VPN'deki virüslü dizüstü: rotayı değil oturumu sınırla
Bölünmüş tünel hedefin hangi adresi gördüğünü değiştirir, enfeksiyonu değil. Sınırlama, kanıt ve yeniden kabul sırasını üç koşul belirler.
Uç nokta kötüye kullanım bildirimleri genellikle hazır bir kısayolla gelir: dizüstünü bölünmüş tünele al ki hedefte görülen adres değişsin. Bu bir gözlemi değiştirir, enfeksiyonu değil. Cihaz, oturumunun hâlihazırda sahip olduğu tüm iç erişimi korur ve kötü amaçlı yazılım kimsenin incelemediği donanımda çalışmaya devam eder. İşin sırasını üç koşul belirlemelidir: cihazın kimlik bilgileri hâlâ neye ulaşıyor, bu erişim şu anda kullanılıyor mu ve hızlı bir silme hangi kanıtı yok eder.
Birinci koşul: kimlik bilgileri hâlâ neye ulaşıyor
İptal edilmiş veya devre dışı bırakılmış bir hesap yanıtın yalnızca yarısıdır, çünkü istemci bir sertifika, önbelleğe alınmış bir belirteç, kaydedilmiş önceden paylaşılan anahtar veya parola değişikliğinden sonra da kalan makine kimlik bilgisi tutabilir. Eylem seçmeden önce profilin kullandığı her kimlik doğrulayıcıyı haritalayın. Ardından ürünün iptalde oturumları sonlandırdığını mı yoksa yalnızca yenileri mi reddettiğini kontrol edin.
Ağ geçidi bunu destekliyorsa oturumu açıkça sonlandırın ve muhasebe ya da oturum tablosundan gittiğini doğrulayın. Yalnızca bir sonraki oturum açmayı etkileyen bir değişiklik, mevcut akışı çalışır bırakır.
İkinci koşul: erişim şu anda kullanılıyor mu
Uyarı penceresini gerçek oturum, atanan tünel adresi ve cihaz kimliğiyle ilişkilendirin. Paylaşılan bir kurumsal çıkış, arkasındaki herkesi temsil eder, bu yüzden gözlenen genel adres bir akışı hangi uç noktanın ürettiğini tanımlayamaz. Uyarı apaçık göründüğünde insanların atladığı adım tam da bu ilişkilendirmedir.
Dağıtılan hizmetin gerçekten topladığı kayıtları kullanın, örneğin bir oturumu kimliğe ve adrese bağlayan muhasebe başlatma ve durdurma olaylarını. Bu kayıtlar eksikse boşluğu güvenlik duvarı görünümüyle doldurmak yerine raporda bunu söyleyin. Kanıtı çıkarımdan ayıran bir rapor, ayırmayan bir rapordan incelemeye daha iyi dayanır.
Üçüncü koşul: yanıttan neyin sağ çıkması gerekiyor
Kanıtın tek kopyasını yok eden sınırlama ikinci bir olaydır. İlgili günlükleri, oturum kayıtlarını ve uç nokta yapıtlarını saklama ve erişimi yöneten süreç üzerinden koruyun. Tüm destek ekibinin okuyabileceği bir bilete dışa aktarım yapıştırmayın.
Ardından olay sahibiyle uç noktanın ne kadarının yeniden kurulacağına karar verin. Karantina, kapsam belirlenirken hasarı sınırlar ve aynı zamanda müdahale edenlerin hâlâ gözleyebileceğini de sınırlar, bu yüzden bu iki amaç bilinçli olarak dengelenmelidir.
Sınırlama gerçekte nasıl görünür
Etkili sınırlama katmanlıdır: erişim katmanında ağ karantinası, profilin kullandığı her kimlik doğrulayıcının iptali, oturumun açıkça sonlandırılması ve hesabın sahip olduğu iç izinlerin kısıtlanması. Bunlardan herhangi biri tek başına açık bir yol bırakır.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
İlk saatte sıra, eksiksizlikten daha önemlidir. Silmeden önce iptal, istemcinin tepkisini gözleme fırsatı verir; iptalden önce oturumu sonlandırmak ise ağ geçidinin buna gerçekten uyup uymadığını gösterir. Hangi denetimin hangi etkiyi verdiğini kaydedin.
Yönlendirme bir hizmet kararıdır, sınırlama aracı değil
Bölünmüş tünel ofis çıkışının taşıdığını azaltır, tam tünel ise daha fazla trafiği seçilen inceleme yolundan geçirir. Hiçbir mod uç noktayı sertifikalandırmaz ve hiçbiri bir kimlik bilgisini iptal etmez.
Tam tünel tasarımı, inceleme yolu tespit ve eyleme hazır olduğunda değerlidir; bu, önünüzdeki olaydan farklı bir projedir. Olayın ortasında mod değiştirmek çoğunlukla hangi günlüğün hangi davranışa ait olduğu konusunda karışıklık yaratır. Modu sonra, hizmetin sahibi ve izleme ekibiyle birlikte kararlaştırın.
Yeniden kabul koşulları
Cihaz geri dönmeden önce yeniden kabul koşullarını yazın: doğrulanması gereken düzeltme durumu, açığa çıkan her kimlik bilgisinin durumu, rapor vermesi gereken uç nokta denetimleri ve hesabın ihtiyaç duyduğu asgari izinler, tesadüfen sahip oldukları değil. Bunları zorunlu ve istenen olarak ayırın. Özgün izin kümesi bir gereklilik değildir.
Temiz bir tarama yalnızca bir girdidir ve başarılı bir oturum açma yalnızca kimlik doğrulama akışının çalıştığını kanıtlar. Erişimi aşamalı olarak geri yükleyin; oturumu ve kaynak kullanımını onaylanmış plana göre izleyin. Kalan herhangi bir kısıtlamanın sahibini adlandırın. Kötüye kullanım ofis çıkışı üzerinden bir iş ortağına ulaştıysa, onların fark etmesini beklemek yerine sözleşmenin gerektirdiği kanaldan bilgilendirin.