.
Тамо где га гејтвеј подржава, експлицитно окончајте сесију и потврдите из табеле рачуноводства или сесија да је нестала. Промена која утиче само на следећу пријаву оставља тренутни ток у раду.
Други услов: да ли је приступ тренутно у употреби
Повежите прозор упозорења са стварном сесијом, додељеном адресом тунела и идентитетом уређаја. Заједнички корпоративни излаз представља све иза њега, па посматрана јавна адреса не може да идентификује која је крајња тачка произвела ток. Та корелација је корак који људи прескачу када упозорење изгледа очигледно.
Користите записе које распоређена услуга заиста прикупља, попут догађаја почетка и завршетка рачуноводства који везују сесију за идентитет и адресу. Ако су ти записи непотпуни, реците то у извештају уместо да попуњавате празнину погледом фајервола. Извештај који одваја доказ од претпоставке боље пролази преглед од оног који то не чини.
Трећи услов: шта мора да преживи одговор
Садржавање које уништава једини примерак доказа је други инцидент. Сачувајте релевантне дневнике, записе сесија и артефакте крајње тачке кроз процес који поседује чување и приступ. Не лепите извоз у тикет који цео тим за подршку може да чита.
Затим одлучите колико крајње тачке обновити са власником инцидента. Карантин ограничава штету док се обим утврђује, а такође ограничава шта одговорачи још могу да посматрају, па та два циља морају свесно да се размењују.
Како садржавање заиста изгледа
Делотворно садржавање је слојевито: мрежни карантин на слоју приступа, опозив сваког аутентикатора који профил користи, експлицитно окончање сесије и ограничење интерних дозвола које је налог имао. Било која од тога сама оставља пут отворен.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Поредак је важнији од потпуности у првом сату. Опозив пре брисања даје вам прилику да видите како клијент реагује, а окончање сесије пре опозива показује да ли га гејтвеј уопште поштује. Забележите која контрола је произвела који ефекат.
Рутирање је одлука услуге, не алат за садржавање
Split tunnel смањује шта канцеларијски излаз носи, а пуни тунел шаље више саобраћаја кроз изабрани пут прегледа. Ниједан режим не цертификује крајњу тачку, нити опозива акредитив.
Дизајн пуног тунела вреди имати када је пут прегледа опремљен да открије и да делује, што је други пројекат од инцидента пред вама. Промена режима усред инцидента углавном ствара забуну око тога који дневници припадају ком понашању. Одлучите режим касније, са власником услуге и тимом за надзор за столом.
Услови за поновно прихватање
Запишите услове поновног прихватања пре него што се уређај врати: стање санације које мора да се верификује, статус сваког изложеног акредитива, контроле крајње тачке које морају да извештавају и минималне дозволе које налог треба, а не оне које је случајно имао. Разврстајте их на обавезне и пожељне. Првобитни скуп дозвола није захтев.
Чисто скенирање је један улаз, а успешна пријава доказује само да је ток аутентификације прошао. Вратите приступ у фазама, посматрајући сесију и коришћење ресурса по одобреном плану. Именујте власника сваког преосталог ограничења. Ако је злоупотреба стигла до партнера кроз канцеларијски излаз, реците том партнеру кроз канал који уговор захтева уместо да чекате да они то примете.