14
Win10,11 Isolierung nach Infizierung
Moin,
in unserer Firma ist das Thema Sicherheit dieses Jahr stark im Fokus. Thema Client Isolierung ist jetzt präsent. Bedeutet: Client hat einen Virus und soll isoliert werden von der gesamten Infrastruktur.
Nach einigen Überlegungen meinerseits wollte ich euch fragen ob ihr euch schon mal über folgende Themen Gedanken gemacht habt / bereits eine Lösung einsetzt:
1. Client ist infiziert. Wie kann der isoliert werden?
Beispiel powershell Aktion: Firewall dicht machen, vpn löschen, host Datei nur noch dedizierte dns erlauben, nur noch gewisse routen erlauben, dns proxy? , Windows anmeldeinformationen löschen, Browser Daten löschen, cached Kerberos Tickets löschen, Laufwerke trennen, Unternehmens Programme schließen und starten von Programmen verbieten...? Wie wird das script getriggered. Gibt es alternative Lösungen? Evtl. Weitere Punkte die wichtig sein könnten?
2. Wir haben bspw webapps. Theoretisch könnte lediglich diese Adresse in der host Datei und Firewall freigegeben sein, um weiterhin in einer sauberen Umgebung zu arbeiten. Macht das Sinn? Mir fällt zumindest nichts ein was dagegen spricht.
3. Client isoliert. Und jetzt?
Remote powershell geht ja nicht mehr wenn der Client vollständig isoliert ist. Viele unserer Kollegen arbeiten von zuhause. Wie kann der Client analysiert und bereinigt werden?
Sollte in jedem Fall eine Neuinstallation erfolgen?
Wir nutzen den arctic wolf agent der viele Schädlinge erkennt und selbst eine light Isolierung vornimmt. Aber um ganz sicher zu gehen wollen wir eine eigene Lösung haben um das genauer steuern zu können. Vertrauen ist gut, Kontrolle ist besser.
Wäre happy über eure Erfahrungen / Gedanken über dieses Thema.
Vg
Celiko
in unserer Firma ist das Thema Sicherheit dieses Jahr stark im Fokus. Thema Client Isolierung ist jetzt präsent. Bedeutet: Client hat einen Virus und soll isoliert werden von der gesamten Infrastruktur.
Nach einigen Überlegungen meinerseits wollte ich euch fragen ob ihr euch schon mal über folgende Themen Gedanken gemacht habt / bereits eine Lösung einsetzt:
1. Client ist infiziert. Wie kann der isoliert werden?
Beispiel powershell Aktion: Firewall dicht machen, vpn löschen, host Datei nur noch dedizierte dns erlauben, nur noch gewisse routen erlauben, dns proxy? , Windows anmeldeinformationen löschen, Browser Daten löschen, cached Kerberos Tickets löschen, Laufwerke trennen, Unternehmens Programme schließen und starten von Programmen verbieten...? Wie wird das script getriggered. Gibt es alternative Lösungen? Evtl. Weitere Punkte die wichtig sein könnten?
2. Wir haben bspw webapps. Theoretisch könnte lediglich diese Adresse in der host Datei und Firewall freigegeben sein, um weiterhin in einer sauberen Umgebung zu arbeiten. Macht das Sinn? Mir fällt zumindest nichts ein was dagegen spricht.
3. Client isoliert. Und jetzt?
Remote powershell geht ja nicht mehr wenn der Client vollständig isoliert ist. Viele unserer Kollegen arbeiten von zuhause. Wie kann der Client analysiert und bereinigt werden?
Sollte in jedem Fall eine Neuinstallation erfolgen?
Wir nutzen den arctic wolf agent der viele Schädlinge erkennt und selbst eine light Isolierung vornimmt. Aber um ganz sicher zu gehen wollen wir eine eigene Lösung haben um das genauer steuern zu können. Vertrauen ist gut, Kontrolle ist besser.
Wäre happy über eure Erfahrungen / Gedanken über dieses Thema.
Vg
Celiko
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 6857023374
Url: https://administrator.de/contentid/6857023374
Ausgedruckt am: 21.11.2024 um 13:11 Uhr
14 Kommentare
Neuester Kommentar
Moin,
zum 2ten Punkt: Wenn auf dem Client irgendwas drauf ist was da nich hingehört (und du das eben bereits bemerkt hast) willst du dem Rechner trotzdem irgendwelche Webapps erlauben? Was also bedeutet das die Person davor fröhlich munter alle Passwörter zum Login ggf. direkt in nen Keylogger gibt? Das ggf. Kundendaten, Konto-Infos, ... (also Stammdaten der Kunden) ggf. direkt mitgespeichert werden?
Also ich wüsste schon was dagegen spricht...
zum 2ten Punkt: Wenn auf dem Client irgendwas drauf ist was da nich hingehört (und du das eben bereits bemerkt hast) willst du dem Rechner trotzdem irgendwelche Webapps erlauben? Was also bedeutet das die Person davor fröhlich munter alle Passwörter zum Login ggf. direkt in nen Keylogger gibt? Das ggf. Kundendaten, Konto-Infos, ... (also Stammdaten der Kunden) ggf. direkt mitgespeichert werden?
Also ich wüsste schon was dagegen spricht...
Moin,
einer Kiste die kompromittiert ist kann man nicht mal mehr die angezeigte Uhrzeit glauben, sie ist nicht mehr vertrauenswürdig! Netzwerkport im Switch deaktivieren und Kiste neu aufsetzen, Netzwerk reaktivieren.
Imho kannst du dir jede Aktion auf der verseuchten Kiste schenken, Du weißt ja nicht ob Deine Aktionen greifen oder ob nur angezeigt wird das sie greifen...
Ob Du dir, zu Beweiszwecken, vorher noch ein Abbild der HD ziehst oder die HD mit Warnaufkleber in den Tresor legst musst Du bzw. die Geschäftsleitung entscheiden.
einer Kiste die kompromittiert ist kann man nicht mal mehr die angezeigte Uhrzeit glauben, sie ist nicht mehr vertrauenswürdig! Netzwerkport im Switch deaktivieren und Kiste neu aufsetzen, Netzwerk reaktivieren.
Imho kannst du dir jede Aktion auf der verseuchten Kiste schenken, Du weißt ja nicht ob Deine Aktionen greifen oder ob nur angezeigt wird das sie greifen...
Ob Du dir, zu Beweiszwecken, vorher noch ein Abbild der HD ziehst oder die HD mit Warnaufkleber in den Tresor legst musst Du bzw. die Geschäftsleitung entscheiden.
Moin @Celiko,
Ja / Ja.
Schau dir mal zu dem Thema das folgende mal an ...
https://www.sophos.com/de-de/content/synchronized-security
https://techvids.sophos.com/watch/1oPK5h5UNY3D9XvpwMJDLX
funktioniert ganz gut und vor allem absolut vollautomatisch (wenn es korrekt eingerichtet wurde). 😁
Beste Grüsse aus BaWü
Alex
Nach einigen Überlegungen meinerseits wollte ich euch fragen ob ihr euch schon mal über folgende Themen Gedanken gemacht habt / bereits eine Lösung einsetzt.
Ja / Ja.
Schau dir mal zu dem Thema das folgende mal an ...
https://www.sophos.com/de-de/content/synchronized-security
https://techvids.sophos.com/watch/1oPK5h5UNY3D9XvpwMJDLX
funktioniert ganz gut und vor allem absolut vollautomatisch (wenn es korrekt eingerichtet wurde). 😁
Beste Grüsse aus BaWü
Alex
Hallo,
habe ich auch im Einsatz: Sophos XGS als Firewall mit Endpoint Security und Hardbeat.
Tut was es soll, bin zufrieden.
Jürgen
habe ich auch im Einsatz: Sophos XGS als Firewall mit Endpoint Security und Hardbeat.
Tut was es soll, bin zufrieden.
Jürgen
Bei Virenbefall die Kiste auf jedem Fall vom Netzwerk und Strom trennen. USB Sticks und FunkTastaturen und Maeuse gleich wegnehmen. Keine Uebungen mit irgendwelchen Tools durchfuehren. Wenn es dumm laeuft ist auch das Bios kompromitiert und eine Neuinstallation kann unter Umstaenden auch nicht die Sicherheit wieder zurueckbringen.
Moin,
Bei Feststellen einer Infektion sofort "Stecker" ziehen, d.h. heißt am switch oder AP trennen/deaktivieren. Image für forensische Zwecke ziehen und Kiste neu aufsetzen alles andere ist Quatsch, bzw. erhöht das Risiko, eine Epidemie zu starten.
Wenn Mitarbeiter weiterarbeiten müssen, muß man halt Ersatzrechner vorhalten, die man auf die Schnelle anwerfen kann.
lks
Bei Feststellen einer Infektion sofort "Stecker" ziehen, d.h. heißt am switch oder AP trennen/deaktivieren. Image für forensische Zwecke ziehen und Kiste neu aufsetzen alles andere ist Quatsch, bzw. erhöht das Risiko, eine Epidemie zu starten.
Wenn Mitarbeiter weiterarbeiten müssen, muß man halt Ersatzrechner vorhalten, die man auf die Schnelle anwerfen kann.
lks
2
Hi,
Egal welche Bedrohung es ist, isolieren bedeutet komplett abschotten. Also eine Gefängnis-OU in die der Client geschoben wird. Man kennt die Bedrohung ja nicht und was schon alles betroffen ist.
Den User noch online lassen würde ich auch nicht. Der hätte sicher Sendepause und müsste in die Niederlassung kommen.
Ich würde das Gerät komplett bügeln (löschen und neu aufsetzen) und nur eine vorige Datensicherung einspielen. PDF, Docx usw. sind prädestiniert dafür Teile von "Parasiten" unterzujubeln die sich dann selbst wieder zusammenbauen.
Grüße
Egal welche Bedrohung es ist, isolieren bedeutet komplett abschotten. Also eine Gefängnis-OU in die der Client geschoben wird. Man kennt die Bedrohung ja nicht und was schon alles betroffen ist.
Den User noch online lassen würde ich auch nicht. Der hätte sicher Sendepause und müsste in die Niederlassung kommen.
Ich würde das Gerät komplett bügeln (löschen und neu aufsetzen) und nur eine vorige Datensicherung einspielen. PDF, Docx usw. sind prädestiniert dafür Teile von "Parasiten" unterzujubeln die sich dann selbst wieder zusammenbauen.
Grüße
Moin
Ich bin fast zu 100% bei dir.
1. VPN-Verbindung aufbauen
2. RDP-Verbindung aufbauen
Mehr kann der Rechner nicht. Nicht mal zuhause drucken. Keine Daten kopieren, etc. sämtlicher anderer Verkehr wird auch nach Aufbau der VPN-Verbindung von der Firewall (Watchguard) geschluckt und blockiert. Und ja das Konzept Watchguard HW mit Sophos SW ist bewusst gewählt. Wird ein Homeoffice-Rechner isoliert, gibt es einen neuen.
Gruß
Doskias
Ich bin fast zu 100% bei dir.
Zitat von @mayho33:
Egal welche Bedrohung es ist, isolieren bedeutet komplett abschotten. Also eine Gefängnis-OU in die der Client geschoben wird. Man kennt die Bedrohung ja nicht und was schon alles betroffen ist.
Wir nutzen an der Stell Sophos InterceptX. Der sperrt den kompletten Netzwerkverkehr. Es gibt dann wirklich nur noch eine einzige Verbindung, die funktioniert, wenn der Rechner isoliert ist und das ist der Port zwischen dem InterceptX und seinem Kontrollzentrum. nur über das Kontrollzentrum kann die Isolierung aufgehoben werden, daher braucht es diese Verbindung. Dennoch gilt bei uns: Wird der Rechner von Sophos isoliert, dann wird das Netzwerkkabel sofort entfernt. Wir Admins bekommen eine Mail, dann laufen wir los Egal welche Bedrohung es ist, isolieren bedeutet komplett abschotten. Also eine Gefängnis-OU in die der Client geschoben wird. Man kennt die Bedrohung ja nicht und was schon alles betroffen ist.
Den User noch online lassen würde ich auch nicht. Der hätte sicher Sendepause und müsste in die Niederlassung kommen.
Sehe ich auch so, wobei hier meiner Meinung nach ein Designfehler vorliegen kann. Wir erlauben unseren Rechnern fürs Homeoffice genau 2 Dinge:1. VPN-Verbindung aufbauen
2. RDP-Verbindung aufbauen
Mehr kann der Rechner nicht. Nicht mal zuhause drucken. Keine Daten kopieren, etc. sämtlicher anderer Verkehr wird auch nach Aufbau der VPN-Verbindung von der Firewall (Watchguard) geschluckt und blockiert. Und ja das Konzept Watchguard HW mit Sophos SW ist bewusst gewählt. Wird ein Homeoffice-Rechner isoliert, gibt es einen neuen.
Ich würde das Gerät komplett bügeln (löschen und neu aufsetzen) und nur eine vorige Datensicherung einspielen. PDF, Docx usw. sind prädestiniert dafür Teile von "Parasiten" unterzujubeln die sich dann selbst wieder zusammenbauen.
Da ist der Punkt, wo ich dir widerspreche. Wir reden hier von Windows 10/11 Clients. Da wird kein Backup eingespielt, die werden sauber neu installiert. Du weißt nicht seit wann das Backup kompromittiert ist. Auf dem Client gehört nichts wichtiges. Das liegt alles auf den Servern. Also Client löschen, neu installieren. Wenn HW-Kompromittierung zu erwarten ist, gleich wegwerfen. Keine Experimente im Punkto Sicherheit.Gruß
Doskias
1
Zitat von @Lochkartenstanzer:
Moin,
Bei Feststellen einer Infektion sofort "Stecker" ziehen, d.h. heißt am switch oder AP trennen/deaktivieren. Image für forensische Zwecke ziehen und Kiste neu aufsetzen alles andere ist Quatsch, bzw. erhöht das Risiko, eine Epidemie zu starten.
Wenn Mitarbeiter weiterarbeiten müssen, muß man halt Ersatzrechner vorhalten, die man auf die Schnelle anwerfen kann.
lks
Moin,
Bei Feststellen einer Infektion sofort "Stecker" ziehen, d.h. heißt am switch oder AP trennen/deaktivieren. Image für forensische Zwecke ziehen und Kiste neu aufsetzen alles andere ist Quatsch, bzw. erhöht das Risiko, eine Epidemie zu starten.
Wenn Mitarbeiter weiterarbeiten müssen, muß man halt Ersatzrechner vorhalten, die man auf die Schnelle anwerfen kann.
lks
so isses richtig
Sehe ich genau so. Am Besten irgendwie mit einen NAC Koppeln was dann den LAN Port auf deaktiviert setzt und oder dann noch zusätzlich Benutzerkonto und Computerkonto sperren. Benutzerkonto sperren ja nach dem was es für Software war.
Client würde ich dann nicht mehr ins Netz lassen bis bereinigt.
Ich würde aber aus Forensischen Gründen die Platte nicht ÜBERSCHREIBEN sondern direkt tauschen. Dadurch werden dann keine Daten verändert oder sonstwas. So ist es die Orginale Platte
Und ne SSD kostet auch nicht die Welt.
Das Orginal zu haben ist immer besser als eine Kopie des Orginals
Client würde ich dann nicht mehr ins Netz lassen bis bereinigt.
Ich würde aber aus Forensischen Gründen die Platte nicht ÜBERSCHREIBEN sondern direkt tauschen. Dadurch werden dann keine Daten verändert oder sonstwas. So ist es die Orginale Platte
Und ne SSD kostet auch nicht die Welt.Das Orginal zu haben ist immer besser als eine Kopie des Orginals
Ich kann auch nur bisher gute Erfahrungen mit Sophos Firewall (XGS) und Endpoint Security berichten. Hatten schon einige Fälle wo der Client vom Rest des Netzwerks isoliert wurde bis auf eine Verbindung zum Sophos Central Server von wo man aus dann weitere Maßnahmen ergreifen kann. Ein physisches Trennen war nicht nötig. Das Schöne dabei ist, dass es auch mobil (Zuhause, auf Reisen etc.) funktioniert, solange eine Verbindung zum Internet besteht.
Dieses Feature möchte ich nicht mehr missen.
Dieses Feature möchte ich nicht mehr missen.
1
Vielen Dank an alle für eure feedbacks. Das hat schon mal mein Verständnis bzgl. Maßnahmen bei einer Infizierung bekräftigt die Platte auszutauschen und wirklich komplett zu isolieren und isoliert zu lassen.
Bzgl Sophos mache ich mich nochmal schlau. Ggfs bieten unsere on prem sonicwalls in unseren Standorten ähnliche Funktionen.
Unsere vpn Server stehen in Azure. Wir werden eine Software basierte Firewall von sonicwall aufbauen. Mal schauen was da möglich ist.
Ggfs mache ich mich noch schlau über weitere Software / scripte / Methoden um effektiv solche clients aus dem Verkehr zu ziehen.
Vielen dank an alle, hat mir sehr geholfen und mir gezeigt dass eine radikale Maßnahme notwendig ist um den Betrieb möglichst sicher zu halten.
Vg
Celiko
Bzgl Sophos mache ich mich nochmal schlau. Ggfs bieten unsere on prem sonicwalls in unseren Standorten ähnliche Funktionen.
Unsere vpn Server stehen in Azure. Wir werden eine Software basierte Firewall von sonicwall aufbauen. Mal schauen was da möglich ist.
Ggfs mache ich mich noch schlau über weitere Software / scripte / Methoden um effektiv solche clients aus dem Verkehr zu ziehen.
Vielen dank an alle, hat mir sehr geholfen und mir gezeigt dass eine radikale Maßnahme notwendig ist um den Betrieb möglichst sicher zu halten.
Vg
Celiko
Zitat von @Doskias:
Da ist der Punkt, wo ich dir widerspreche. Wir reden hier von Windows 10/11 Clients. Da wird kein Backup eingespielt, die werden sauber neu installiert.
Das meinte ich mit "komplett bügeln".Da ist der Punkt, wo ich dir widerspreche. Wir reden hier von Windows 10/11 Clients. Da wird kein Backup eingespielt, die werden sauber neu installiert.
Du weißt nicht seit wann das Backup kompromittiert ist. Auf dem Client gehört nichts wichtiges.
Na umso besser! Aber wie die Realität zeigt, hat der Oberboss immer das letzte Wort ...auf die eine oder andere Art. Ich habe es leider noch nie erlebt, dass nicht irgendjemand eine Ausnahme gebacken bekommt. 🤷♂️
Moin Zusammen,
wenn ein Rechner infiziert ist, dann muss dieser so schnell es geht vom Netz getrennt werden!
Ob das per NAC oder Sophos (Intercept + XGS) oder per Turnschuh geschieht, ist dabei recht irrelevant, hauptsächlich es geschieht ASAP.
Danach würde ich empfehlen, die Kiste mit einem "Win to GO" isoliert hochzufahren und mit FTK Imager ein forensisches Image von dieser zu erstellen.
Ein "Win to GO" Stick ist ratz fatz mit Rufus erstellt.
https://rufus.ie/de/
Und den FTK Imager bekommt man hier.
https://www.exterro.com/ftk-imager
Anschliessend sollte der Rechner (ohne jegliche Ausnahme) vollständig plattgemacht und neu installiert werden.
Wer sich forensisch an dem Image im Nachgang gerne austoben möchte, sollte mal ein Auge auf AUTOPSY werfen. 😉
https://www.autopsy.com/download/
Beste Grüsse aus BaWü
Alex
wenn ein Rechner infiziert ist, dann muss dieser so schnell es geht vom Netz getrennt werden!
Ob das per NAC oder Sophos (Intercept + XGS) oder per Turnschuh geschieht, ist dabei recht irrelevant, hauptsächlich es geschieht ASAP.
Danach würde ich empfehlen, die Kiste mit einem "Win to GO" isoliert hochzufahren und mit FTK Imager ein forensisches Image von dieser zu erstellen.
Ein "Win to GO" Stick ist ratz fatz mit Rufus erstellt.
https://rufus.ie/de/
Und den FTK Imager bekommt man hier.
https://www.exterro.com/ftk-imager
Anschliessend sollte der Rechner (ohne jegliche Ausnahme) vollständig plattgemacht und neu installiert werden.
Wer sich forensisch an dem Image im Nachgang gerne austoben möchte, sollte mal ein Auge auf AUTOPSY werfen. 😉
https://www.autopsy.com/download/
Beste Grüsse aus BaWü
Alex
