لپ تاپ کاری قرنطینه شده توسط CrowdStrike/SentinelOne یا قفل شده توسط یک VPN خراب در حین کار از راه دور¶

بیدار شدن در دفتر خانه، اتاق هتل یا فضای کاری راه دور و متوجه می‌شوید که لپ‌تاپ تولیدی شرکت شما «اتصال، بدون اینترنت» را در تمام شبکه‌های Wi-Fi نشان می‌دهد، از بارگیری صفحه ورود به پورتال اسیر هتل یا فرودگاه امتناع می‌کند، یا در یک صفحه آبی بی‌پایان Windows Death خراب می‌شود (BSOD) بوت لوپ (PAGE_FAULT_IN_NONPAGED_AREA یا SYSTEM_THREAD_EXCEPTION_NOT_HANDLED) یک اورژانس کار از راه دور پر خطر است. در محیط‌های سازمانی مدرن، این قفل کامل تقریباً همیشه توسط یکی از سه مکانیسم امنیتی خودکار ایجاد می‌شود: قرنطینه مهار شبکه شناسایی و پاسخ (EDR) که توسط CrowdStrike Falcon، SentinelOne، یا Microsoft Defender برای Endpoint راه اندازی می‌شود، حالت هسته خراب مانع از به‌روزرسانی سیستم عامل امنیتی درایور می‌شود Kill-Switch** همیشه روشن VPN / دسترسی به شبکه صفر اعتماد (ZTNA) (** رابط مشتری Zscaler، Cisco AnyConnect / Secure Client، Palo Alto GlobalProtect، یا Fortinet FortiClient**) تمام ترافیک محلی DNS و DHCP را تا زمانی که یک تونل ایجاد شود مسدود می کند. اگر قفل شما شامل یک حمله باج افزار فعال یا درخواست اخاذی است، با مرکز عملیات امنیتی شرکت (SOC) تماس بگیرید و با محل خود مشورت کنید. شماره های اضطراری اگر زیرساخت های حیاتی یا سیستم های ایمنی جانی تحت تأثیر قرار گیرند. برای بحران های مربوط به کار از راه دور، به راهنمای ما مراجعه کنید لپ تاپ کار دزدیده یا شکسته در سفر و بازیابی قفل MDM، کار از راه دور از هتل، و اینترنت و اتصال پشتیبان.

از آنجایی که نقاط پایانی شرکت با گذرواژه‌های محافظت از دستکاری، حساب‌های کاربری غیر مدیریتی، و Microsoft BitLocker یا macOS FileVault رمزگذاری فول دیسک سخت می‌شوند، ترفندهای عیب‌یابی استاندارد مصرف‌کننده (مانند نصب مجدد ویندوز یا حذف پوشه‌های برنامه) با شکست مواجه می‌شوند یا باعث می‌شوند که یک علامت SO بالای صفحه شما را در معرض خطر قرار دهد. با این حال، با تشخیص اینکه آیا با EDR Host Isolation، VPN Captive-Portal Deadlock یا Kernel Driver Bootloop مواجه هستید یا خیر، و از IT Helpdesk یا تیم SecOps خود درخواست دقیق 48 رقمی BitLocker Recovery Key یا Oncontaining your voice over Tone-Time** می تواند ایستگاه کاری شما را در 15 دقیقه از هر نقطه جهان بازیابی کند.

همین الان این کار را بکن¶

1. سعی نکنید لپ تاپ شرکتی را از طریق یک لینوکس غیرمجاز یا درایو USB شکسته رمز عبور پاک کنید، بازنشانی کنید یا بوت کنید. بوت کردن لپ تاپ سازمانی از درایو USB خارجی باعث راه اندازی راه اندازی ایمن UEFI و ماژول پلتفرم مورد اعتماد (TPM 2.0) بررسی یکپارچگی PCR می شود و بلافاصله یک هارد درایو BiLocker را با قفل کردن یک رقمی ارسال می کند. در لحظه اتصال مجدد لپ تاپ به مرکز عملیات امنیتی (SOC) شرکت خود هشدار دهید.
2. تعیین کنید که آیا اینترنت شما توسط قرنطینه EDR در مقابل یک بن بست کشنده سوئیچ VPN مسدود شده است یا خیر. یک Command Prompt را باز کنید (cmd.exe) یا پنجره ترمینال و اجرا کنید ping 8.8.8.8 و nslookup google.com. اگر ** هر بسته با شکست مواجه شود General failure یا Transmit failed. Error code 1231** حتی اگر نماد Wi-Fi شما می‌گوید «متصل است»، یک درایور فیلتر فایروال (اعم از EDR Network Containment یا VPN Kill-Switch سختگیرانه) همه بسته‌های خروجی را در پلتفرم فیلترینگ ویندوز حذف می‌کند (WFP) لایه.
3. اگر در هتل، کافه یا فرودگاه هستید و VPN همیشه روشن شما صفحه ورود به Wi-Fi ("بن بست مرغ و تخم مرغ پورتال اسیر") را مسدود می کند، ابتدا لپ تاپ خود را به نقطه اتصال Wi-Fi تلفن همراه هوشمند خود وصل کنید. زیرا نقطه اتصال تلفن هوشمند شما از پورتال محصور استفاده نمی کند. از طریق داده‌های تلفن همراه خود احراز هویت کنید، هر خط‌مشی به‌روزرسانی شده را حذف کنید یا رمز را از IT غیرفعال کنید، و به شما اجازه می‌دهد تا یک سری‌گذر/غیرفعال کردن رمز عبور پورتال موقت را درخواست کنید.
4. اگر لپ تاپ ویندوز شما در یک صفحه آبی بی پایان مرگ گیر کرده است (BSOD) پس از یک به روز رسانی امنیتی یک شبه bootloop کنید، دقیقاً از آن عکس بگیرید Stop Code و .sys نام فایل در پایین صفحه آبی (مانند csagent.sys یا SentinelMonitor.sys). نام فایل بلافاصله به تیم فناوری اطلاعات شما می گوید که آیا فایل کانال EDR معیوب یا درایور هسته باعث خرابی شده است یا خیر.
5. قبل از وارد شدن به Windows Safe Mode یا WinRE Command Prompt در کامپیوتر شرکتی، با IT Helpdesk روی تلفن خود تماس بگیرید و از آنها بخواهید کلید 48 رقمی بازیابی BitLocker لپ تاپ شما را بخواند یا برای شما پیامک ارسال کند (منطبق با 8 کاراکتر اول Key ID روی صفحه نمایش شما نشان داده شده است. شما نمی توانید یک خط فرمان بازیابی را باز کنید یا بدون وارد کردن آن 48 رقم، در یک لپ تاپ سازمانی رمزگذاری شده در حالت ایمن بوت شوید.
6. **اگر CrowdStrike Falcon، SentinelOne، یا Defender for Endpoint لپ‌تاپ شما را در "حفاظت شبکه" (Isolation Host) قرار داده است، اجرای اسکریپت‌ها یا انتقال فایل‌ها را متوقف کنید و از طریق تلفن با مرکز عملیات امنیتی شرکت (SOC) تماس بگیرید. روتر مسافرتی) بنابراین تحلیلگر SOC بتواند تأیید کند که مثبت کاذب است و روی "Lift Containment" از کنسول ابری (که حتی در قرنطینه به طور خودکار به لپ تاپ شما می رسد) کلیک کنید.

درخت تصمیم: تشخیص قفل و بوت لوپ شبکه لپ تاپ شرکتی¶

از این فلوچارت برای مشخص کردن دقیق اینکه کدام لایه امنیتی سازمانی لپ‌تاپ شما را قفل کرده است استفاده کنید و مسیر دقیق بازیابی را طی کنید.

flowchart TD
    A["لپ تاپ Remote Work قفل شده یا قادر به اتصال نیست"] --> B{"آیا لپ تاپ به دسکتاپ Windows / macOS بوت می شود؟"}
    B -->|"خیر: خرابی در حلقه صفحه آبی (BSOD) یا صفحه BitLocker"| C{"چه چیزی روی صفحه نمایش داده می شود؟"}
    C -->|"BSOD نامگذاری csagent.sys، SentinelMonitor.sys، یا wdfilter.sys"| D["BOOTLOOP KERNEL DRIVER: بوت در WinRE Recovery -> کلید BitLocker 48 رقمی را از IT وارد کنید -> فایل کانال معیوب را حذف کنید یا درایور را در حالت Safe Mode تغییر نام دهید."]
    C -->|"صفحه بازیابی BitLocker آبی که کلید 48 رقمی را درخواست می کند"| E["TPM PCR TRIP: همه پایه‌ها/درایوهای USB را جدا کنید -> راه‌اندازی مجدد -> اگر همچنان از شما خواسته شد، با IT Helpdesk با شناسه کلید 8 کاراکتری تماس بگیرید تا کلید بازیابی 48 رقمی را دریافت کنید."]
    B -->|"بله: به دسکتاپ بوت می شود، اما دسترسی به اینترنت / شبکه صفر است"| F{"وقتی وضعیت VPN / ZTNA و Wi-Fi را بررسی می کنید چه اتفاقی می افتد؟"}
    F -->|"در هتل/فرودگاه: Wi-Fi متصل است، اما صفحه ورود به سیستم Captive Portal باز نمی شود"| G["بن بست پورتال اسیر: ابتدا لپ تاپ را به هات اسپات تلفن هوشمند وصل کنید -> تأیید اعتبار VPN -> یا یک روتر مسافرتی را برای تکمیل ورود به پورتال در تلفن وصل کنید"]
    F -->|"Wi-Fi صفحه اصلی/نقاط اتصال وصل شد، اما پینگ 8.8.8.8 می گوید 'General Failure'"| H{"آیا سرویس گیرنده VPN در 'اتصال / Kill-Switch Active' گیر کرده است یا EDR در حال جداسازی است؟"}
    H -->|"سرویس گیرنده VPN می گوید 'قفل شبکه / سوئیچ فعال است - نمی توان به دروازه رسید'"| I["VPN KILL-SWITCH LOCK: به نقطه اتصال تلفن بروید -> یا گذرواژه غیرفعال کردن یکباره IT را در Zscaler / AnyConnect / GlobalProtect وارد کنید"]
    H -->|"VPN خاموش یا قطع است، یا پنجره بازشو امنیتی می گوید 'میزبان جدا شده است'"| J["EDR NETWORK CONTAINMENT: Wi-Fi را متصل نگه دارید -> تماس با SOC شرکتی -> ارائه نام میزبان -> SOC روی 'Lift Containment' کلیک می کند یا توکن تعمیر و نگهداری آفلاین را می دهد."]

سناریو 1: لپ تاپ قرنطینه شده توسط EDR "Network Containment" (CrowdStrike، SentinelOne، Defender)¶

لپ‌تاپ‌های سازمانی مدرن حسگرهای تشخیص و پاسخ نقطه پایانی (EDR) را به جای نرم‌افزار آنتی‌ویروس مصرف‌کننده سنتی، در سطح هسته اجرا می‌کنند. هنگامی که یک حسگر EDR رفتاری شبیه به یک حمله سایبری را تشخیص می‌دهد - مانند مهندس نرم‌افزاری که یک باینری بدون امضا را جمع‌آوری می‌کند، یک تحلیلگر داده که یک اسکریپت اتوماسیون پیچیده PowerShell یا Python را اجرا می‌کند، یک طراح صفحه‌گسترده فعال‌شده با ماکرو را باز می‌کند، یا مسافری که به یک شبکه هتل در خطر متصل می‌شود. (جداسازی میزبان)**.

چگونه قرنطینه مهار شبکه EDR را تشخیص دهیم¶

برخلاف یک افت معمولی Wi-Fi، قرنطینه EDR علائم فنی بسیار خاصی را نشان می دهد:

1. Wi-Fi "اتصال" یا "بدون اینترنت، امن" را نشان می دهد، اما دستگاه های محلی LAN نامرئی هستند: نمی توانید روتر خانگی خود را پینگ کنید (192.168.1.1)، نمی تواند در یک چاپگر شبکه محلی چاپ شود، و ping 8.8.8.8 برمی گرداند General failure یا Transmit failed فورا (<1 ms) زیرا بستر فیلترینگ ویندوز سنسور EDR (WFP) درایور callout هر بسته TCP/UDP/ICMP را قبل از اینکه به کارت Wi-Fi برسد، رهگیری کرده و رها می کند.
2. فعال دسکتاپ از راه دور، شل شدن، زوم و جلسات مرورگر به طور همزمان ثابت می شوند: در عرض 2 ثانیه از ماشه رفتاری، هر سوکت به یکباره بسته می شود.
3. ** بررسی وضعیت EDR محلی از طریق خط فرمان (بدون نیاز به حقوق سرپرست):**
4. CrowdStrike Falcon: Command Prompt را باز کنید (cmd.exe) و اجرا کنید sc query csagent. اگر نشان دهد STATE: 4 RUNNING، و دویدن netstat -ano | findstr :443 نشان می دهد که تنها فعال است ESTABLISHED اتصالات خروجی در کل لپ تاپ متعلق به CSFalconService.exe وقتی با آدرس‌های IP ابری AWS/CrowdStrike صحبت می‌کنید، میزبان شما در Falcon Network Containment است.
5. SentinelOne: به نماد بنفش محافظ SentinelOne در سینی سیستم (یا نوار منو در macOS) نگاه کنید. وقتی ایزوله می شود، وضعیت نماینده خوانده می شود Network Quarantined / Disconnected from Network by Management.
6. Microsoft Defender for Endpoint (MDE): یک نان تست اعلان امنیتی ویندوز ممکن است به طور خلاصه بیان کند "این دستگاه توسط سرپرست شما ایزوله شده است" در حالی که MsSense.exe تنها فرآیند مجاز از طریق فایروال باقی می ماند.

نحوه خارج کردن قرنطینه از راه دور (Online Cloud Release در مقابل Offline Maintenance Token)¶

دو راه وجود دارد که مرکز عملیات امنیت فناوری اطلاعات شما (SOC) می تواند قرنطینه EDR را آزاد کند:

سناریو 2: خرابی همیشه روشن VPN Kill-Switch یا بن بست ZTNA Captive-Portal¶

اگر لپ تاپ شما توسط SecOps قرنطینه نشده باشد، اما در عوض یک سرویس گیرنده Always-On VPN یا Trust Network Access (ZTNA) (Zscaler Client Connector، Cisco AnyConnect / Cisco Secure Client با Network Visibility Module، Always-On GlobalPropeectur) را اجرا کند، چه می شود. Strict Kill-Switch ("Fail-Closed" / "Block All Traffic غیر شرکتی در صورت عدم اعتماد")؟

1. حل "بن بست پورتال اسیر هتل / فرودگاه" (تله مرغ و تخم مرغ)¶

اینجاست که چرا هزاران کارگر از راه دور هر روز صبح در هتل‌ها، کافه‌ها و فرودگاه‌ها لپ‌تاپ‌هایشان را قفل می‌کنند:

• برای دسترسی به اینترنت در وای فای هتل یا فرودگاه، باید یک مرورگر وب باز کنید، از طریق HTTP/DNS به صفحه ورود به سیستم محلی هتل هدایت شوید (captive.apple.com یا neverssl.com) و شماره اتاق و نام خانوادگی خود را تایپ کنید.
• با این حال، همیشه روشن VPN Kill-Switch لپ تاپ شرکت شما می بیند که Wi-Fi هتل یک "شبکه غیر شرکتی غیرقابل اعتماد" است و بلافاصله تمام درخواست های HTTP و DNS محلی را مسدود می کند تا زمانی که تونل VPN رمزگذاری شده به دفتر مرکزی شرکت متصل شود.
• تا زمانی که شماره اتاق خود را در صفحه ورود به هتل وارد نکنید، تونل VPN نمی تواند متصل شود، و نمی توانید صفحه ورود به هتل را بارگیری کنید زیرا VPN Kill-Switch مرورگر شما را مسدود می کند.

از یکی از این چهار روش بای پس اثبات شده استفاده کنید تا فوراً بدون نیاز به حقوق مدیر از بن بست خارج شوید:

+-----------------------------------------------------------------------+
|  4 WAYS TO BREAK A VPN KILL-SWITCH CAPTIVE PORTAL DEADLOCK            |
|                                                                       |
|  METHOD 1 (Smartphone USB/Wi-Fi Tethering + MAC Clone / Travel Router)|
|  Authenticate the hotel captive portal on a pocket Travel Router      |
|  (or Android Wi-Fi Share), then connect your work laptop to the       |
|  already-authenticated router Wi-Fi.                                  |
|                                                                       |
|  METHOD 2 (Built-In Mini Captive Portal Browser Inside VPN Client)    |
|  Click the Zscaler / GlobalProtect / AnyConnect tray icon ->          |
|  Click "Captive Portal Detected / Open Login Window".                 |
|                                                                       |
|  METHOD 3 (Gateway IP Direct Entry in Browser)                        |
|  Run `ipconfig` -> Find "Default Gateway" (e.g., 10.0.0.1) ->         |
|  Type `http://10.0.0.1` directly into Edge/Chrome address bar.        |
|                                                                       |
|  METHOD 4 (Authenticate on Phone First -> Call IT for Disable Code)   |
|  Tether laptop to Phone Cellular Data -> Get Zscaler/VPN Disable      |
|  Password from IT -> Pause VPN for 10 min -> Join Hotel Wi-Fi.        |
+-----------------------------------------------------------------------+

1. روش 1 - ترفند پل وای فای تلفن هوشمند یا مسیریاب مسافرتی جیبی (100 درصد مواقع کار می کند):
2. لپ‌تاپ کاری شما نمی‌تواند تفاوت بین شبکه Wi-Fi هتل تایید نشده و روتر شخصی که از قبل وارد پورتال هتل شده است را تشخیص دهد.
3. اگر تلفن Android (اشتراک گذاری Wi-Fi) دارید: تلفن Android خود را به وای فای هتل وصل کنید، ورود به پورتال محرمانه شماره اتاق را روی صفحه گوشی خود کامل کنید، سپس موبایل هات اسپات تلفن خود را روشن کنید (تلفن های مدرن پیکسل/اندروید سامسونگ از ** پخش همزمان Wi-Fi Repeater از طریق Wi-Fi تلفن شما، پخش کننده Wi-Fi تلفن شما / Wi--* هات اسپات با استفاده از داده های سلولی صفر). لپ تاپ کاری خود را به نقطه اتصال تلفن خود وصل کنید: VPN فوراً متصل می شود.
4. اگر یک روتر مسافرتی جیبی حمل می کنید (مانند GL.iNet Beryl/Slate؛ رجوع کنید به کار از راه دور از هتل): روتر سفر را به Wi-Fi هتل وصل کنید، با استفاده از مرورگر تلفن هوشمند خود، ورود به هتل را کامل کنید و لپ تاپ کاری خود را به WPA3 Wi-Fi یا پورت اترنت روتر مسافرتی خود وصل کنید.
5. روش 2 - IP دروازه پیش فرض محلی را مستقیماً در مرورگر خود تایپ کنید (http://10.x.x.x):
6. اغلب، پروکسی VPN Kill-Switch یا Zscaler DNS فقط جستجوی نام دامنه DNS را ربوده است (مسدود کردن neverssl.com یا google.com)، در حالی که همچنان به بسته های IP زیرشبکه محلی خام اجازه می دهد تا پس از ارتباط Wi-Fi به مدت 60 ثانیه به دروازه روتر محلی برسند.
7. باز کردن خط فرمان (cmd.exe) تایپ کنید ipconfig، و به آدرس IP Gateway پیش فرض در زیر نگاه کنید Wireless LAN adapter Wi-Fi (مثلا 172.16.0.1 یا 192.168.20.1).
8. مرورگر خود را باز کنید و تایپ کنید http://172.16.0.1 (با استفاده از http://، هرگز https://و اعداد دقیق از دروازه پیش فرض شما) مستقیماً در نوار آدرس. این به طور مستقیم با IP بدون نیاز به رزولوشن DNS به کنترلر پورتال اسیر هتل برخورد می‌کند و صفحه ورود به سیستم ظاهر می‌شود.
9. روش 3 - از دکمه Zscaler / GlobalProtect / AnyConnect "Open Captive Portal" یا راه اندازی مجدد سرویس استفاده کنید:
10. در Zscaler Client Connector (ZCC): پنجره Zscaler را از سینی سیستم باز کنید، روی ** کلیک کنید.More** -> Troubleshoot -> Restart Service (که نیازی به رمز عبور ندارد و یک پنجره کوتاه 30 ثانیه ای شناسایی پورتال در حین شروع مجدد باز می کند).
11. در Palo Alto GlobalProtect: روی منوی سه خطی در سمت راست بالای سینی بازشو GlobalProtect کلیک کنید -> Settings -> General -> اگر وضعیت می گوید "Captive Portal Detected" روی آبی کلیک کنید **Remediateدکمه ** برای راه اندازی مینی مرورگر جعبه شنی GlobalProtect.

2. رفع «آداپتور VPN Zombie / Loopback DNS شکسته (127.0.0.1 یا 100.64.0.1)" پس از یک تصادف¶

اگر با وای فای معمولی خود در خانه هستید، و پس از اینکه باتری لپ تاپ در حین اتصال به VPN شرکتی از بین رفت یا خراب شد، لپ تاپ شما با رزولوشن DNS صفر راه اندازی می شود (وب سایت ها می گویند؟) DNS_PROBE_FINISHED_NXDOMAIN، و حتی نمی توانید نام دامنه سرور VPN شرکتی را برای اتصال مجدد VPN حل کنید)؟

این زمانی اتفاق می‌افتد که یک سرویس گیرنده VPN بدون بازیابی تنظیمات DNS کارت Wi-Fi شما از کار می‌افتد و آداپتور شبکه شما برای همیشه به سمت یک IP تونل مجازی مرده قرار می‌گیرد (100.64.0.1 برای Zscaler/Tailscale CGNAT یا 127.0.0.1):

1. ** کش ویندوز DNS و کاتالوگ Winsock را شستشو دهید (بدون حقوق مدیر برای DNS Flush کار می کند):**
2. Command Prompt را باز کرده و اجرا کنید ipconfig /flushdns.
3. اجرا کنید nslookup vpn.yourcompany.com 8.8.8.8 (تعویض vpn.yourcompany.com با نام میزبان دروازه VPN شرکت شما). با الحاق 8.8.8.8 تا پایان nslookup دستور، شما حل‌کننده DNS محلی خراب لپ‌تاپ خود را دور می‌زنید و مستقیماً از DNS عمومی Google استعلام می‌کنید (اگر پورت 53 باز است) تا آدرس IP عددی خام دروازه VPN شرکت خود را بیاموزید.
4. ** با استفاده از آدرس IP عددی خام آن به دروازه VPN شرکتی متصل شوید:**
5. اگر Cisco AnyConnect یا GlobalProtect با "نمی توان آدرس سرور را حل کرد"، آدرس IP عددی خام را جایگذاری کنید (203.0.113.50) مستقیماً در جعبه سرور VPN (در صورت مجاز بودن خط مشی) یا با IT تماس بگیرید تا یک Zscaler / VPN App-Profile Disable Password برای تنظیم مجدد آداپتور شبکه مجازی (ncpa.cpl).

سناریوی 3: بازیابی از صفحه آبی درایور هسته EDR (BSOD) بوت لوپ¶

در جولای 2024، یک به‌روزرسانی پیکربندی کانال نامعتبر به سنسور Windows CrowdStrike Falcon (csagent.sys / Channel File 291)** باعث شد 8.5 میلیون دستگاه ویندوز سازمانی در سراسر جهان در یک لحظه از کار بیفتند. PAGE_FAULT_IN_NONPAGED_AREA قبل از اینکه سیستم عامل حتی بتواند برای دانلود یک راه حل به اینترنت متصل شود، بوت لوپ صفحه آبی مرگ را انجام دهد. بوت لوپ های مشابه به صورت دوره ای زمانی اتفاق می افتد که SentinelOne (SentinelMonitor.sys)، میکروسافت دیفندر (WdFilter.sys)، یا درایورهای فیلتر VPN NDIS با به روز رسانی تجمعی ویندوز برخورد می کنند.

زیرا درایور خراب به صورت ** پیکربندی شده استBOOT_START (Start = 0) درایور هسته**، ویندوز آن را در اولین ثانیه راه‌اندازی در حافظه بارگذاری می‌کند - مدت‌ها قبل از راه‌اندازی مدیریت Wi-Fi یا ابری. تنها راه رفع الف BOOT_START بوت لوپ درایور هسته به صورت محلی از طریق محیط بازیابی ویندوز (WinRE).

+-----------------------------------------------------------------------+
|  HOW TO BREAK AN EDR KERNEL DRIVER BSOD BOOTLOOP VIA WinRE            |
|                                                                       |
|  1. Force-interrupt boot 2-3 times (or hold Shift + Restart on        |
|     Recovery screen) until "Choose an option" blue menu appears.      |
|  2. Click Troubleshoot -> Advanced options -> Command Prompt          |
|     (or Startup Settings -> F4/F5 Safe Mode).                         |
|  3. Read the 8-character "Recovery Key ID" on screen to your IT       |
|     Helpdesk over the phone -> Type the 48-digit BitLocker Key.       |
|  4. In WinRE Command Prompt, locate the Windows partition (`C:` or    |
|     `D:`), delete the corrupted `.sys` channel file or rename the     |
|     faulty driver folder, and type `wpeutil reboot`.                  |
+-----------------------------------------------------------------------+

بازیابی گام به گام محلی WinRE (با راهنمای IT Help Desk بر روی تلفن)¶

1. ** وارد محیط بازیابی ویندوز شوید (WinRE):**
2. پس از دو بوت ناموفق متوالی، ویندوز 10 و ویندوز 11 به طور خودکار صفحه آبی رنگ بازیابی ("به نظر می رسد ویندوز به درستی بارگیری نشده است") را نمایش می دهند.
3. کلیک کنید See advanced repair options -> Troubleshoot -> Advanced options -> Command Prompt (که سریعتر است و نیاز به راه اندازی مجدد کمتری نسبت به حالت ایمن دارد).
4. درایو رمزگذاری شده را با کلید بازیابی BitLocker 48 رقمی خود باز کنید:
5. از آنجایی که هارد دیسک شرکتی شما با BitLocker رمزگذاری شده است، WinRE بلافاصله یک صفحه آبی نشان می دهد که در آن بیان می کند: "کلید بازیابی را برای این درایو وارد کنید" همراه با شناسه کلید (8 کاراکتر هگزا دسیمال، مانند A1B2C3D4).
6. در تلفن هوشمند خود با دفتر راهنمای IT شرکت خود تماس بگیرید، نام میزبان/برچسب دارایی لپ تاپ و شناسه کلید BitLocker 8 کاراکتری را برای آنها بخوانید، و از تکنسین بخواهید کلید بازیابی عددی BitLocker 48 رقمی (گروه بندی شده در هشت بلوک 6 رقمی) را بازخوانی کند. 48 رقم را با دقت تایپ کرده و فشار دهید Enter.
7. ** مشخص کنید کدام حرف درایو نصب ویندوز شما را در WinRE نگه می دارد:**
8. در داخل محیط بازیابی WinRE، درایو اصلی ویندوز شما اغلب به درایو اختصاص داده می شود D: یا E: به جای C: (زیرا پارتیشن پنهان EFI/Recovery می گیرد C:).
9. تایپ کنید dir C:\Windows و فشار دهید Enter. اگر می گوید File Not Found، نوع dir D:\Windows تا زمانی که نامه درایو حاوی خود را پیدا کنید Windows پوشه
10. ** حذف فایل کانال مجاز توسط فروشنده یا تغییر نام درایور (طبق دستورالعمل های IT):**
11. ** برای به روز رسانی فایل کانال CrowdStrike خراب:** به فهرست راهنمای درایور CrowdStrike بروید (cd /d C:\Windows\System32\drivers\CrowdStrike یا D:\Windows\System32\drivers\CrowdStrike، فایل کانال خراب مشخص شده توسط تیم فناوری اطلاعات خود را تأیید کنید (به عنوان مثال، del C-00000291*.sys) و فشار دهید Enter. چون کانال .sys فایل‌ها به‌جای هسته، به‌روزرسانی قوانین پویا هستند csagent.sys موتور، حذف یک فایل کانال خراب به ویندوز و سنسور فالکون اجازه می دهد تا به طور تمیز بوت شوند و فایل کانال ثابت را از ابر دانلود کنند.
12. برای یک VPN شخص ثالث فاسد یا درایور فیلتر امنیتی: به دستور سرپرست IT خود، نام خرابی خاص را تغییر دهید .sys راننده (ren C:\Windows\System32\drivers\<FaultyDriver>.sys <FaultyDriver>.sys.bak) یا مقدار شروع سرویس آن را در رجیستری آفلاین غیرفعال کنید (reg load HKLM\OfflineSystem C:\Windows\System32\Config\SYSTEM) سپس تایپ کنید wpeutil reboot برای راه اندازی مجدد ویندوز به طور معمول.

شماره های اضطراری منطقه ای و پروتکل های آژانس¶

در حالی که قرنطینه لپ تاپ یک کارگر از راه دور معمولاً یک تضاد مثبت کاذب منفرد یا درگیری با پورتال اسیر است، یک قفل EDR یا موج BSOD ناگهانی در چندین همکار می تواند نشان دهنده یک قطعی جهانی فروشنده یا یک حادثه باج افزار فعال سازمانی باشد:

• ایالات متحده و کانادا: اگر قرنطینه EDR یا بوت لوپ انبوه روی مراکز اعزام 911، ایستگاه های کاری بالینی بیمارستان، اتاق های اورژانس یا زیرساخت های حمل و نقل هوایی تأثیر بگذارد، فوراً پروتکل های محلی تداوم عملیات (COOP) / Downtime Paper Protocols را فعال کنید و با **911emergenciesfe تماس بگیرید. گزارش رویدادهای سایبری گسترده زیرساخت های حیاتی به CISA (آژانس امنیت سایبری و امنیت زیرساخت) در آدرس 1-844-SAY-CISA (1-844-729-2472 یا cisa.gov/report) و مرکز کانادایی امنیت سایبری در 1-833-CYBER-88.
• بریتانیا: برای موارد اضطراری ایمنی جان با 999 تماس بگیرید. حوادث سایبری سازمانی و رویدادهای مهار باج‌افزار که بر سازمان‌های بریتانیا تأثیر می‌گذارند باید از طریق مرکز امنیت سایبری ملی (NCSC) گزارش شوند. ncsc.gov.uk.
• اتحادیه اروپا: برای خدمات اضطراری 112 را شماره گیری کنید. بر اساس دستورالعمل EU NIS2 (دستورالعمل (EU) 2022/2555) و GDPR ماده 33، نهادهای بخش مهم باید اختلالات عملیاتی یا حوادث امنیتی قابل توجه را به CSIRT (تیم پاسخگویی به حوادث امنیت رایانه ای) و ENISA ملی خود گزارش کنند.
• استرالیا و نیوزلند: برای خدمات اضطراری با 000 در استرالیا یا 111 در نیوزلند تماس بگیرید. موارد مهار یا اخاذی مربوط به امنیت سایبری سازمانی را به مرکز امنیت سایبری استرالیا اداره سیگنال های استرالیا (ASD ACSC) به آدرس 1300 CYBER1 (1300 292 371) یا **CERT NZ / NCSC NZ **.
• هند و آسیا-اقیانوسیه: 112 را در هند شماره گیری کنید (و حوادث سایبری سازمانی را به CERT-In گزارش دهید)، 119 در ژاپن و کره جنوبی، یا 995 در سنگاپور (SingCERT). برای شماره های اضطراری بین المللی، نگاه کنید شماره های اضطراری.

سوالات متداول¶

چرا CrowdStrike Falcon یا SentinelOne لپ تاپ کاری من را قرنطینه کردند در حالی که من هیچ کار مخربی انجام نمی دادم؟¶

عوامل مدرن تشخیص و پاسخ نقطه پایانی (EDR) فقط امضاهای ویروس شناخته شده را اسکن نمی کنند. آنها رفتار فرآیند بلادرنگ، تزریق حافظه و آرگومان های خط فرمان را با استفاده از اکتشافی رفتاری نظارت می کنند.`IOAs` - شاخص های حمله). فعالیت‌های مشروع معمولی که مکرراً کنترل خودکار شبکه EDR را می‌برند شامل توسعه‌دهندگان نرم‌افزاری است که اسکریپت‌های ساخت محلی بدون امضا یا اشکال‌زدا را اجرا می‌کنند، کارکنان فناوری اطلاعات در حال اجرا هستند. `nmap` یا دستورات کشف شبکه PowerShell، وصل کردن یک صفحه کلید ماکرو لاستیکی به سبک USB غیرمجاز، یا اتصال به روتر Wi-Fi هتلی با پیکربندی نادرست که باعث جعل ARP / قوانین دفاعی Man-in-the-Middle می شود. تماس فوری با SOC به تحلیلگر اجازه می دهد تا درخت فرآیند را بررسی کرده و فعالیت شما را در عرض چند دقیقه در لیست سفید قرار دهد.

اگر لپ تاپ من در EDR Network Containment باشد، آیا تیم فناوری اطلاعات من همچنان می تواند صفحه نمایش من را ببیند یا من را از راه دور قرنطینه نکند؟¶

بله، تا زمانی که لپ تاپ شما هنوز به یک شبکه وای فای فعال (مانند روتر خانگی یا نقطه اتصال تلفن هوشمندتان) متصل باشد. وقتی CrowdStrike Falcon، SentinelOne یا Microsoft Defender for Endpoint لپ‌تاپ را در Network Containment قرار می‌دهد، درایور فیلتر هسته تمام ترافیک عادی کاربر را مسدود می‌کند در حالی که به صراحت یک تونل مدیریت رمزگذاری شده اختصاصی TLS را بین سنسور EDR لپ‌تاپ و کنسول ابری باز نگه می‌دارد. از طریق آن تونل مدیریت، تحلیلگر SOC شما می تواند یک پوسته تشخیصی از راه دور را باز کند (`Real Time Response` در CrowdStrike یا `Live Response` در Defender) و روی "Lift Containment" کلیک کنید تا دسترسی به شبکه خود را در 30 ثانیه بدون نیاز به تایپ چیزی بازیابی کنید.

چرا لپ تاپ کاری من وقتی که آن را به مانیتور هتل یا ایستگاه اتصال USB-C وصل کردم ناگهان یک کلید بازیابی BitLocker 48 رقمی درخواست کرد؟¶

لپ‌تاپ‌های Windows سازمانی از تراشه **Trusted Platform Module (TPM 2.0)** مادربرد برای اندازه‌گیری سخت‌افزار دقیق و پیکربندی پیش از راه‌اندازی (**Platform Configuration Registers) استفاده می‌کنند. `PCR 0, 2, 4, 7, 11`**) هر بار که دکمه پاور را فشار می دهید. اگر یک داک صاعقه، یک درایو USB خارجی یا یک هاب مانیتور را وصل کنید که ترتیب راه‌اندازی UEFI یا چیدمان گذرگاه PCIe DMA را قبل از راه‌اندازی ویندوز تغییر می‌دهد، TPM تغییر اندازه‌گیری سخت‌افزاری را تشخیص می‌دهد و از آزاد کردن خودکار کلید رمزگشایی خودداری می‌کند و از کلید بازیابی BitLocker 48 رقمی به‌عنوان یک حفاظت پیش از سرقت می‌خواهد. ابتدا، **تمام لوازم جانبی USB، داک‌ها و کابل‌های HDMI را جدا کنید و لپ‌تاپ را خود به خود راه‌اندازی مجدد کنید** - 90 درصد مواقع، اندازه‌گیری TPM دوباره مطابقت دارد و لپ‌تاپ بدون نیاز به کلید 48 رقمی مستقیماً به ویندوز بوت می‌شود.

آیا می توانم Zscaler Client Connector، Cisco AnyConnect، یا GlobalProtect خودم را با استفاده از Windows Task Manager غیرفعال کنم؟¶

نه، در یک لپ تاپ شرکتی که به درستی پیکربندی شده است، نمی توانید بکشید `ZSATray.exe`، `CSFalconService.exe`، `vpnagent.exe`، یا `PanGPS.exe` از Task Manager. این عوامل امنیتی به عنوان **فرآیندهای محافظت شده ویندوز (`Protected Process Light / PPL` / `ELAM` خدمات ضد بدافزار)** متعلق به `SYSTEM` با درایورهای دفاع شخصی هسته؛ حتی اگر کاربری دارای امتیازات مدیر محلی باشد، ویندوز آن را رد می کند `Access Denied` هنگام تلاش برای پایان دادن به یک سرویس امنیتی PPL بدون رمزنگاری **محافظت از دستکاری / گذرواژه غیرفعال کردن نمایه برنامه** ایجاد شده از کنسول ابری سازمانی.

اگر در منطقه زمانی متفاوتی کار کنم و وقتی لپ‌تاپ من قفل می‌شود، دفتر راهنمای IT شرکتم خواب باشد، چه؟¶

ابتدا، بررسی کنید که آیا سازمان شما دارای **مرکز عملیات امنیتی 24 ساعته (SOC) یا خط تلفن ویژه حین تماس است** جدا از دفتر راهنمای IT استاندارد در طول روز (اکثر شرکت‌هایی که از قرارداد CrowdStrike یا SentinelOne با شناسایی و پاسخگویی مدیریت شده 24 ساعته استفاده می‌کنند).`MDR`] یا یک شماره تشدید PagerDuty بعد از ساعت کاری را که در اینترانت کارمند یا برگه ورود به کار فهرست شده است، حفظ کنید. دوم، اگر قفل شما یک **صفحه کلید بازیابی BitLocker** است، بررسی کنید که آیا می توانید وارد پورتال شرکتی **Microsoft 365 / Entra ID "حساب من" شوید (`myaccount.microsoft.com/device-list`)** از مرورگر تلفن هوشمند خود با استفاده از برنامه احراز هویت MFA - بسیاری از شرکت ها به کارمندان اجازه می دهند تا سلف سرویس کلید بازیابی 48 رقمی BitLocker لپ تاپ خود را از طریق تلفن همراه خود مشاهده کنند.

چرا وای فای خانه من بلافاصله پس از قطع اتصال از VPN شرکتی، روی لپ تاپ کاری من کار نمی کند؟¶

برخی از پیکربندی‌های VPN شرکتی از ویژگی‌ای به نام **"همیشه فعال قرنطینه / شناسایی شبکه مورد اعتماد (TND)"** استفاده می‌کنند که هر زمان که تونل VPN در خارج از ساختمان اداری شرکت فیزیکی قطع شود، عمداً تمام دسترسی به اینترنت را مسدود می‌کند تا از خروج داده‌های تونل تقسیم‌شده جلوگیری شود. در موارد دیگر، قطع اتصال VPN یک آدرس سرور مجازی DNS کهنه باقی می‌گذارد (`10.x.x.x`) روی آداپتور Wi-Fi شما ذخیره می شود تا روتر خانگی شما نتواند آدرس های وب را حل کند. به سادگی ** دوباره به VPN شرکتی متصل شوید (یا اجرا کنید `ipconfig /flushdns` و Wi-Fi را خاموش و روشن کنید) تا ترافیک شما به طور تمیز از طریق دروازه شرکت مجاز عبور کند.

راهنماهای مرتبط¶

• دزدیده شدن یا شکستن لپ تاپ کاری در حین مسافرت: قفل MDM و بازیابی صفر
• کار از راه دور از هتل
• اینترنت و اتصال پشتیبان تهیه کنید
• امنیت کار از راه دور اضطراری و حریم خصوصی داده ها

منابع و راهنمای رسمی¶

• CISA (آژانس امنیت سایبری و امنیت زیرساخت): رفع قطعی های گسترده تشخیص نقطه پایانی و پاسخ (EDR) قطعی سنسور هسته و رویه های بازیابی BitLocker در مقیاس.
• شرکت مایکروسافت (Microsoft Learn): راهنمای بازیابی BitLocker: عیب یابی قفل های اعتبارسنجی TPM PCR و استفاده از خط فرمان WinRE برای اصلاح درایورهای بحرانی بوت و Microsoft Defender برای معماری ایزوله ماشین پایانی.
• NIST (موسسه ملی استاندارد و فناوری): نشر ویژه NIST 800-207: Zero Trust Architecture (ZTA) و NIST SP 800-83 Rev. 1: Guide to Malware Incident Prevention and Handling for Desktop and Laptop.
• CrowdStrike، Inc. & SentinelOne: معماری مهار شبکه حسگر فالکون، رویه‌های تخلیه توکن تعمیر و نگهداری، و مستندات بازیابی فایل کانال.
• سیستم‌های Zscaler و سیسکو: کنترل تشخیص پورتال محصور در دسترسی به شبکه بدون اعتماد همیشه فعال (ZTNA) و سیاست‌های سختگیرانه فایروال بسته با شکست.