แล็ปท็อปที่ติดเชื้อบน VPN: ควบคุมเซสชัน ไม่ใช่เส้นทาง

รายงานการละเมิดปลายทางมักมาพร้อมทางลัดที่เสนอไว้ คือการวางแล็ปท็อปบน split tunnel เพื่อให้ที่อยู่ที่เห็นปลายทางเปลี่ยนไป การทำเช่นนั้นเปลี่ยนสิ่งที่สังเกต ไม่ใช่การติดเชื้อ อุปกรณ์ยังคงถือการเข้าถึงภายในที่เซสชันมีอยู่แล้ว และมัลแวร์ยังคงทำงานบนฮาร์ดแวร์ที่ไม่มีใครตรวจสอบ มีเงื่อนไขสามข้อที่ควรกำหนดลำดับงาน: ข้อมูลรับรองของอุปกรณ์ยังเข้าถึงอะไรได้บ้าง การเข้าถึงนั้นถูกใช้อยู่ในขณะนี้หรือไม่ และหลักฐานอะไรที่การล้างอย่างรวดเร็วจะทำลาย

เงื่อนไขแรก: ข้อมูลรับรองยังเข้าถึงอะไรได้บ้าง

บัญชีที่ถูกเพิกถอนหรือปิดใช้งานเป็นเพียงครึ่งเดียวของคำตอบ เพราะไคลเอนต์อาจถือใบรับรอง โทเคนที่แคชไว้ คีย์ที่แชร์ล่วงหน้าที่บันทึกไว้ หรือข้อมูลรับรองเครื่องที่อยู่รอดจากการเปลี่ยนรหัสผ่าน ให้ทำแผนที่ตัวรับรองทุกตัวที่โปรไฟล์ใช้ก่อนเลือกการดำเนินการ จากนั้นตรวจสอบว่าผลิตภัณฑ์ยุติเซสชันเมื่อเพิกถอน หรือเพียงปฏิเสธเซสชันใหม่

ในที่ที่เกตเวย์รองรับ ให้ยุติเซสชันอย่างชัดเจนและยืนยันจากตารางบัญชีหรือเซสชันว่ามันหายไปแล้ว การเปลี่ยนแปลงที่มีผลเฉพาะการเข้าสู่ระบบครั้งถัดไปจะปล่อยให้โฟลว์ปัจจุบันทำงานอยู่

เงื่อนไขที่สอง: การเข้าถึงถูกใช้อยู่หรือไม่

เชื่อมโยงหน้าต่างการแจ้งเตือนกับเซสชันจริง ที่อยู่ปลายทางอุโมงค์ที่กำหนดให้ และตัวตนของอุปกรณ์ ทางออกองค์กรที่ใช้ร่วมกันเป็นตัวแทนของทุกคนที่อยู่เบื้องหลัง ดังนั้นที่อยู่สาธารณะที่สังเกตได้ไม่สามารถระบุได้ว่าปลายทางใดสร้างโฟลว์นั้น การเชื่อมโยงนั้นคือขั้นตอนที่ผู้คนข้ามไปเมื่อการแจ้งเตือนดูชัดเจน

ใช้บันทึกที่บริการที่ติดตั้งไว้เก็บจริง เช่นเหตุการณ์เริ่มและหยุดของบัญชีที่ผูกเซสชันกับตัวตนและที่อยู่ หากบันทึกเหล่านั้นไม่ครบ ให้ระบุในรายงานแทนการเติมช่องว่างด้วยมุมมองไฟร์วอลล์ รายงานที่แยกหลักฐานออกจากการอนุมานผ่านการตรวจทานได้ดีกว่ารายงานที่ทำไม่ได้

เงื่อนไขที่สาม: อะไรต้องอยู่รอดจากการตอบสนอง

การควบคุมที่ทำลายสำเนาเดียวของหลักฐานคือเหตุการณ์ที่สอง ให้รักษาบันทึกที่เกี่ยวข้อง บันทึกเซสชัน และสิ่งของจากปลายทางผ่านกระบวนการที่เป็นเจ้าของการเก็บรักษาและการเข้าถึง อย่าวางไฟล์ส่งออกในตั๋วที่ทีมสนับสนุนทั้งหมดอ่านได้

จากนั้นตัดสินกับเจ้าของเหตุการณ์ว่าจะสร้างปลายทางใหม่มากน้อยเพียงใด การกักกันจำกัดความเสียหายระหว่างที่กำหนดขอบเขต และยังจำกัดสิ่งที่ผู้ตอบสนองยังสังเกตได้ ดังนั้นเป้าหมายสองข้อนั้นต้องแลกกันอย่างตั้งใจ

การควบคุมที่ได้ผลจริงมีหน้าตาอย่างไร

การควบคุมที่มีประสิทธิผลเป็นชั้น ๆ: การกักกันเครือข่ายที่ชั้นการเข้าถึง การเพิกถอนตัวรับรองทุกตัวที่โปรไฟล์ใช้ การยุติเซสชันอย่างชัดเจน และการจำกัดสิทธิ์ภายในที่บัญชีมีอยู่ อย่างใดอย่างหนึ่งเพียงอย่างเดียวยังทิ้งเส้นทางไว้

ลำดับสำคัญกว่าความครบถ้วนในชั่วโมงแรก การเพิกถอนก่อนการล้างให้โอกาสดูว่าไคลเอนต์ตอบสนองอย่างไร และการยุติเซสชันก่อนการเพิกถอนแสดงว่าเกตเวย์ให้ความสำคัญกับมันเลยหรือไม่ บันทึกว่าการควบคุมใดก่อให้เกิดผลใด

การกำหนดเส้นทางเป็นการตัดสินใจของบริการ ไม่ใช่เครื่องมือควบคุม

split tunnel ลดสิ่งที่ทางออกสำนักงานแบกไว้ และอุโมงค์เต็มส่งทราฟฟิกมากขึ้นผ่านเส้นทางตรวจสอบที่เลือกไว้ ไม่มีโหมดใดรับรองปลายทาง และไม่มีโหมดใดเพิกถอนข้อมูลรับรอง

การออกแบบอุโมงค์เต็มคุ้มค่าที่จะมีเมื่อเส้นทางตรวจสอบพร้อมที่จะตรวจจับและลงมือ ซึ่งเป็นโครงการที่แตกต่างจากเหตุการณ์ตรงหน้าคุณ การสลับโหมดกลางเหตุการณ์มักสร้างความสับสนว่าบันทึกใดเป็นของพฤติกรรมใด ตัดสินโหมดภายหลัง โดยมีเจ้าของบริการและทีมตรวจสอบอยู่ที่โต๊ะ

เงื่อนไขการรับกลับ

เขียนเงื่อนไขการรับกลับก่อนที่อุปกรณ์จะกลับมา: สถานะการแก้ไขที่ต้องตรวจสอบ สถานะของข้อมูลรับรองทุกตัวที่เปิดเผย การควบคุมปลายทางที่ต้องรายงาน และสิทธิ์ขั้นต่ำที่บัญชีต้องการแทนสิทธิ์ที่บังเอิญมีอยู่ จัดเรียงเป็นต้องมีและน่ามี ชุดสิทธิ์เดิมไม่ใช่ข้อกำหนด

การสแกนที่สะอาดเป็นเพียงข้อมูลนำเข้าหนึ่งอย่าง และการเข้าสู่ระบบสำเร็จพิสูจน์เพียงว่าขั้นตอนการรับรองความถูกต้องทำงาน คืนการเข้าถึงเป็นระยะ โดยเฝ้าดูเซสชันและการใช้ทรัพยากรภายใต้แผนที่ได้รับอนุมัติ ระบุเจ้าของข้อจำกัดใดที่ยังเหลืออยู่ หากการละเมิดไปถึงพันธมิตรผ่านทางออกสำนักงาน ให้แจ้งพันธมิตรนั้นผ่านช่องทางที่สัญญากำหนดแทนการรอให้พวกเขาสังเกตเอง