Laptop bị nhiễm trên VPN: cách ly phiên, không phải tuyến đường
Đường hầm chia tách đổi địa chỉ mà đích nhìn thấy, không đổi nhiễm trùng. Ba điều kiện quyết định thứ tự cách ly, bằng chứng và tái tiếp nhận.
Báo cáo lạm dụng điểm cuối thường đến kèm một lối tắt có sẵn: đưa laptop sang đường hầm chia tách để địa chỉ thấy tại đích thay đổi. Việc đó đổi một quan sát, không đổi nhiễm trùng. Thiết bị vẫn giữ mọi quyền truy cập nội bộ mà phiên của nó đã có, và phần mềm độc hại tiếp tục chạy trên phần cứng mà chưa ai kiểm tra. Thứ tự công việc nên do ba điều kiện quyết định: thông tin đăng nhập của thiết bị còn chạm tới đâu, quyền truy cập đó có đang được dùng ngay lúc này không, và bằng chứng nào sẽ bị phá hủy bởi một lần xóa nhanh.
Điều kiện thứ nhất: thông tin đăng nhập còn chạm tới đâu
Một tài khoản bị thu hồi hoặc vô hiệu hóa chỉ là nửa câu trả lời, vì máy khách có thể giữ chứng chỉ, mã thông báo đã lưu trong bộ nhớ đệm, khóa chia sẻ trước đã lưu hoặc thông tin đăng nhập máy còn tồn tại sau khi đổi mật khẩu. Hãy lập bản đồ mọi yếu tố xác thực mà hồ sơ sử dụng trước khi chọn hành động. Sau đó kiểm tra xem sản phẩm có kết thúc phiên khi thu hồi hay chỉ từ chối phiên mới.
Ở nơi cổng hỗ trợ, hãy kết thúc phiên một cách rõ ràng và xác nhận từ bảng kế toán hoặc bảng phiên rằng nó đã biến mất. Một thay đổi chỉ ảnh hưởng lần đăng nhập kế tiếp sẽ để luồng hiện tại tiếp tục chạy.
Điều kiện thứ hai: quyền truy cập có đang được dùng
Tương quan cửa sổ cảnh báo với phiên thực tế, địa chỉ đường hầm được cấp và danh tính thiết bị. Một lối ra doanh nghiệp dùng chung đại diện cho mọi người phía sau nó, nên địa chỉ công cộng quan sát được không thể xác định điểm cuối nào đã tạo ra luồng. Chính sự tương quan đó là bước người ta bỏ qua khi cảnh báo có vẻ hiển nhiên.
Dùng những bản ghi mà dịch vụ đã triển khai thực sự thu thập, chẳng hạn sự kiện bắt đầu và dừng kế toán gắn một phiên với danh tính và địa chỉ. Nếu các bản ghi đó không đầy đủ, hãy nói rõ trong báo cáo thay vì lấp khoảng trống bằng góc nhìn tường lửa. Một báo cáo tách bằng chứng khỏi suy luận chịu được việc xem xét tốt hơn một báo cáo không làm vậy.
Điều kiện thứ ba: điều gì phải sống sót qua phản ứng
Cách ly mà phá hủy bản sao duy nhất của bằng chứng là một sự cố thứ hai. Giữ lại nhật ký liên quan, bản ghi phiên và hiện vật của điểm cuối thông qua quy trình quản lý lưu trữ và truy cập. Đừng dán bản xuất vào một phiếu mà cả nhóm hỗ trợ có thể đọc.
Sau đó cùng chủ sự cố quyết định xây dựng lại bao nhiêu phần của điểm cuối. Cách ly hạn chế thiệt hại trong khi xác định phạm vi, và nó cũng hạn chế những gì người ứng cứu còn quan sát được, nên hai mục tiêu đó phải được cân đối có chủ đích.
Cách ly thực sự trông như thế nào
Cách ly hiệu quả có nhiều lớp: cách ly mạng ở lớp truy cập, thu hồi mọi yếu tố xác thực mà hồ sơ sử dụng, kết thúc phiên một cách rõ ràng và hạn chế các quyền nội bộ mà tài khoản từng có. Bất kỳ điều nào trong số đó đứng một mình đều để lại một con đường mở.
| Condition | Act first | Defer |
|---|---|---|
| Credentials reach internal systems | Revoke and terminate the session | Endpoint rebuild |
| Access visibly in use | Quarantine, then scope the reach | Rotation of unrelated accounts |
| Evidence still on the device | Preserve artefacts, restrict read access | Reimage |
Trong giờ đầu, thứ tự quan trọng hơn sự đầy đủ. Thu hồi trước khi xóa cho cơ hội quan sát phản ứng của máy khách, và kết thúc phiên trước khi thu hồi cho thấy cổng có thực sự tôn trọng điều đó hay không. Ghi lại biện pháp nào tạo ra hiệu ứng nào.
Định tuyến là quyết định của dịch vụ, không phải công cụ cách ly
Đường hầm chia tách giảm tải cho lối ra văn phòng, còn đường hầm đầy đủ đưa nhiều lưu lượng hơn qua một đường kiểm tra đã chọn. Không chế độ nào chứng nhận điểm cuối và không chế độ nào thu hồi thông tin đăng nhập.
Thiết kế đường hầm đầy đủ đáng có khi đường kiểm tra được trang bị để phát hiện và hành động, đó là một dự án khác với sự cố trước mắt bạn. Đổi chế độ giữa sự cố chủ yếu tạo ra sự nhầm lẫn về việc nhật ký nào thuộc hành vi nào. Hãy quyết định chế độ sau đó, cùng với chủ dịch vụ và nhóm giám sát.
Điều kiện tái tiếp nhận
Viết các điều kiện tái tiếp nhận trước khi thiết bị quay lại: trạng thái khắc phục cần được xác minh, trạng thái của mọi thông tin đăng nhập bị lộ, các kiểm soát điểm cuối phải báo cáo, và các quyền tối thiểu mà tài khoản cần thay vì những quyền nó tình cờ có. Phân loại chúng thành bắt buộc và mong muốn. Bộ quyền ban đầu không phải là yêu cầu.
Một lần quét sạch chỉ là một đầu vào, và một lần đăng nhập thành công chỉ chứng minh rằng quy trình xác thực đã chạy. Khôi phục quyền truy cập theo từng giai đoạn, theo dõi phiên và mức sử dụng tài nguyên theo kế hoạch đã được phê duyệt. Nêu tên chủ của bất kỳ hạn chế nào còn lại. Nếu lạm dụng đã tới một đối tác qua lối ra văn phòng, hãy thông báo cho đối tác đó qua kênh mà hợp đồng yêu cầu thay vì chờ họ nhận ra.