Skip to content

Ordinatere ya kisalu ya bo me tula na quarantaine na CrowdStrike/SentinelOne to ya bo me kanga na nganda na nzila ya VPN ya kufwa ntangu nge ke sala na ntama

Banimero ya urgence ke swaswanaka na insi. Lutiti yai ke sadilaka 911, nimero ya États-Unis mpi ya Canada. Bansi mingi yankaka kesadilaka 112, 999, to ntalu yankaka. Sosa nimero ya insi na beno.

Kutelama na biro ya nzo, na suku ya otele, to na kisika ya kisalu ya ntama sambu na kumona nde ordinatere na nge ya ordinatere ya kompani me basisa ke monisa “Connecté, No Internet” na konso réseau Wi-Fi, ke buya kutula lutiti ya kukota na porte ya otele to ya aeroport, to ke bwa na Ecran Bleu de Death ya Windows ya kukonda nsuka (BSOD) nzila ya kubanda (PAGE_FAULT_IN_NONPAGED_AREA to SYSTEM_THREAD_EXCEPTION_NOT_HANDLED) kele urgence ya kisalu ya ntama yina kele ti ba stake ya ngolo. Na bisika ya ba kompani ya bilumbu yai, kukangama yai ya mvimba ke salamaka pene-pene ya ntangu yonso sambu na mosi na kati ya mitindu tatu ya lutaninu yina ke salaka yo mosi: Kukangama ya Réseau ya Kuzaba mpi Kupesa Mvutu (EDR) yina ke basikaka na nzila ya **CrowdStrike Falcon, SentinelOne, to Microsoft Defender ya bo me tula na zulu ya ordinatere mosi sambu na **mo-corrupt drive, . kubuyisa ngidika ya kisalu na kuyantika, to VPN ya ke kangamaka ntangu yonso / Kukota na réseau ya kukonda kivuvu (ZTNA) Kill-Switch (Connecteur client Zscaler, Cisco AnyConnect / Client sécurisé, Palo Alto GlobalProtect, to Fortinet FortiClient) yina ke kanga nzila na nzila yonso ya DCP ya kisika yina. Kana kukangama na nge kele ti ransomware mosi ya ke sala to ke lomba mbongo, solula ti Centre d’opérations de sécurité (SOC) ya kompani na nge mpi solula ti bantu ya bwala na beno . nimero ya urgence kana bisalu ya mfunu to bisalu ya kutanina luzingu me beba. Sambu na bampasi ya kisalu ya ntama yina ke wakana ti yo, tala bantuma na beto na . bo me yiba to me bebisa ordinatere ya kisalu ntangu bo ke sala nzietelo mpi bo me vutula serrure ya MDM, kusala na ntama na otele, mpi internet ya kubumba mpi kukangama.

Sambu bapoint ya nsuka ya bakompani ke vandaka ngolo ti ba mot de passe yina ke taninaka bantu na kusoba mambu, bakonti ya bantu yina ke sadilaka yo ve, mpi Microsoft BitLocker to macOS FileVault encryption ya disque dur ya mvimba, mayele ya bo ke sadilaka sambu na kuyidika mambu (mu mbandu, kutula diaka Windows to kufwa badosie ya programe ya nkaka) na tablo ya CISO na nge. Kansi, na kuzabaka kana nge kekutana ti Kukangama ya Ba-Host ya EDR, Kukangama ya Portal Captive ya VPN, to Kukangama ya Pilote ya Kernel, mpi kulomba kimvuka na nge ya kesadisaka bantu na mambu ya IT to kimvuka ya SecOps na kuzaba Nsabi ya Kuvutula BitLocker ya kele ti bazina 48 na zulu ya nzila to Nsabi ya Kuvutula BitLocker na zulu ya Line ya Kukangama to ** ndinga, nge lenda vutula kisika na nge ya kisalu na minuta 15 katuka na konso kisika yina nge kele na ntoto.

Sala yo sesepi

  1. Kumeka ve na kufwa, kuvutula, to kukanga ordinatere ya kompani na ordinatere ya Linux yina bo me pesa ve nswa to na stick USB yina ke fwaka mot de passe. Kukatula ordinatere ya kompani na ordinatere ya USB ya nganda ke salaka nde UEFI Secure Boot mpi Module ya Plateforme ya Kutudila Ntima (TPM 2.0) ke kangamaka ve, ke kangaka ordinatere ya PCR Ecran ya BitLocker ya kele ti bazina 48 mpi kutinda lukebisu ya mfunu ya kusoba mambu na Centre d’opérations de sécurité (SOC) ya kompani na nge na ntangu yina ordinatere ya maboko ke vukana diaka.
  2. **Zaba kana internet na nge me kangama na Quarantine ya EDR vs.cmd.exe) to fenetre ya Terminal mpi sala . ping 8.8.8.8 mpidina nslookup google.com. Kana konso paquet mosi ke nunga ve ti . General failure to Transmit failed. Error code 1231 ata icone ya Wi-Fi na nge ke tuba nde "Me vukana," pilote ya filtre ya mur ya tiya (yo vanda Containment ya Réseau EDR to VPN Kill-Switch ya ngolo) ke losa ba paquet yonso yina ke basika na Plateforme ya Kufiltrer ya Windows (WFP) couche.
  3. Kana nge kele na otele, na café, to na aeroport mpi VPN na nge ya ke vandaka ntangu yonso na kisalu me kanga lutiti ya kukota na Wi-Fi ("Kukangama ya Portal ya Nsusu-ti-Diaki"), vukisa ordinatere na nge ya maboko ti kisika ya Wi-Fi ya telefone na nge ya maboko NTETE. Sambu kisika ya kukota ya telefone na nge ya maboko ke sadilaka ve kisika ya kukota ya ordinatere na nge ya ordinatere. Nsadi ya Zscaler ta ndima mbala mosi na nzila ya bansangu ya telefone na nge, ta benda konso nsiku ya bo me yidika to ta kanga token ya IT, mpi ta pesa nge nzila ya kulomba Bypass ya Portal Captif / Desactiver Mot de passe sambu na ntangu fioti.
  4. Kana ordinatere na nge ya Windows me kangama na Ecran Bleu ya Lufwa ya kukonda nsuka (BSOD) bootloop na nima ya kusala update ya lutaninu na mpimpa mosi, baka foto ya sikisiki . Stop Code mpidina .sys zina ya fichier na nsi ya écran ya bleu (bonso csagent.sys to SentinelMonitor.sys). Zina ya fichier yina ke zabisa kimvuka na nge ya IT mbala mosi kana fichier ya chaîne EDR to pilote ya kernel ya mbi me sala nde yo bwa.
  5. Na ntwala ya kukota na Mode Sécurisé ya Windows to na WinRE Command Prompt na ordinatere ya kompani, binga biro na nge ya ke sadisaka bantu na mambu ya IT na telefone na nge mpi lomba bo na kutanga to kutindila nge mesaje na ordinatere na nge ya maboko yina kele ti bidimbu 48 (yina ke wakana ti bisono 8 ya ntete ya . Key ID songamaka na ecran na nge). Nge lenda kangula ve nzila ya komande ya kuvutula to kukota na Mode Safe na ordinatere ya kompani yina bo me sonikaka na ndinga ya ngolo kukonda kukotisa ba ntalu yina 48.
  6. Kana CrowdStrike Falcon, SentinelOne, to Defender for Endpoint me tula ordinatere na nge ya maboko na "Kukangama ya Réseau" (Kukangama ya Ba-Host), bika kusala ba script to kutinda bafishe mpi binga Centre d’opérations de sécurité (SOC) ya kompani na nge na telefone. Tendula mbote-mbote mambu yina nge vandaka kusala na ntwala ya kukanga ordinatere. kisadilu ya kumeka penetrasio, script ya kutunga ya PowerShell, to kukangama na routeur ya voyage) na mpila nde analyste ya SOC lenda zikisa nde yo vandaka positif ya luvunu mpi kubula "Kutombula Containment" katuka na console ya matuti (yina ke kumaka na ordinatere na nge ya maboko na mbala mosi ata ntangu nge kele na quarantaine).

Danger

Sambu na nki EDR "Kukangama ya Réseau" Ke Pesaka Kaka Nzila na Console ya Matuti na Kusolula ti Ordinatere Na Nge ya Portable (Kaka Kana Nge Bikala Na Kukangama na Wi-Fi). Ntangu CrowdStrike Falcon, SentinelOne, to Microsoft Defender ke katulaka ordinatere ya portable yina bo me bebisa to yina bo ke yindula nde yo kele mbi, yo ke kangaka ordinatere ya portable yina bo me bebisa to yina bo ke yindula nde yo kele ti mambu ya mbi, yo ke kangaka nzila na 100 ya ordinatere ya fioti yina kele ti mambu ya mbi to yina kele ti mambu ya mbi. ping requests - EXCEPT sambu na tunnel mosi ya TLS ya kukangama mbala mosi na kati ya capteur EDR na ordinatere na nge ya maboko mpi baserveur ya kutwadisa matuti ya muntu yina ke tekaka (*.crowdstrike.com to *.sentinelone.net). Kufwa ve Wi-Fi na nge to kukatula nsinga ya Ethernet na nge ntangu nge ke solula ti IT SecOps. Na ntangu yonso yina ordinatere na nge ya maboko kele ti nzila ya Wi-Fi to ya smartphone ya mpamba-mpamba na internet, analyste ya SOC lenda katula ordinatere na nge ya maboko na ntama ti kubula mbala mosi na basegonde 30 kukonda kusonika ata kidimbu mosi ya keyboard na nge.

Nti ya lukanu: Kuzaba kana réseau ya ba ordinatere ya maboko ya kompani me kangama mpi ba bootloops

Sadila diagrame yai sambu na kuzaba mbote-mbote nki couche ya sécurité ya kompani me kanga ordinatere na nge ya maboko mpi nzila ya siki-siki ya kuvutula yo.

flowchart TD
    A["Ordinatere ya kisalu ya ntama me kangama to ke kuka ve kukangama"] --> B{"Keti ordinatere ya maboko ke kotaka na ordinatere ya Windows / macOS?"}
    B -->|"Ve: Yo ke bwaka na Boucle ya Ecran Bleu (BSOD) to na Ecran ya BitLocker"| C{"Mambu ya nki ke monisamaka na ecran?"}
    C -->|"BSOD ke pesa zina csagent.sys, Moniteur Sentinel.sys, to wdfiltre.sys"| D["BOOTLOOP YA PILOTEUR YA KERNEL: Banda na WinRE Recovery -> Sonika nsabi ya BitLocker ya ntalu 48 na IT -> Katula fichier ya chaîne ya kukonda kifu to soba zina ya pilote na Mode ya Lutaninu"]
    C -->|"Ecran ya kuvutula ya BitLocker ya bleu ke lomba nsabi ya ntalu 48"| E["TPM PCR VOYAGE: Katula ba docks/disques USB yonso -> Redémarrer -> Kana bo ke lomba nge kaka, binga IT Helpdesk ti ID ya nsabi ya 8-char sambu na kubaka nsabi ya kuvutula ya ba ntalu 48"]
    B -->|"Ee: Kuyantika na ordinatere, kansi ZERO kukota na internet / na réseau"| F{"Mambu ya kusalamaka kana nge tala mutindu VPN / ZTNA & Wi-Fi kele?"}
    F -->|"Na Otele/Aeroport: Wi-Fi me vukana, kansi lutiti ya kukota na Captive Portal ta kanguka ve"| G["PORTAL DEADLOCK: Vukisa ntete ordinatere ya maboko na Hotspot ya Smartphone -> Ndimisa VPN -> To tula Routeur ya Nzietelo sambu na kumanisa kukota na porte na telefone ."]
    F -->|"Nzo/Kisika ya Wi-Fi me vukana, kansi ping 8.8.8.8 ke tuba nde ‘Kukonda Kusala mbote’."| H{"Keti client ya VPN me kangama na ‘Kukangama / Kufwa-Kubalula na Kisalu’ TO keti EDR ke Katula?"}
    H -->|"Client ya VPN ke tuba nde ‘Kukanga Réseau / Kufwa Interrupteur Actif - Lenda Kukuma ve na Gateway’."| I["VPN KUFWA-KUKANGA: Kubaluka na kisika ya telefone -> To kotisa IT Mot de passe Kukanga mbala mosi na Zscaler / AnyConnect / GlobalProtect ."]
    H -->|"VPN kele ya kukangama to ya kukatuka, TO pop-up ya lutaninu ke tuba nde ‘Host Isolated’."| J["EDR CONTENU DU RESEAU: Landa Wi-Fi na kukangama -> Binga SOC ya kompani -> Pesa zina ya host -> SOC ke niema 'Tombula Contenement' TO ke pesa Token ya Maintenance Offline"]

Scénario 1: Ordinatere ya maboko me tulama na quarantaine na EDR "Kukangama ya Réseau" (Kubula ya Kimvuka, SentinelOne, Defenseur)

Ba ordinatere ya bilumbu yai ya ba kompani ke sadilaka ba capteur ya nivo ya kernel Detection et réponse à l’endpoint (EDR) na kisika ya kusadila ba logiciel antivirus ya ntama ya bantu ke sadilaka. Kana sensor ya EDR me mona bikalulu yina ke fwanana ti attaque cybernétique - mu mbandu, enzeniere ya logiciel ke vukisa binaire ya kukonda kidimbu, analyste ya ba nsangu ke sadila script ya mpasi ya PowerShell to Python, muntu ya ke salaka bifwanisu ke kangula mukanda ya calcul yina kele ti macro, to muntu ya ke salaka nzietelo ke vukisa réseau ya iRP yina ke vukisaka playbook ke basisa Kukangama ya Réseau (Kukangama ya Nzo-Nkanda).

Mutindu ya kuzaba quarantaine ya Réseau ya Kukangama ya EDR .

Na kuswaswana ti kubwa ya Wi-Fi ya mpamba, quarantaine ya EDR ke monisaka bidimbu ya sikisiki kibeni ya teknike:

  1. Wi-Fi Ke Monisa "Kukangama" to "Kukonda Internet, Kutanina," Kansi Ba Apareyi ya LAN ya Kisika Ke Monanaka Ve: Nge lenda sala ve ping na routeur na nge mosi ya nzo (192.168.1.1), lenda niema ve na imprimante ya réseau ya bwala na beno, mpi . ping 8.8.8.8 kuvutula General failure to Transmit failed mbala mosi (<1 ms) sambu Platforme ya Kufiltrer ya Windows ya sensor ya EDR (WFP) pilote ya callout ke kangaka mpi ke losaka konso paquet TCP/UDP/ICMP na ntwala nde yo kuma na karte ya Wi-Fi.
  2. Ba Sessions ya Bureau ya Ntama, ya Slack, ya Zoom, mpi ya Navigateur yina kele na kisalu ke kangamaka na mbala mosi: Na nsungi ya basegonde 2 ya trigger ya bikalulu, konso socket ke kangamaka na mbala mosi.
  3. Kutala Statut ya EDR ya Kisika na nzila ya Ligne de Commande (Ba nswa ya Admin kele ve na mfunu):
  4. Falcon ya Kubula Bantu: Kangula Nsiku ya Kupesa Nsiku (cmd.exe) mpi kubaka ntinu sc query csagent. Kana yo ke monisa STATE: 4 RUNNING, mpi kubaka ntinu netstat -ano | findstr :443 ke monisa nde kaka ke sala ESTABLISHED ba connexions ya kubasika na ordinatere ya mvimba kele ya . CSFalconService.exe kusolula ti ba adresi IP ya matuti ya AWS/CrowdStrike, nkwa-nzo na nge kele na Kukangama ya Réseau ya Falcon.
  5. SentinelOne: Tala kifwanisu ya kitaninu SentinelOne ya mbwaki-ble na kati ya tableau ya systeme (to na barre ya menus na macOS). Kana bo me tula yo na kingenga, kisika ya agent ke tuba nde Network Quarantined / Disconnected from Network by Management.
  6. Microsoft Defender for Endpoint (MDE): Toast ya nsangu ya lutaninu ya Windows lenda tuba na bunkufi nde "Mfumu na nge me katula kisadilu yai," ntangu . MsSense.exe ke bikala kaka mutindu mosi ya bo ke pesaka nzila na nzila ya nzila ya tiya.

Mutindu ya kukatuka na quarantaine na ntama (Kubasisa Matuti na Internet vs. Token ya Kuyidika na Internet ve)

Kele ti mitindu zole yina Centre d’opérations de sécurité informatique (SOC) na nge lenda basisa quarantaine ya EDR:

Nzila ya kuvutuka Ntangu Yo Ke Salaka Mutindu ya kusala mambu na mutindu mosi ya sikisiki ti IT SecOps
Nzila A: Kukangama ya Matuti na Zulu ya Mupepe (Kuluta Nswalu: Basegonde 30) Ntangu ordinatere na nge ya maboko kele ti connexion internet brute yina ke sala (bonso Wi-Fi ya nzo na nge to kisika ya Wi-Fi ya telefone na nge ya maboko - VE portal captif ya otele yina bo me ndima ve). 1. Vukisa Wi-Fi ya ordinatere na nge ya maboko na routeur ya nzo to na hotspot ya telefone ya maboko.
2. Binga Biro ya Kisalu ya IT / SOC na nge na telefone mpi pesa Zina ya Nzo ya Ordinatere (sala hostname na Nsiku ya Kupesa Nsiku).
3. Muntu yina ke tadilaka mambu ya SOC ke tadilaka lukebisu yina bo me basisa na porte ya CrowdStrike Falcon, SentinelOne, to Defender, yandi ke tulaka yo kidimbu nde yo kele mbi ve, mpi yandi ke niema "Tombula Kukangama" / "Kuvutuka na Réseau."
4. Sambu nzila ya kutwadisa mambu ya bo me sonikaka na ndinga ya ngolo ya sensor ya EDR ke pesa nzila na nzila ya mur ya quarantaine, ordinatere na nge ya ordinatere ke bakaka ntuma ya kukangula na nsungi ya 15 tii na basegonde 60 mpi nzila ya kukota na internet ya mvimba ke vutukaka na mbala mosi kukonda kuyantika diaka.
Nzila B: Token / Phrase de passe (Ntangu Kanale ya Matuti Me kangama) Ntangu nge me kangama na nima ya porte ya Wi-Fi ya otele/avio yina bo me ndima ve to ntangu nsiku ya firewall ya kubeba ke kanga ata kubula ya ntima ya matuti ya EDR. 1. Sambu sensor ya EDR lenda kuma ve na console ya matuti tii kuna nge ta kota na portal ya Wi-Fi ya otele (mpi nge lenda tula ve portal ya Wi-Fi ya otele na ntangu sensor ya EDR ke tula navigateur na nge na quarantaine), zabisa analyste ya SOC nde nge kele na état offline / captive-portal.
2. Muntu yina ke tadilaka mambu ya SOC ke sosaka ID ya Agent Unique (AID) na konsole na bo mpi ke basisaka Kifwanisu ya Kuyidika ya Ntangu Mosi (CrowdStrike) to Kidimbu ya Kukota ya Nsadisi ya Bisono 24 (SentinelOne).
3. Na nsadisa ya nsangu ya bo me tombula to UI ya agent, kotisa kidimbu ( ).CsUninstallTool.exe /maintenance to sentinelctl unprotect -k "<passphrase>") sambu na kukatula pilote ya filtre ya confinement na kisika yina.

Scénario 2: Kufwa VPN ya Ke Pelaka Ntangu Yonso to Kisika ya Kukangama ya ZTNA

Inki nge lenda sala kana ordinatere na nge ya maboko kele ve na quarantaine na SecOps, kansi na kisika na yo, yo ke twadisaka kompani mosi VPN ya Ke Salaka Ntangu Yonso to Kukota na Réseau Kukonda Kutula Ntima (ZTNA) (**Connecteur de Client Zscaler, Cisco AnyConnect) / Client Secure de Cisco avec Module de Visibilité de Réseau Global, Pakopeto Strict Kill-Switch ("Kukangama-Kukonda Kusala" / "Kukanga nzila yonso ya kele ve ya kimvuka kana bo ke tudila yo ve ntima")?

1. Kumanisa "Kukangama ya Portal ya Bampika ya Hotel / Aeroport" (Mutambu ya Nsusu-na-Diaki)

Tala kikuma yina mafunda ya bantu yina ke salaka na ntama ke kangamaka na ba ordinatere na bo ya fioti konso suka na ba otele, na ba café, mpi na ba aéroport:

  • Sambu na kukota na internet na Wi-Fi ya otele to ya aeroport, nge fwete kangula navigateur ya Internet, kubaka nzila ya nkaka na nzila ya HTTP/DNS na lutiti ya kukota ya otele (captive.apple.com to neverssl.com), yo sonika nimero ya suku na nge mpi zina ya dibuta na nge.
  • Kansi, Always-On VPN Kill-Switch ya ordinatere na nge ya kompani ke monaka nde Wi-Fi ya otele kele "Réseau non-corporatif non confié" mpi ke kangaka mbala mosi ba demande yonso ya HTTP mpi ya DNS ya bwala tii kuna tunnel ya VPN ya kukangama yina ke kwendaka na biro ya nene ya kompani ta vukana.
  • Tunnel ya VPN lenda kukangama ve tii kuna nge ta sonika nimero ya suku na nge na lutiti ya kukota na otele, mpi nge lenda ve kutula lutiti ya kukota na otele sambu VPN Kill-Switch ke kanga navigateur na nge.

Sadila mosi ya bametode iya ya kukonda nzila yina me ndimama sambu na kuzenga nzila ya kukangama mbala mosi kukonda kulomba banswa ya admin:

+-----------------------------------------------------------------------+
|  4 WAYS TO BREAK A VPN KILL-SWITCH CAPTIVE PORTAL DEADLOCK            |
|                                                                       |
|  METHOD 1 (Smartphone USB/Wi-Fi Tethering + MAC Clone / Travel Router)|
|  Authenticate the hotel captive portal on a pocket Travel Router      |
|  (or Android Wi-Fi Share), then connect your work laptop to the       |
|  already-authenticated router Wi-Fi.                                  |
|                                                                       |
|  METHOD 2 (Built-In Mini Captive Portal Browser Inside VPN Client)    |
|  Click the Zscaler / GlobalProtect / AnyConnect tray icon ->          |
|  Click "Captive Portal Detected / Open Login Window".                 |
|                                                                       |
|  METHOD 3 (Gateway IP Direct Entry in Browser)                        |
|  Run `ipconfig` -> Find "Default Gateway" (e.g., 10.0.0.1) ->         |
|  Type `http://10.0.0.1` directly into Edge/Chrome address bar.        |
|                                                                       |
|  METHOD 4 (Authenticate on Phone First -> Call IT for Disable Code)   |
|  Tether laptop to Phone Cellular Data -> Get Zscaler/VPN Disable      |
|  Password from IT -> Pause VPN for 10 min -> Join Hotel Wi-Fi.        |
+-----------------------------------------------------------------------+
  1. Metode 1 - Pont Wi-Fi ya Smartphone to Trick ya Routeur ya Voyage ya Poche (Ke Salaka 100 na Nkama ya Ntangu):
  2. Ordinatere na nge ya kisalu lenda zaba ve luswaswanu na kati ya réseau Wi-Fi ya otele yina bo me ndimaka ve mpi routeur ya muntu yandi mosi yina me kota dezia na porte ya otele.
  3. Kana nge kele ti telefone ya Android (Kukabula Wi-Fi): Vukisa telefone na nge ya Android ti Wi-Fi ya otele, manisa kukota na portal ya nimero ya suku yina kele na ecran ya telefone na nge, na nima kangula Hotspot ya Telefone ya telefone na nge (batelefone ya Samsung Pixel/Android ya bilumbu yai ke sadisaka na kusala Wi-Fi ya otele na nge na mbala mosi. Wi-Fi na nzila ya hotspot ya telefone na nge ti zero ya bansangu ya selile ya bo me sadila). Connecter ordinateur portable na nge ya kisalu na hotspot ya telefone na nge: VPN ke vukisaka mbala mosi.
  4. Kana nge ke nata Routeur ya Nzietelo ya Poche (bonso Beryl/Slate ya GL.iNet; tala kusala na ntama na otele): Vukisa routeur ya nzietelo na Wi-Fi ya otele, manisa kukota na otele na kusadilaka navigateur ya smartphone na nge, mpi vukisa ordinatere na nge ya kisalu na port Wi-Fi to Ethernet WPA3 ya routeur ya nzietelo.
  5. Metode 2 - Sonika IP ya Kielo ya Kisika na Nge mbala mosi na Navigateur na nge (http://10.x.x.x):
  6. Mbala mingi, proxy ya DNS ya VPN Kill-Switch to Zscaler ke kangaka kaka kusosa zina ya domaine ya DNS (kukanga . neverssl.com to google.com), na ntangu yo ke pesa kaka nzila nde ba paquet IP ya subréseau locale brute kukuma na kielo ya routeur locale na basegonde 60 na nima ya kusala kinduku ya Wi-Fi.
  7. Kangula nzila ya komande (cmd.exe), mutindu ipconfig, mpi tala Kielo ya Ntete Adresi IP na nsi ya . Wireless LAN adapter Wi-Fi (mu mbandu, 172.16.0.1 to 192.168.20.1).
  8. Kangula navigateur na nge mpi sonika http://172.16.0.1 (kusadila http://, ata fioti ve https://, mpi banombre ya sikisiki yina ke katuka na Kielo na nge ya Default) mbala mosi na barre ya ba adresi. Ediadi difilanga e nsundidi a portal captivo ya hotele directamente muna IP lembi lomba resolução DNS, divaikisanga e ecrã ya kota.
  9. Nzila ya tatu - Sadila Buton ya Zscaler / GlobalProtect / AnyConnect "Kukangula Kielo ya Bantu ya Bo Me Kanga" to Kuyantika Diaka Kisalu:
  10. Na kati ya Connecteur client ya Zscaler (ZCC): Kangula fenetre ya Zscaler na nzila ya ordinatere, niema More -> Troubleshoot -> Restart Service (yina kelombaka ve mot de passe mpi kekangulaka fenetre ya nkufi ya basegonde 30 ya kuzaba porte-captive na ntangu ya kuyantika dyaka).
  11. Na Palo Alto Lutaninu ya Ntoto ya Mvimba: Fina na menu ya banzila tatu yina kele na zulu na diboko ya kitata ya plateau ya Lutaninu ya Ntoto ya Mvimba -> Settings -> General -> kana statut ke tuba nde "Portal ya bo me kanga me monana," niema na zulu ya Remediate buto sambu na kuyantika navigateur ya fioti ya GlobalProtect.

2. Kuyidika "Adaptateur VPN ya zombie / DNS ya kubeba (127.0.0.1 to 100.64.0.1)" Na nima ya Kubwa

Inki nge tasala kana nge kele na nzo na Wi-Fi na nge ya mpamba, mpi na nima ya kufwa to kufwa ya batterie ya ordinatere na nge ya ordinatere ntangu nge vandaka kukangama na VPN ya kompani, ordinatere na nge ya ordinatere keyantikaka ti résolution DNS zero (basite Internet ketuba nde DNS_PROBE_FINISHED_NXDOMAIN, ye nge lenda nkutu ve kuyidika zina ya domaine ya serveur ya VPN ya kompani sambu na kuvukisa dyaka VPN)?

Yo ke salamaka kana client ya VPN me bwa kukonda kuvutula mbote-mbote baparametre ya DNS ya karte na nge ya Wi-Fi, mpi yo ke bikaka adaptateur ya réseau na nge ya kusonga kimakulu na IP ya tunnel virtuel ya kufwa (100.64.0.1 sambu na Zscaler/CGNAT ya nsuka to 127.0.0.1):

  1. Kukatula Cache ya DNS ya Windows mpi Catalogue ya Winsock (Ke Salaka Kukonda Banswa ya Admin sambu na Kukatula DNS):
  2. Kangula nzila ya komande mpi sala . ipconfig /flushdns.
  3. Tina nslookup vpn.yourcompany.com 8.8.8.8 (kuyingisa vpn.yourcompany.com na zina ya host ya porte VPN ya kompani na beno). Na kuyikaka 8.8.8.8 tii na nsuka ya nslookup komande, nge ke luta résolveur ya DNS ya kisika yina me beba ya ordinatere na nge ya maboko mpi ke yula mbala mosi DNS ya bantu yonso ya Google (kana port 53 kele ya kukanguka) sambu na kulonguka adresi IP ya nimero ya mpamba-mpamba ya porte VPN ya kompani na nge.
  4. Kukangama na Kielo ya VPN ya Kimvuka na Kusadilaka Adresi IP na Yo ya Ntalu ya Kukonda Kuzaba:
  5. Kana Cisco AnyConnect to GlobalProtect me nunga ve ti "Lenda kuyidika ve adresi ya serveur," tula adresi IP ya ntalu ya mpamba (203.0.113.50) mbala mosi na kati ya kesi ya serveur ya VPN (kana nsiku ke pesa nswa) to binga IT sambu na kubaka Mot de passe ya kukanga Zscaler / VPN App-Profile sambu na kuvutula adaptateur ya réseau virtuel (ncpa.cpl).

3: Kuvutuka na Ecran Bleu ya Driver ya Kernel ya EDR (BSOD) Bootloop

Na Yuli 2024, bo pusaka nsangu ya mpa ya ke tadila mutindu ya kuyidika nzila yina vandaka ve mfunu na Capteur ya Windows ya CrowdStrike Falcon (csagent.sys / Fichier de canal 291) salaka nde bamasini 8,5 milio ya Windows ya bakompani na ntoto ya mvimba kufwa na mbala mosi . PAGE_FAULT_IN_NONPAGED_AREA Ecran bleu de la mort bootloop na ntwala nde systeme d’exploitation lendaka nkutu kukangama na internet sambu na kubaka fixe mosi. Ba nzila ya mutindu mosi ke salamaka mbala na mbala ntangu SentinelOne (SentinelMonitor.sys), Ntanini ya Microsoft (WdFilter.sys), to Bapiltere ya filtre ya VPN NDIS ke kutana ti nsangu ya mpa ya Windows.

Sambu pilote yina ke bwaka ke vandaka ya kuyidika bonso ** .BOOT_START (Start = 0) pilote ya kernel**, Windows ke tulaka yo na mabanza na ntangu ya sekondi ya ntete kibeni ya kuyantika - ntangu mingi na ntwala nde Wi-Fi to luyalu ya matuti kuyantika. Mutindu mosi kaka ya kuyidika a . BOOT_START bootloop ya pilote ya kernel kele na kisika na nzila ya Kisika ya Kuvutula Windows (WinRE).

+-----------------------------------------------------------------------+
|  HOW TO BREAK AN EDR KERNEL DRIVER BSOD BOOTLOOP VIA WinRE            |
|                                                                       |
|  1. Force-interrupt boot 2-3 times (or hold Shift + Restart on        |
|     Recovery screen) until "Choose an option" blue menu appears.      |
|  2. Click Troubleshoot -> Advanced options -> Command Prompt          |
|     (or Startup Settings -> F4/F5 Safe Mode).                         |
|  3. Read the 8-character "Recovery Key ID" on screen to your IT       |
|     Helpdesk over the phone -> Type the 48-digit BitLocker Key.       |
|  4. In WinRE Command Prompt, locate the Windows partition (`C:` or    |
|     `D:`), delete the corrupted `.sys` channel file or rename the     |
|     faulty driver folder, and type `wpeutil reboot`.                  |
+-----------------------------------------------------------------------+

Kuvutula WinRE ya Kisika na Kitini na Kitambi (Kutwadisama ti Biro na Nge ya Lusadisu ya IT na Telefone)

  1. Kota na kisika ya kuvutula Windows (WinRE):
  2. Na nima ya kuyantika mbala zole ya kulandana, Windows 10 mpi Windows 11 ke monisaka na mbala mosi ecran ya bleu Recovery ("Yo ke monana nde Windows me charger ve mbote").
  3. Niema See advanced repair options -> Troubleshoot -> Advanced options -> Command Prompt (yina kele nswalu mpi ke lombaka kuvutukila mambu fioti kuluta Mode Safe).
  4. Kangula Disque Encrypté na Nsabi ya Kuvutula BitLocker ya Ba-Digit 48:
  5. Sambu disque dur ya kompani na nge kele encrypté na BitLocker, WinRE ta songa mbala mosi écran ya bleu yina ke tuba nde: "Sonika nsabi ya kuvutula sambu na disque dur yai" kumosi ti ID ya nsabi (8 bisono ya hexadécimal, mu mbandu A1B2C3D4).
  6. Binga biro ya lusadisu ya IT ya kompani na nge na telefone na nge ya maboko, tanga bo Zina ya muntu yina ke yambaka bantu / Tag ya bima ya ordinatere na nge ya maboko mpi ID ya nsabi ya BitLocker ya kele ti bisono 8, mpi lomba muntu yina ke salaka kisalu ya teknike na kutanga diaka Nsabi ya Kuvutula BitLocker ya kele ti bisono 48 (yina bo me vukisa na bitini nana ya bisono 6). Sonika mbote-mbote ba ntalu 48 mpi niema . Enter.
  7. Zaba Nkia Letre ya Disque dur Ke Simba Installation Na Nge ya Windows Na Kati ya WinRE:
  8. Na kati ya kisika ya kuvutula WinRE, mbala mingi bo ke pesaka disque dur na nge ya nene ya Windows bisono ya disque dur ** .D:** to E: na kifulu ya C: (sambu kitini ya fioti ya EFI/Recovery ya kubumbana ke bakaka . C:).
  9. Mutindu dir C:\Windows mpi niema Enter. Kana yo ke tuba nde . File Not Found, sonika dir D:\Windows tii kuna nge ta mona mukanda ya kele ti mukanda na nge . Windows dossier.
  10. Sala kisalu ya kufwa fichier ya chaîne yina bo me pesa nswa ya kuteka to ya kusoba zina ya pilote (Na kutadila bantuma ya IT):
  11. Sambu na kutula na zulu ya fichier ya chaîne ya CrowdStrike ya kubeba: Kota na répertoire ya ba pilote ya CrowdStrike (cd /d C:\Windows\System32\drivers\CrowdStrike to D:\Windows\System32\drivers\CrowdStrike), zikisa kana fichier ya chaîne kele ya kubeba yina kimvuka na beno ya IT me songa (mu mbandu, del C-00000291*.sys), mpi niema Enter. Sambu nzila .sys bafishe kele bansiku ya mpa ya ke sobaka na kisika ya kutula yo na kisina csagent.sys motere, kufwa fichier ya chaîne ya kubeba ke pesa nzila na Windows mpe na sensor ya Falcon na kuyantika na bunkete mpe na kubaka fichier ya chaîne ya kukangama na dituti.
  12. Sambu na VPN to pilote ya filtre ya lutaninu ya muntu ya nkaka ya me beba: Na ntuma ya mfumu na nge ya IT, soba zina ya kufwa ya sikisiki .sys kinati (ren C:\Windows\System32\drivers\<FaultyDriver>.sys <FaultyDriver>.sys.bak) to katula ntalu ya luyantiku ya kisalu na yo na registre yina kele ve na Internet ( ).reg load HKLM\OfflineSystem C:\Windows\System32\Config\SYSTEM), na nima sonika wpeutil reboot sambu na kuyantika diaka na Windows mutindu ya me fwana.

Warning

Sambu na nki nge fwete kabula ve ata fioti nsabi na nge ya kuvutula BitLocker ya ntalu 48 na nzila ya Chat to ya e-mail yina bo me zikisaka ve. Kana biro na nge ya lusadisu ya IT me pesa nge nsabi ya kuvutula BitLocker ya ntalu 48 na nzila ya telefone sambu na kuyidika bootloop na ordinatere mosi ya fioti, sonika yo ve ata fioti na noti mosi ya ke kangamaka na ordinatere ya fioti to na ordinatere ya fioti. Konso muntu yina kele ti nsabi yina ya kele ti bazina ya 48 lenda katula disque dur na nge ya mvimba ya kompani kukonda kusadila Internet. Simba nde bisika ya kompani yina bo ke twadisaka mbote (Microsoft Intune / Entra ID / MBAM) ke balulaka (ke vutulaka) na mbala mosi nsabi ya mpa ya kuvutula BitLocker** na nima kaka ntangu ordinatere na nge ya maboko ke vutukaka na Windows mpi ke vukanaka ti réseau ya kompani.

Banimero ya urgence ya kizunga mpi bansiku ya kimvuka

Na ntangu quarantaine ya ordinatere ya portable ya muntu mosi ya kisalu ya ntama ke vandaka mbala mingi mavwanga ya luvunu ya kukabwana to ya portal ya kimpika, kukangama ya EDR na mbala mosi na mbala mosi to onda ya BSOD na kati ya banduku mingi ya kisalu lenda monisa nde bateki ya ntoto ya mvimba me mana to nde ransomware ya kompani me salama:

  • États-Unis na Canada: Kana quarantaine ya EDR to bootloop ya bantu mingi me simba bacentre ya kutindila bantu 911, bisika ya kisalu ya lupitalu, ba salle d’urgence, to ba infrastructure ya avion/transit, sala nswalu Protocoles de papier de continuité des opérations (COOP) / de temps d’arrêt ya bwala na beno mpi binga sambu na urgence11-11 Rapore ya mambu ya mpasi yina me panzana na nzila ya Internet na CISA (Agence de sécurité et de sécurité infrastructures) na 10.00. 1-844-SAY-CISA (1-844-729-2472 to cisa.gov/report) ye Centro canadien de sécurité cibernética na . 1-833-CYBER-88.
  • Royaume-Uni: Binga 999 sambu na mambu ya nswalu ya luzingu. Mambu yina ke salamaka na nzila ya Internet na ba kompani mpi mambu yina ke salamaka na nzila ya ransomware yina ke tadila bimvuka ya UK fwete zabisama na Centre National de Sécurité Cybernétique (NCSC) na nzila ya . ncsc.gov.uk.
  • Union européenne: Binga 112 sambu na bisalu ya nswalu. Na nsi ya Nsiku ya UE NIS2 (Nsiku (UE) 2022/2555) mpi Artikle 33 ya GDPR, bimvuka ya secteur critique fwete zabisa mambu ya nene ya ke bebisa kisalu to mambu ya ke tadila lutaninu na CSIRT (Equipe de réponse aux incidents de sécurité informatique**ENISA mpi na insi na bo.
  • Australie na Nouvelle-Zélande: Binga 000 na Australie to 111 na Nouvelle-Zélande sambu na bisalu ya nswalu. Rapore ya mambu ya kukanga to ya kulomba mbongo na nzila ya Internet na Centre de Sécurité Cybernétique ya Australie (ASD ACSC) na 10.00. 1300 CYBER1 (1300 292 371) to NZANDA / NCSC NZ.
  • Inde mpe Asie-Pacifique: Binga 112 na Inde (mpe zabisa mambu ya ke salama na nzila ya internet na kimvuka na CERT-In), 119 na Japon mpe na Corée du Sud, to 995 na Singapour (SingCERT). Sambu na banimero ya urgence ya bansi mingi, tala . nimero ya urgence.

Tip

Nata "Routeur ya Voyage ya Poche ya $30" mpi Cable ya Kukangama ya USB ya Smartphone na Saki na Nge ya Laptop: Lutaninu mosi ya kuluta mbote na ntwala ya kukangama ya porte ya VPN ya Always-On ya kompani ntangu nge ke sala voyage kele routeur ya voyage ya nene ya poche (bonso routeur ya USB- Cable ya smartphone na nge) yina bo me vukisa ti cable ya USBC ya telefone na nge ya maboko) yina bo me vukisa ti cable ya USBC na nge. Sambu nge ke ndimaka Wi-Fi ya otele to ya avio na ecran ya telefone na nge ya mayele na nzila ya routeur ya nzietelo, Zscaler to agent AnyConnect ya ordinatere na nge ya ordinatere ya kompani ke monaka kaka ata fioti réseau WPA3 ya bunkete, ya kinsweki, yina bo me ndimaka na ntwala mpi yo ke salaka ve ata fioti kill-switch na yo ya captive-portal.

Bangyufula yina bantu keyulaka mbala na mbala

Sambu na nki CrowdStrike Falcon to SentinelOne tulaka ordinatere na mono ya kisalu na kisika mosi ntangu mono vandaka kusala ve ata kima mosi ya mbi?

E sadilwa ya unu ya Deteção e Resposta de Endpoints (EDR) ke ivavanga kaka ko mu vava e nkumbu za virus zazayakana; bo ke landilaka bikalulu ya bisalu na ntangu ya kieleka, injection ya mémoire, mpi ba arguments ya ligne de commande na kusadilaka heuristiques ya bikalulu (`IOAs` - Bidimbu ya Kubula). Bisalu ya nsiku ya bantu yonso ke salaka yina ke salaka nde EDR Network Containment ya automatisé kusalama mbala mingi kele bantu yina ke salaka baprograme ya ordinatere yina ke salaka ba script ya kutunga to ba debug ya bwala yina bo me tula ve bidimbu, bantu yina ke salaka na IT ke salaka . `nmap` to bantuma ya kuzaba réseau ya PowerShell, kukotisa ordinatere mosi ya bo me pesa ve nswa ya kusadila na ordinatere, to kukangama na routeur Wi-Fi ya otele yina bo me yidika mbote ve yina ke basisaka bansiku ya lutaninu ya ARP / Man-in-the-Middle. Kubinga SOC na nge mbala mosi ke pesa nzila na muntu yina ke salaka bansosa na kutala nti ya bisalu mpi na kutula kisalu na nge na liste ya mpembe na minuta fioti.

Kana ordinatere na mono ya maboko kele na Contenement ya Réseau EDR, keti ekipe na mono ya IT lenda mona kaka écran na mono to kukatula mono na quarantaine na ntama?

Ee, kana ordinatere na nge ya maboko kele kaka na réseau Wi-Fi yina ke salaka (bonso routeur ya nzo to kisika yina ordinatere na nge ya ordinatere ke sadilaka ordinatere). Kana CrowdStrike Falcon, SentinelOne, to Microsoft Defender sambu na Endpoint ke tula ordinatere ya maboko na Réseau, pilote ya filtre ya kernel ke kangaka nzila yonso ya bantu yina ke sadilaka yo mpi ke kangaka na pwelele yonso nzila mosi ya bo me pesaka sambu na kutwadisa TLS yina bo me sonikaka na ndinga ya ngolo na kati ya capteur EDR ya ordinatere ya maboko mpi console ya matuti. Na nzila ya tunnel yina ya kutwadisa, analyste na nge ya SOC lenda kangula shell ya diagnostic ya ntama (`Real Time Response` na Greve ya Kimvuka to `Live Response` na Defender) mpi niema "Lift Containment" sambu na kuvutula nzila ya kukota na réseau na nge na basegonde 30 kukonda kusonika ata kima mosi.

Sambu na nki ordinatere na mono ya kisalu lombaka na kintulumukina BitLocker Recovery Key ya kele ti bazina ya 48 ntangu mono tulaka yo na monitere ya otele to na station ya USB-C?

Ba ordinatere ya Windows ya ba kompani ke sadilaka chip ya **Module de plateforme confiable (TPM 2.0)** ya carte mère sambu na kutesa bima ya siki-siki mpi mutindu bo me yidika yo na ntwala ya kuyantika (**Registres de configuration de la plateforme ). `PCR 0, 2, 4, 7, 11`**) konso ntangu ya nge ke niema buto ya ngolo. Kana nge tula dock ya thunderbolt, disque dur USB ya nganda, to hub ya monitere yina ke sobaka ndonga ya UEFI ya kuyantika to mutindu ya kutula bisi ya PCIe DMA na ntwala nde Windows kuyantika, TPM ke monaka nsoba ya kitesilu ya bima mpi ke buyaka kubasisa nsabi ya kukatula ndinga na mbala mosi, ebuna yo ke pusaka Biprecker-divent na nge na kusadila 48-divent-divention as 48-divent lutaninu. Ntete, **katula bima yonso ya USB, ba dock, mpi bansinga ya HDMI mpi yantika diaka ordinatere ya maboko yo mosi** - mbala 90 na kati ya nkama, kitesilu ya TPM ke wakana diaka mpi ordinatere ya maboko ke kotaka mbala mosi na Windows kukonda kulomba nsabi ya kele ti bazina 48.

Nga ndenda kanga e nsinga mia Zscaler, Cisco AnyConnect yovo GlobalProtect mono kibeni muna sadila nsinga mia salu mia Windows?

Ve, na ordinatere ya kompani yina bo me yidika mbote, nge lenda fwa ve . `ZSATray.exe`, `CSFalconService.exe`, `vpnagent.exe`, to `PanGPS.exe` tuka muna mfumu a salu. Bantu yai ya ke taninaka ke salaka bonso **Baprocessus Protégés par Windows (`Protected Process Light / PPL` / `ELAM` Bisalu ya ke nwanaka ti baprograme ya mbi)** kele ya `SYSTEM` na ba pilote ya kuditanina ya kernel; ata kana muntu mosi kele ti kiyeka ya kutwadisa mambu na bwala na yandi, Windows ke buyaka . `Access Denied` ntangu nge ke meka kumanisa kisalu mosi ya lutaninu ya PPL kukonda **Protection de manipulation / Mot de passe Désactiver l’application** yina bo me basisa na console ya matuti ya kompani.

Adieyi tuvova kele vo mu ola yaswaswana isalanga yo IT Helpdesk ya kompani diame ilenda leka vava ordinatere ame ya moko ikangwa?

Ntete, tala kana kimvuka na beno kele ti **Centre d’opérations de sécurité (SOC) 24/7 to Ligne de téléphone pour les incidents majeurs on-call** yina kele ya kukabwana ti biro ya ke sadisaka bantu na mambu ya IT na ntangu ya kilumbu (ba kompani mingi ke sadilaka kontra ya CrowdStrike to SentinelOne yina kele ti Detection et Réponse Gestionnée 24/7 [1].`MDR`] ekipi to kutanina nimero ya escalation ya PagerDuty na nima ya bangunga ya kisalu yina bo me sonikaka na intranet ya bantu na beno ya kisalu to na lutiti ya kukota na kisalu). Ya zole, kana kisika ya nge me kanga kele **Ecran ya Nsabi ya Kuvutula BitLocker**, tala kana nge lenda kota na porte ya kompani na nge **Microsoft 365 / Entra ID "Konti na mono" (`myaccount.microsoft.com/device-list`)** katuka na navigateur na nge ya smartphone na kusadilaka appli na nge ya authentificateur MFA - bakompani mingi ke pesaka bantu ya kisalu nzila ya kutala self-service ya nsabi ya kuvutula BitLocker ya ordinatere na bo mosi ya kele ti ba ntalu 48 na nzila ya telefone na bo ya maboko.

Sambu na nki Wi-Fi na mono ya nzo ke yambulaka kusala na ordinatere na mono ya kisalu kaka na nima ya kukatuka na VPN ya kompani?

Ba configurations ya nkaka ya VPN ya ba kompani ke sadilaka kima mosi ya bo ke bingaka **"Always-On Quarantine / Trusted Network Detection (TND)"** yina ke kangaka na luzolo yonso nzila yonso ya kukota na internet konso ntangu yina tunnel ya VPN ke katukaka ntangu nge kele na nganda ya nzo ya biro ya kompani ya kinsuni, sambu na kubuyisa kubasika ya bansangu ya tunnel ya kukabwana. Na bantangu yankaka, kukatula VPN kebikaka adresi ya serveur DNS virtuel ya ntama (`10.x.x.x`) ya bo me bumbaka na adaptateur na nge ya Wi-Fi sambu routeur na nge ya nzo kukuka ve kuyidika ba adresi ya Internet. Kaka **kukangama diaka na VPN ya kompani** (to kusala `ipconfig /flushdns` mpi toggle Wi-Fi Off mpi On) sambu banzila na nge ya trafic kuluta bunkete na nzila ya kielo ya kompani yina bo me pesa nswa.

Bantwadisi ya ke wakana

Bisika mpi lutwadisu ya leta

  • CISA (Agence de sécurité cybernétique et de sécurité des infrastructures): Kuyidika mambu yina me panzana mingi na yina me tala kuzaba mpi kupesa mvutu (EDR) na yina me tala kukatuka ya sensore ya kernel mpi mitindu ya kuvutula BitLocker na kiteso ya nene.
  • Kimvuka ya Microsoft (Microsoft Learn): Mukanda ya Kuvutula BitLocker: Kuyidika Bampasi ya Kukangama ya Kundimisa ya TPM PCR mpi Kusadila Nsiku ya WinRE sambu na Kuyidika Ba-pilote yina kele mfunu mingi sambu na kuyantika mpi Microsoft Defender sambu na Architecture ya Kukatula Mashini ya Nsuka.
  • NIST (Institut national des normes et de la technologie): Mukanda ya sipesiali ya NIST 800-207: Architecture de confiance zero (ZTA) mpe *NIST SP 800-83 Rev.
  • CrowdStrike, Inc. & SentinelOne: Nsiku ya Kukangama ya Réseau ya Basensore ya Falcon, Banzila ya Kukatula Bidimbu ya Kuyidika, mpi Mikanda ya Kuvutula Bafishe ya Banzila.
  • Zscaler & Cisco Systems: Kusadila Detection ya Porte ya Bo Me Kanga na Nzila ya Kukota na Réseau ya Kutula Ntima (ZTNA) yina kele ntangu yonso na zulu mpi na Bansiku ya Ngolo ya Kukangama ya Kukangama.