Nakapasok na laptop sa VPN: kontrolin ang session, hindi ang ruta
Kapag ang nahawaang device ay nasa VPN, tapusin ang session, bawiin ang mga kredensyal at panatilihin ang ebidensya sa halip na palitan ang ruta.
Ang mga ulat ng pang-aabuso sa endpoint ay karaniwang dumarating na may kasamang iminungkahing shortcut: ilagay ang laptop sa split tunnel upang magbago ang address na nakikita sa destinasyon. Nagbabago iyon ng obserbasyon, hindi ng impeksyon. Pinapanatili ng device ang anumang panloob na access na taglay na ng session nito, at patuloy na tumatakbo ang malware sa hardware na walang sinumang nagsuri. Tatlong kondisyon ang dapat magtakda ng pagkakasunod-sunod ng trabaho: ano pa ang naaabot ng mga kredensyal ng device, kung ginagamit ba ang access na iyon ngayon, at anong ebidensya ang masisira ng mabilis na pagwipe.
Unang kondisyon: ano pa ang naaabot ng mga kredensyal
Ang binawi o hindi pinagana na account ay kalahati lamang ng sagot, dahil ang isang kliyente ay maaaring may hawak na sertipiko, naka-cache na token, naka-save na pre-shared key o kredensyal ng makina na nakakaligtas sa pagbabago ng password. I-map ang bawat authenticator na ginagamit ng profile bago pumili ng aksyon. Pagkatapos ay tingnan kung tinatapos ng produkto ang mga session sa pagbawi o tumatanggi lamang sa mga bago.
Kung saan sinusuportahan ito ng gateway, tapusin nang tahasan ang session at kumpirmahin mula sa accounting o session table na wala na ito. Ang pagbabagong nakakaapekto lamang sa susunod na login ay iniiwan ang kasalukuyang flow na tumatakbo.
Ikalawang kondisyon: ginagamit ba ang access ngayon
I-ugnay ang window ng alerto sa aktwal na session, ang itinalagang tunnel address at ang pagkakakilanlan ng device. Ang pinagsasaluhang corporate exit ay kumakatawan sa lahat ng nasa likod nito, kaya ang naobserbahang pampublikong address ay hindi makapagtukoy kung aling endpoint ang gumawa ng flow. Ang ugnayang iyon ang hakbang na nilalaktawan ng mga tao kapag ang alerto ay mukhang halata.
Gamitin ang mga rekord na talagang kinokolekta ng naka-deploy na serbisyo, tulad ng mga kaganapan ng pagsisimula at paghinto ng accounting na nag-uugnay ng session sa isang pagkakakilanlan at address. Kung ang mga rekord na iyon ay hindi kumpleto, sabihin ito sa ulat sa halip na punan ang puwang ng firewall view. Ang ulat na naghihiwalay ng ebidensya sa haka-haka ay mas mahusay na nakakapasa sa pagsusuri kaysa sa hindi.
Ikatlong kondisyon: ano ang dapat makaligtas sa tugon
Ang containment na sumisira sa tanging kopya ng ebidensya ay pangalawang insidente. Panatilihin ang mga kaugnay na log, mga rekord ng session at mga artefakto ng endpoint sa pamamagitan ng prosesong may hawak ng retention at access. Huwag i-paste ang export sa isang ticket na mababasa ng buong support team.
Pagkatapos ay magpasya kasama ng may-ari ng insidente kung gaano karami sa endpoint ang itatayo muli. Nililimitahan ng quarantine ang pinsala habang itinatatag ang saklaw, at nililimitahan din nito ang maaari pang maobserbahan ng mga responder, kaya ang dalawang layuning iyon ay dapat sadyang ipagpalit.
Ano talaga ang hitsura ng containment
Ang mabisang containment ay may mga patong: network quarantine sa access layer, pagbawi ng bawat authenticator na ginagamit ng profile, tahasang pagtatapos ng session, at paghihigpit sa mga panloob na pahintulot na hawak ng account. Ang alinman sa mga iyon nang nag-iisa ay nag-iiwan ng bukas na landas.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Mas mahalaga ang pagkakasunod-sunod kaysa sa pagkakumpleto sa unang oras. Ang pagbawi bago ang wipe ay nagbibigay ng pagkakataong makita kung paano tumutugon ang kliyente, at ang pagtatapos ng session bago ang pagbawi ay nagpapakita kung iginagalang ito ng gateway. Itala kung aling kontrol ang gumawa ng aling epekto.
Ang routing ay desisyon ng serbisyo, hindi kasangkapan sa containment
Binabawasan ng split tunnel ang dinadala ng office exit, at ang full tunnel ay nagpapadala ng mas maraming trapiko sa piniling inspection path. Wala sa dalawang mode ang nagpapatunay sa endpoint, at wala ring nagbabawi ng kredensyal.
Ang full-tunnel na disenyo ay sulit na magkaroon kapag ang inspection path ay may kakayahang tumuklas at kumilos, na ibang proyekto mula sa insidenteng nasa harap mo. Ang pagpapalit ng mode sa gitna ng insidente ay kadalasang lumilikha ng kalituhan kung aling log ang nabibilang sa aling pag-uugali. Magpasya sa mode pagkatapos, kasama ang may-ari ng serbisyo at ang monitoring team sa mesa.
Mga kondisyon para sa muling pagtanggap
Isulat ang mga kondisyon ng muling pagtanggap bago bumalik ang device: ang remediation state na dapat ma-verify, ang katayuan ng bawat nailantad na kredensyal, ang mga kontrol ng endpoint na dapat nag-uulat, at ang pinakamababang pahintulot na kailangan ng account sa halip na ang mga nangyaring mayroon ito. Pag-uri-uriin ang mga ito sa dapat at magandang magkaroon. Ang orihinal na set ng pahintulot ay hindi isang pangangailangan.
Ang malinis na scan ay isang input lamang, at ang matagumpay na login ay nagpapatunay lamang na tumakbo ang authentication workflow. Ibalik ang access nang paunti-unti, binabantayan ang session at ang paggamit ng resource sa ilalim ng aprubadong plano. Pangalanan ang may-ari ng anumang natitirang paghihigpit. Kung ang pang-aabuso ay umabot sa isang partner sa pamamagitan ng office exit, sabihin sa partner na iyon sa channel na hinihingi ng kontrata sa halip na hintayin silang mapansin ito.