Pracovný notebook v karanténe CrowdStrike/SentinelOne alebo zablokovaný pokazeným prepínačom VPN Kill-Switch pri práci na diaľku¶

Prebudíte sa v domácej kancelárii, hotelovej izbe alebo vzdialenom pracovnom priestore a zistíte, že váš notebook vydaný spoločnosťou zobrazuje „Pripojené, žiadny internet“ v každej sieti Wi-Fi, odmieta načítať prihlasovaciu stránku portálu na prihlásenie do hotelového alebo letiskového portálu alebo havaruje na nekonečnej modrej obrazovke smrti v systéme Windows (BSOD) bootloop (PAGE_FAULT_IN_NONPAGED_AREA alebo SYSTEM_THREAD_EXCEPTION_NOT_HANDLED) je mimoriadna situácia na diaľku. V moderných podnikových prostrediach je toto úplné zablokovanie takmer vždy spôsobené jedným z troch automatických bezpečnostných mechanizmov: karanténou Endpoint Detection and Response (EDR) Network Containment spúšťanou CrowdStrike Falcon, SentinelOne alebo Microsoft Defender for Endpoint, poškodené jadro, ktoré bráni v režime zablokovania operačného systému alebo aktualizácie bezpečnostného systému VPN pri spustení / Zero-Trust Network Access (ZTNA) Kill-Switch** (Zscaler Client Connector, Cisco AnyConnect / Secure Client, Palo Alto GlobalProtect alebo Fortinet FortiClient) blokujúci všetku lokálnu komunikáciu DNS a DHCP, kým sa nevytvorí tunel. Ak vaše uzamknutie zahŕňa aktívny ransomvérový útok alebo požiadavku vydierania, kontaktujte svoje podnikové bezpečnostné operačné centrum (SOC) a poraďte sa s miestnym tiesňové čísla ak je ovplyvnená kritická infraštruktúra alebo systémy životnej bezpečnosti. Pre súvisiace krízy práce na diaľku si pozrite našich sprievodcov na ukradnutý alebo rozbitý pracovný notebook počas cestovania a obnovenie zámku MDM, pracujúci na diaľku z hotela, a zálohovanie internetu a pripojenia.

Keďže podnikové koncové body sú spevnené heslami na ochranu pred neoprávnenou manipuláciou, používateľskými účtami bez správcu a šifrovaním celého disku Microsoft BitLocker alebo macOS FileVault, štandardné triky na riešenie problémov spotrebiteľov (ako je preinštalovanie systému Windows alebo vymazanie priečinkov s programom) zlyhajú alebo spustia veľmi závažnú výstrahu o vnútornej hrozbe na paneli CISO. Avšak diagnostikou, či čelíte EDR Host Isolation, VPN Captive-Portal Deadlock alebo Cernel Driver Bootloop, a požiadaním svojho IT Helpdesk alebo tímu SecOps o presný 48-miestny kľúč na obnovenie BitLocker alebo Jednorazovú offline údržbu / Uncontaining Token, môžete svoj hlasový hovor obnoviť z ľubovoľného miesta 15 minút na svete.

Urobte to teraz¶

1. NEPOKÚŠAJTE sa vymazať, resetovať ani zaviesť firemný prenosný počítač z neautorizovaného USB kľúča so systémom Linux alebo prelomením hesla. Zavedenie podnikového prenosného počítača z externého disku USB sa vypne Zabezpečené spustenie UEFI a Trusted Platform Module (TPM 2.0) Kontrola integrity PCR, ktorá okamžite uzamkne pevný disk za 48-miestnou obrazovkou operačného centra BitLockerC a odošle kritický moment prenosného počítača na falšovanie (SO). znovu pripojí.
2. Zistite, či je váš internet blokovaný karanténou EDR alebo blokovaním prepínača VPN. Otvorte príkazový riadok (cmd.exe) alebo okno terminálu a spustite ping 8.8.8.8 a nslookup google.com. Ak ** zlyhá každý jeden paket s General failure alebo Transmit failed. Error code 1231** aj keď je na vašej ikone Wi-Fi uvedené „Pripojené“, ovládač filtra brány firewall (buď EDR Network Containment alebo striktný VPN Kill-Switch) zahadzuje všetky odchádzajúce pakety na platforme Windows Filtering Platform (WFP) vrstva.
3. Ak ste v hoteli, kaviarni alebo na letisku a vaša Always-On VPN blokuje prihlasovaciu stránku Wi-Fi („Zablokovanie kurčiat a vajec na portáli na zajatí“), NAJPRV pripojte svoj laptop k mobilnému Wi-Fi hotspotu svojho smartfónu. Pretože váš hotspot smartfónu nepoužíva webovú stránku prihlasovacieho portálu, vaša firemná Always-On VPN alebo agentom Zscaler sa okamžite stiahnu všetky aktualizované pravidlá mobilného telefónu, aby sa odstránili všetky aktualizované zásady mobilného telefónu. od IT, a umožní vám požiadať o dočasné Vynechanie/vypnutie hesla prihláseného portálu.
4. Ak váš laptop so systémom Windows uviazol v nekonečnej modrej obrazovke smrti (BSOD) bootloop po nočnej bezpečnostnej aktualizácii, presne odfotografujte Stop Code a .sys názov súboru v spodnej časti modrej obrazovky (ako napr csagent.sys alebo SentinelMonitor.sys). Tento názov súboru okamžite informuje váš IT tím, či zlyhanie spôsobil chybný súbor kanála EDR alebo ovládač jadra.
5. Pred vstupom do núdzového režimu Windows alebo príkazového riadka WinRE na firemnom počítači zavolajte na svoj telefón na oddelenie IT a požiadajte ho, aby vám prečítalo alebo poslalo textovú správu zo 48-miestneho kľúča obnovenia BitLocker vášho notebooku (zodpovedajúceho prvým 8 znakom Key ID zobrazené na vašej obrazovke). Bez zadania týchto 48 číslic nemôžete otvoriť príkazový riadok na obnovenie alebo spustiť systém v núdzovom režime na šifrovanom podnikovom prenosnom počítači.
6. Ak CrowdStrike Falcon, SentinelOne alebo Defender for Endpoint umiestnili váš laptop do „Network Containment“ (Host Isolation), zastavte spúšťanie skriptov alebo prenos súborov a zavolajte telefonicky do vášho podnikového bezpečnostného operačného centra (SOC). Presne vysvetlite, čo ste robili tesne pred uzamknutím (napríklad spustenie kompilátora pre vývojárov, pripojenie smerovača pre vývojárov, vytvorenie nástroja na testovanie prieniku, PowerS). analytik môže overiť, že išlo o falošne pozitívny výsledok, a kliknúť na „Zdvihnúť zadržiavanie“ z cloudovej konzoly (ktorá sa automaticky dostane do vášho notebooku aj v karanténe).

Rozhodovací strom: Diagnostika zablokovania podnikovej siete prenosných počítačov a bootloopov¶

Pomocou tohto vývojového diagramu môžete určiť, ktorá vrstva podnikového zabezpečenia uzamkla váš prenosný počítač, a nasmerovať sa na presný postup obnovy.

flowchart TD
    A["Vzdialený pracovný laptop je zablokovaný alebo sa nedá pripojiť"] --> B{"Spustí sa prenosný počítač na pracovnej ploche Windows / macOS?"}
    B -->|"Nie: Zlyhanie v slučke modrej obrazovky (BSOD) alebo obrazovke BitLocker"| C{"Čo sa zobrazuje na obrazovke?"}
    C -->|"BSOD pomenovanie csagent.sys, SentinelMonitor.sys alebo wdfilter.sys"| D["BOOTLOOP OVLÁDAČA JADRA: Zavedenie do WinRE Recovery -> Zadajte 48-miestny kľúč BitLocker z IT -> Odstráňte chybný súbor kanála alebo premenujte ovládač v núdzovom režime"]
    C -->|"Modrá obrazovka obnovenia nástroja BitLocker vyžadujúca 48-miestny kľúč"| E["TPM PCR TRIP: Odpojte všetky USB doky/disky -> Reštartujte -> Ak sa zobrazí výzva, zavolajte na IT Helpdesk s 8-znakovým ID kľúča a získajte 48-miestny obnovovací kľúč"]
    B -->|"Áno: Bootuje na pracovnej ploche, ale NULOVÝ prístup k internetu / sieti"| F{"Čo sa stane, keď skontrolujete stav VPN / ZTNA a Wi-Fi?"}
    F -->|"V hoteli/na letisku: Wi-Fi je pripojené, ale prihlasovacia stránka portálu Captive sa neotvorí"| G["DEADLOCK CAPTIVE PORTAL: Najprv pripojte laptop k hotspotu smartfónu -> Autentifikácia VPN -> Alebo pripojte cestovný smerovač a dokončite prihlásenie do portálu na telefóne"]
    F -->|"Home/Hotspot Wi-Fi je pripojený, ale ping 8.8.8.8 hovorí „General Failure“"| H{"Je klient VPN zaseknutý v 'Connecting / Kill-Switch Active' ALEBO izoluje EDR?"}
    H -->|"Klient VPN hovorí: „Network Lock / Kill Switch Active - Nedá sa dosiahnuť Gateway“"| I["VPN KILL-SWITCH LOCK: Prepnite na hotspot telefónu -> Alebo zadajte IT jednorazové deaktivačné heslo v Zscaler / AnyConnect / GlobalProtect"]
    H -->|"VPN je vypnutá alebo odpojená, ALEBO vyskakovacie okno zabezpečenia hovorí „Host izolovaný“"| J["OBMEDZENIE SIETE EDR: Udržujte pripojenie k sieti Wi-Fi -> Zavolajte podnikové SOC -> Poskytnite názov hostiteľa -> SOC klikne na „Zdvihnúť zadržiavanie“ ALEBO odovzdá token údržby offline"]

Scenár 1: Laptop v karanténe EDR „Network Containment“ (CrowdStrike, SentinelOne, Defender)¶

Moderné podnikové notebooky používajú senzory Endpoint Detection and Response (EDR) na úrovni jadra namiesto tradičného spotrebiteľského antivírusového softvéru. Keď senzor EDR zaznamená správanie, ktoré sa podobá kybernetickému útoku - ako napríklad softvérový inžinier kompilujúci nepodpísaný binárny súbor, dátový analytik spustený komplexný automatizačný skript PowerShell alebo Python, návrhár otvárajúci tabuľku s podporou makier alebo cestovateľ, ktorý sa pripája k ohrozenej hotelovej sieti a vydáva kompromitované pakety spoofingu ARP (Consolment)** Automatizovaný playbook**.

Ako rozpoznať karanténu EDR Network Containment¶

Na rozdiel od bežného poklesu siete Wi-Fi má karanténa EDR veľmi špecifické technické príznaky:

1. Wi-Fi zobrazuje „Pripojené“ alebo „Žiadny internet, zabezpečené“, no miestne zariadenia LAN sú neviditeľné: Nemôžete pingovať svoj vlastný domáci smerovač (192.168.1.1), nemožno tlačiť na lokálnu sieťovú tlačiareň a ping 8.8.8.8 sa vracia General failure alebo Transmit failed okamžite (<1 ms), pretože systém Windows Filtering Platform snímača EDR (WFP) ovládač popisov zachytí a zahodí každý paket TCP/UDP/ICMP skôr, ako sa dostane na kartu Wi-Fi.
2. Súčasné zmrazenie relácií aktívnej vzdialenej pracovnej plochy, Slack, Zoom a prehliadača: Do 2 sekúnd od spustenia správania sa všetky zásuvky naraz zatvoria.
3. Kontrola miestneho stavu EDR cez príkazový riadok (nie sú potrebné žiadne práva správcu):
4. CrowdStrike Falcon: Otvoriť príkazový riadok (cmd.exe) a bežte sc query csagent. Ak sa ukáže STATE: 4 RUNNINGa beh netstat -ano | findstr :443 ukazuje, že len je aktívny ESTABLISHED odchádzajúce pripojenia na celom notebooku patria CSFalconService.exe Ak hovoríte s cloudovými IP adresami AWS/CrowdStrike, váš hostiteľ je v Falcon Network Containment.
5. SentinelOne: Pozrite sa na fialovú ikonu štítu SentinelOne na systémovej lište (alebo na paneli s ponukami v systéme MacOS). Keď je izolovaný, stav agenta znie Network Quarantined / Disconnected from Network by Management.
6. Microsoft Defender for Endpoint (MDE): Toast s upozornením zabezpečenia systému Windows môže krátko uvádzať „Toto zariadenie izoloval váš správca,“. MsSense.exe zostáva jediným procesom povoleným cez firewall.

Ako sa dostať z karantény na diaľku (Online Cloud Release vs. Offline Maintenance Token)¶

Existujú dva spôsoby, ako môže vaše IT Security Operations Center (SOC) uvoľniť karanténu EDR:

Scenár 2: Nefunkčný prepínač zabíjania VPN alebo zablokovanie portálu ZTNA¶

Čo ak váš prenosný počítač nie je v karanténe SecOps, ale namiesto toho beží podnikového Always-On VPN alebo Zero-Trust Network Access (ZTNA) klienta (Zscaler Client Connector, Cisco AnyConnect / Cisco Secure Client s modulom viditeľnosti siete, Palo Alto GlobalProtect alebo Netskope) s konfiguráciou (Stricilt-Closed"-Stricilt"-F "Blokovať všetku nefiremnú premávku, keď nie je dôveryhodná")**?

1. Riešenie „zablokovania portálu na zajatie hotela / letiska“ (pasca na sliepky a vajce)¶

Tu je dôvod, prečo tisíce vzdialených pracovníkov každé ráno zamknú svoje notebooky v hoteloch, kaviarňach a na letiskách:

• Ak chcete získať prístup na internet cez Wi-Fi v hoteli alebo na letisku, musíte otvoriť webový prehliadač a nechať sa presmerovať cez HTTP/DNS na miestnu prihlasovaciu stránku hotela (captive.apple.com alebo neverssl.com) a zadajte číslo svojej izby a priezvisko.
• Avšak, prepínač Always-On VPN Kill-Switch vášho firemného notebooku zistí, že hotelová Wi-Fi je „nedôveryhodná nefiremná sieť“ a okamžite zablokuje všetky lokálne požiadavky HTTP a DNS, kým sa šifrovaný tunel VPN nepripojí k ústrediu spoločnosti.
• Tunel VPN sa nemôže pripojiť, kým nezadáte číslo svojej izby na prihlasovacej stránke hotela, a nemôžete načítať prihlasovaciu stránku hotela, pretože prepínač VPN Kill-Switch blokuje váš prehliadač.

Použite jednu z týchto štyroch osvedčených metód obchádzania na okamžité prelomenie zablokovania bez toho, aby ste potrebovali práva správcu:

+-----------------------------------------------------------------------+
|  4 WAYS TO BREAK A VPN KILL-SWITCH CAPTIVE PORTAL DEADLOCK            |
|                                                                       |
|  METHOD 1 (Smartphone USB/Wi-Fi Tethering + MAC Clone / Travel Router)|
|  Authenticate the hotel captive portal on a pocket Travel Router      |
|  (or Android Wi-Fi Share), then connect your work laptop to the       |
|  already-authenticated router Wi-Fi.                                  |
|                                                                       |
|  METHOD 2 (Built-In Mini Captive Portal Browser Inside VPN Client)    |
|  Click the Zscaler / GlobalProtect / AnyConnect tray icon ->          |
|  Click "Captive Portal Detected / Open Login Window".                 |
|                                                                       |
|  METHOD 3 (Gateway IP Direct Entry in Browser)                        |
|  Run `ipconfig` -> Find "Default Gateway" (e.g., 10.0.0.1) ->         |
|  Type `http://10.0.0.1` directly into Edge/Chrome address bar.        |
|                                                                       |
|  METHOD 4 (Authenticate on Phone First -> Call IT for Disable Code)   |
|  Tether laptop to Phone Cellular Data -> Get Zscaler/VPN Disable      |
|  Password from IT -> Pause VPN for 10 min -> Join Hotel Wi-Fi.        |
+-----------------------------------------------------------------------+

1. Spôsob 1 - Wi-Fi Bridge pre smartfóny alebo trik s vreckovým cestovným smerovačom (funguje 100 percent času):
2. Váš pracovný notebook nedokáže rozlíšiť medzi neoverenou hotelovou sieťou Wi-Fi a osobným smerovačom, ktorý sa už už prihlásil do hotelového portálu.
3. Ak máte telefón s Androidom (zdieľanie Wi-Fi): Pripojte svoj telefón s Androidom k hotelovej sieti Wi-Fi, dokončite prihlásenie do portálu na prihlásenie sa k číslu izby na obrazovke telefónu a potom zapnite v telefóne Mobile Hotspot (moderné telefóny Samsung Pixel/Android podporujú simultánne Wi-Fi Repeater / režim zdieľania Wi-Fi, vysielanie dát z vášho hotelového Wi-Fi pripojenia na internet). Pripojte svoj pracovný notebook k hotspotu telefónu: VPN sa pripojí okamžite.
4. Ak nosíte vreckový cestovný smerovač (napríklad GL.iNet Beryl/Slate; pozri pracujúci na diaľku z hotela): Pripojte cestovný smerovač k hotelovej sieti Wi-Fi, dokončite prihlásenie do hotela pomocou prehliadača smartfónu a pripojte pracovný prenosný počítač k portu WPA3 Wi-Fi alebo Ethernet na cestovnom smerovači.
5. Spôsob 2 - Zadajte IP adresu miestnej predvolenej brány priamo do svojho prehliadača (http://10.x.x.x):
6. VPN Kill-Switch alebo DNS proxy Zscaler často unesie iba vyhľadávanie názvu domény DNS (blokovanie neverssl.com alebo google.com), pričom stále umožňuje nespracovaným IP paketom miestnej podsiete dosiahnuť bránu miestneho smerovača na 60 sekúnd po pridružení k sieti Wi-Fi.
7. Otvorte príkazový riadok (cmd.exe), typ ipconfiga pozrite sa na IP adresu Predvolená brána Wireless LAN adapter Wi-Fi (napr. 172.16.0.1 alebo 192.168.20.1).
8. Otvorte prehliadač a zadajte http://172.16.0.1 (pomocou http://, nikdy https://a presné čísla z vašej predvolenej brány) priamo do panela s adresou. Toto zasiahne kontrolór hotelového portálu na prihlásenie sa priamo cez IP bez potreby rozlíšenia DNS a zobrazí sa prihlasovacia obrazovka.
9. Spôsob 3 - Použite tlačidlo Zscaler / GlobalProtect / AnyConnect „Otvoriť portál Captive Portal“ alebo reštartujte službu:
10. V Zscaler Client Connector (ZCC): Otvorte okno Zscaler na systémovej lište, kliknite na More -> Troubleshoot -> Restart Service (ktorý nevyžaduje heslo a počas reinicializácie otvorí krátke 30-sekundové okno detekcie portálu na prihlásenie).
11. V Palo Alto GlobalProtect: Kliknite na trojriadkovú ponuku v pravom hornom rohu kontextového panela GlobalProtect -> Settings -> General -> ak stav hovorí „Zistil sa portál na prihlásenie“, kliknite na modrú Remediate tlačidlo na spustenie mini prehliadača GlobalProtect v karanténe.

2. Oprava „Zombie VPN Adapter / Broken DNS Loopback (127.0.0.1 alebo 100.64.0.1)" Po havárii¶

Čo ak ste doma na svojej bežnej sieti Wi-Fi a po vybití alebo zlyhaní batérie vášho notebooku počas pripojenia k podnikovej sieti VPN sa váš laptop spustí s nulovým rozlíšením DNS (webové stránky hovoria DNS_PROBE_FINISHED_NXDOMAINa nedokážete rozpoznať ani názov domény firemného servera VPN na opätovné pripojenie VPN)?

Stáva sa to, keď klient VPN zlyhá bez čistého obnovenia nastavení DNS vašej Wi-Fi karty, takže váš sieťový adaptér bude trvalo nasmerovaný na mŕtvu IP virtuálneho tunela (100.64.0.1 pre Zscaler/Tailscale CGNAT alebo 127.0.0.1):

1. Vyprázdnite vyrovnávaciu pamäť DNS systému Windows a katalóg Winsock (funguje bez práv správcu pre vyprázdnenie DNS):
2. Otvorte príkazový riadok a spustite ho ipconfig /flushdns.
3. Bežať nslookup vpn.yourcompany.com 8.8.8.8 (nahradiť vpn.yourcompany.com s názvom hostiteľa brány VPN vašej spoločnosti). Pripojením 8.8.8.8 do konca nslookup Obídete nefunkčný lokálny DNS resolver vášho laptopu a priamo sa dotazujete na verejný DNS Google (ak je otvorený port 53), aby ste zistili surovú číselnú IP adresu vašej firemnej brány VPN.
4. Pripojte sa k firemnej bráne VPN pomocou jej surovej číselnej IP adresy:
5. Ak Cisco AnyConnect alebo GlobalProtect zlyhá s "Nedá sa vyriešiť adresa servera," prilepte surovú číselnú IP adresu (203.0.113.50) priamo do boxu servera VPN (ak to povoľujú pravidlá) alebo zavolajte IT a získajte Heslo na vypnutie profilu aplikácie Zscaler / VPN na resetovanie virtuálneho sieťového adaptéra (ncpa.cpl).

Scenár 3: Obnova z modrej obrazovky ovládača jadra EDR (BSOD) Bootloop¶

V júli 2024 bola na senzor CrowdStrike Falcon Windows (csagent.sys / Channel File 291) spôsobilo okamžité zlyhanie 8,5 milióna podnikových počítačov so systémom Windows na celom svete PAGE_FAULT_IN_NONPAGED_AREA Bootloop modrej obrazovky smrti predtým, ako sa operačný systém mohol pripojiť k internetu a stiahnuť opravu. Podobné bootloopy sa pravidelne vyskytujú, keď SentinelOne (SentinelMonitor.sys), Microsoft Defender (WdFilter.sys) alebo Ovládače filtra VPN NDIS kolidujú s kumulatívnou aktualizáciou systému Windows.

Pretože zlyhávajúci ovládač je nakonfigurovaný ako BOOT_START (Start = 0) ovládač jadra, systém Windows ho načíta do pamäte počas prvej sekundy spustenia - dlho pred inicializáciou Wi-Fi alebo správy cloudu. Jediný spôsob, ako opraviť a BOOT_START bootloop ovládača jadra je lokálne cez prostredie Windows Recovery Environment (WinRE).

+-----------------------------------------------------------------------+
|  HOW TO BREAK AN EDR KERNEL DRIVER BSOD BOOTLOOP VIA WinRE            |
|                                                                       |
|  1. Force-interrupt boot 2-3 times (or hold Shift + Restart on        |
|     Recovery screen) until "Choose an option" blue menu appears.      |
|  2. Click Troubleshoot -> Advanced options -> Command Prompt          |
|     (or Startup Settings -> F4/F5 Safe Mode).                         |
|  3. Read the 8-character "Recovery Key ID" on screen to your IT       |
|     Helpdesk over the phone -> Type the 48-digit BitLocker Key.       |
|  4. In WinRE Command Prompt, locate the Windows partition (`C:` or    |
|     `D:`), delete the corrupted `.sys` channel file or rename the     |
|     faulty driver folder, and type `wpeutil reboot`.                  |
+-----------------------------------------------------------------------+

Miestne obnovenie WinRE krok za krokom (sprevádzané vaším IT Helpdeskom na telefóne)¶

1. Vstúpte do prostredia obnovenia systému Windows (WinRE):
2. Po dvoch po sebe nasledujúcich neúspešných spusteniach Windows 10 a Windows 11 automaticky zobrazia modrú obrazovku Obnova („Zdá sa, že sa systém Windows nenačítal správne“).
3. Kliknite na See advanced repair options -> Troubleshoot -> Advanced options -> Command Prompt (čo je rýchlejšie a vyžaduje menej reštartov ako núdzový režim).
4. Odomknite šifrovaný disk pomocou 48-miestneho kľúča na obnovenie nástroja BitLocker:
5. Pretože je váš firemný pevný disk šifrovaný pomocou BitLocker, WinRE okamžite zobrazí modrú obrazovku s textom: „Zadajte obnovovací kľúč pre tento disk“ spolu s ID kľúča (8 hexadecimálnych znakov, ako napr. A1B2C3D4).
6. Zavolajte na IT Helpdesk vašej spoločnosti na svojom smartfóne, prečítajte si Názov hostiteľa / Asset Tag a 8-znakové ID kľúča BitLocker a požiadajte technika, aby prečítal 48-miestny číselný kľúč obnovenia BitLocker (zoskupený do ôsmich blokov po 6 číslic). Opatrne napíšte 48 číslic a stlačte Enter.
7. Identifikujte, ktoré písmeno jednotky obsahuje vašu inštaláciu systému Windows vo vnútri WinRE:
8. V prostredí obnovy WinRE je vášmu hlavnému disku Windows často priradené písmeno jednotky D: alebo E: namiesto C: (pretože malý skrytý oddiel EFI/Recovery zaberá C:).
9. Typ dir C:\Windows a stlačte Enter. Ak hovorí File Not Found, typ dir D:\Windows kým nenájdete písmeno jednotky obsahujúce vaše Windows priečinok.
10. Vykonajte vymazanie súboru kanála autorizovaného predajcom alebo premenovanie ovládača (podľa pokynov IT):
11. Pre skorumpovanú aktualizáciu súboru CrowdStrike Channel: Prejdite do adresára ovládača CrowdStrike (cd /d C:\Windows\System32\drivers\CrowdStrike alebo D:\Windows\System32\drivers\CrowdStrike), overte poškodený súbor kanála určený vaším IT tímom (napr. del C-00000291*.sys) a stlačte Enter. Pretože kanál .sys súbory sú skôr dynamické aktualizácie pravidiel než jadro csagent.sys vymazanie poškodeného súboru kanála umožní systému Windows a senzoru Falcon čisté spustenie a stiahnutie súboru pevného kanála z cloudu.
12. Pre skorumpovanú sieť VPN tretej strany alebo ovládač bezpečnostného filtra: Na pokyn správcu IT premenujte konkrétne zlyhanie .sys vodič (ren C:\Windows\System32\drivers\<FaultyDriver>.sys <FaultyDriver>.sys.bak) alebo zakážte počiatočnú hodnotu služby v offline registri (reg load HKLM\OfflineSystem C:\Windows\System32\Config\SYSTEM), potom zadajte wpeutil reboot na normálne reštartovanie systému Windows.

Regionálne tiesňové čísla a protokoly agentúr¶

Zatiaľ čo karanténa prenosného počítača jedného vzdialeného pracovníka je zvyčajne izolovaný falošne pozitívny konflikt alebo konflikt s portálom na zajatie, náhle súčasné uzamknutie EDR alebo vlna BSOD medzi viacerými spolupracovníkmi môže signalizovať buď globálny výpadok dodávateľa alebo aktívny podnikový ransomvérový incident:

• Spojené štáty a Kanada: Ak karanténa EDR alebo hromadné zavádzanie zasiahne dispečingové centrá 911, nemocničné klinické pracoviská, pohotovosti alebo leteckú/tranzitnú infraštruktúru, okamžite aktivujte miestne protokoly Continuity of Operations (COOP) / Downtime Paper Protocols a zavolajte na 911 pre núdzové situácie v oblasti životnej bezpečnosti. Nahláste rozsiahle kybernetické incidenty kritickej infraštruktúry CISA (Agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry) na adrese 1-844-SAY-CISA (1-844-729-2472 alebo cisa.gov/report) a Kanadské centrum pre kybernetickú bezpečnosť na adrese 1-833-CYBER-88.
• Spojené kráľovstvo: Zavolajte na číslo 999 pre núdzové situácie týkajúce sa bezpečnosti života. Podnikové kybernetické incidenty a udalosti súvisiace s obmedzovaním ransomvéru ovplyvňujúce organizácie v Spojenom kráľovstve by mali byť nahlásené do Národného centra kybernetickej bezpečnosti (NCSC) prostredníctvom ncsc.gov.uk.
• Európska únia: Vytočte 112 pre pohotovostné služby. Podľa smernice EÚ NIS2 (smernice (EÚ) 2022/2555) a článku 33 GDPR musia subjekty kritického sektora hlásiť významné prevádzkové narušenie alebo bezpečnostné incidenty svojim národným CSIRT (tím pre reakciu na bezpečnostné incidenty počítača) a ENISA.
• Austrália a Nový Zéland: Zavolajte na číslo 000 v Austrálii alebo na číslo 111 na Novom Zélande pre pohotovostné služby. Nahláste podnikové incidenty kybernetickej bezpečnosti alebo vydierania Austrálskemu centru kybernetickej bezpečnosti (ASD ACSC) **Austrálskeho riaditeľstva pre signály“ na adrese 1300 CYBER1 (1300 292 371) alebo CERT NZ / NCSC NZ.
• India a Ázia a Tichomorie: Vytočte 112 v Indii (a nahláste organizačné kybernetické incidenty na CERT-In), 119 v Japonsku a Južnej Kórei alebo 995 v Singapure (SingCERT). Medzinárodné tiesňové čísla nájdete v časti tiesňové čísla.

Často kladené otázky¶

Prečo CrowdStrike Falcon alebo SentinelOne umiestnili môj pracovný notebook do karantény, keď som nerobil nič škodlivé?¶

Agenti modernej detekcie a odozvy koncového bodu (EDR) nielen skenujú známe vírusové signatúry; monitorujú správanie procesov v reálnom čase, vstrekovanie pamäte a argumenty príkazového riadka pomocou behaviorálnej heuristiky (`IOAs` - Indikátory útoku). Bežné legitímne aktivity, ktoré často spúšťajú automatizovaný systém EDR Network Containment, zahŕňajú vývojárov softvéru, ktorí spúšťajú nepodpísané lokálne skripty alebo debuggery, či pracujúci IT personál. `nmap` alebo príkazy na zisťovanie siete PowerShell, zapojenie neautorizovanej USB klávesnice s makrami v gumovom štýle alebo pripojenie k nesprávne nakonfigurovanému hotelovému Wi-Fi routeru, ktorý spúšťa pravidlá obrany proti spoofingu ARP / Man-in-the-Middle. Okamžité zavolanie vášho SOC umožní analytikovi skontrolovať strom procesov a pridať vašu aktivitu na bielu listinu v priebehu niekoľkých minút.

Ak je môj laptop v EDR Network Containment, môže môj IT tím stále vidieť moju obrazovku alebo ma môže vzdialene zrušiť z karantény?¶

Áno, pokiaľ je váš laptop stále pripojený k fungujúcej sieti Wi-Fi (ako je váš domáci smerovač alebo mobilný hotspot vášho smartfónu). Keď CrowdStrike Falcon, SentinelOne alebo Microsoft Defender for Endpoint umiestnia prenosný počítač do Network Containment, ovládač filtra jadra zablokuje všetku bežnú používateľskú prevádzku, pričom explicitne ponechá otvorený vyhradený šifrovaný tunel správy TLS medzi snímačom EDR prenosného počítača a cloudovou konzolou. Prostredníctvom tohto tunela správy môže váš analytik SOC otvoriť vzdialený diagnostický shell (`Real Time Response` v CrowdStrike alebo `Live Response` v programe Defender) a kliknutím na „Zdvihnúť ochranu“ obnovíte prístup k sieti do 30 sekúnd bez toho, aby ste museli čokoľvek písať.

Prečo môj pracovný notebook zrazu požiadal o 48-miestny kľúč na obnovenie BitLocker, keď som ho zapojil do hotelového monitora alebo dokovacej stanice USB-C?¶

Podnikové notebooky so systémom Windows používajú čip **Trusted Platform Module (TPM 2.0)** základnej dosky na meranie presnej konfigurácie hardvéru a pred spustením (** Registre konfigurácie platformy `PCR 0, 2, 4, 7, 11`**) pri každom stlačení tlačidla napájania. Ak pripojíte dokovaciu stanicu Thunderbolt, externú jednotku USB alebo rozbočovač monitora, ktorý zmení poradie spúšťania UEFI alebo rozloženie zbernice PCIe DMA pred spustením systému Windows, modul TPM deteguje zmenu merania hardvéru a odmietne automaticky uvoľniť dešifrovací kľúč a vyzve vás na zadanie 48-miestneho kľúča na obnovenie nástroja BitLocker na ochranu proti krádeži. Najprv **odpojte všetko príslušenstvo USB, doky a káble HDMI a reštartujte prenosný počítač sám** - v 90 percentách prípadov sa meranie TPM znova zhoduje a prenosný počítač sa spustí priamo so systémom Windows bez potreby 48-miestneho kľúča.

Môžem zakázať Zscaler Client Connector, Cisco AnyConnect alebo GlobalProtect sám pomocou Správcu úloh systému Windows?¶

Nie, na správne nakonfigurovanom firemnom notebooku nemôžete zabíjať `ZSATray.exe`, `CSFalconService.exe`, `vpnagent.exe`, alebo `PanGPS.exe` zo Správcu úloh. Títo bezpečnostní agenti fungujú ako **chránené procesy Windows (`Protected Process Light / PPL` / `ELAM` Anti-Malware služby)** vo vlastníctve `SYSTEM` s ovládačmi sebaobrany jadra; aj keď má používateľ oprávnenia lokálneho správcu, systém Windows zamietne `Access Denied` pri pokuse o ukončenie bezpečnostnej služby PPL bez kryptografického hesla **Ochrana pred neoprávneným zásahom / Heslo na deaktiváciu profilu aplikácie** vygenerovaného z podnikovej cloudovej konzoly.

Čo ak pracujem v inom časovom pásme a IT Helpdesk mojej spoločnosti spí, keď sa môj laptop zablokuje?¶

Najprv skontrolujte, či má vaša organizácia **24/7 Security Operations Center (SOC) alebo On-Call Hotline pre závažné incidenty** oddelené od štandardného denného IT Helpdesku (väčšina podnikov využíva CrowdStrike alebo SentinelOne zmluvu s 24/7 riadenou detekciou a odozvou [`MDR`] alebo si po pracovnej dobe udržujte číslo eskalácie PagerDuty uvedené na intranete vášho zamestnanca alebo na registračnom hárku). Po druhé, ak je vaše uzamknutie **obrazovkou kľúča obnovenia BitLocker**, skontrolujte, či sa môžete prihlásiť na svoj firemný portál **Microsoft 365 / Entra ID „Môj účet“ (`myaccount.microsoft.com/device-list`)** z prehliadača vášho smartfónu pomocou aplikácie na overenie MFA - mnoho spoločností umožňuje zamestnancom prezerať si samoobslužný 48-miestny kľúč obnovenia BitLocker ich vlastného prenosného počítača prostredníctvom mobilného telefónu.

Prečo moje domáce Wi-Fi prestane fungovať na mojom pracovnom notebooku hneď po odpojení od firemnej VPN?¶

Niektoré konfigurácie podnikovej siete VPN používajú funkciu s názvom **„Vždy zapnutá karanténa / detekcia dôveryhodnej siete (TND)“**, ktorá zámerne blokuje všetok prístup na internet vždy, keď sa tunel VPN odpojí, keď sa nachádza mimo fyzickej firemnej kancelárskej budovy, aby sa zabránilo úniku údajov z rozdeleného tunela. V iných prípadoch po odpojení VPN zostane adresa virtuálneho servera DNS (`10.x.x.x`) uložené vo vyrovnávacej pamäti vášho adaptéra Wi-Fi, takže váš domáci smerovač nedokáže rozpoznať webové adresy. Jednoducho sa **znova pripojte k podnikovej sieti VPN** (alebo spustite `ipconfig /flushdns` a zapínajte a vypínajte Wi-Fi), aby vaša premávka smerovala čisto cez autorizovanú podnikovú bránu.

Súvisiaci sprievodcovia¶

• Pracovný notebook ukradnutý alebo rozbitý počas cestovania: MDM zámok a obnova bez prestojov
• Práca na diaľku z hotela
• Zálohujte internet a konektivitu
• Núdzové zabezpečenie práce na diaľku a ochrana osobných údajov

Zdroje a oficiálne pokyny¶

• CISA (Agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry): Oprava rozšírenej detekcie a odozvy koncových bodov (EDR) na výpadky senzorov jadra a postupy obnovy BitLocker vo veľkom rozsahu.
• Microsoft Corporation (Microsoft Learn): Príručka obnovy BitLocker: Riešenie problémov s blokovaním overenia TPM PCR a pomocou príkazového riadka WinRE na opravu kritických ovládačov pri zavádzaní a Microsoft Defender pre architektúru izolácie koncových zariadení.
• NIST (Národný inštitút pre štandardy a technológie): Špeciálna publikácia NIST 800-207: Architektúra nulovej dôvery (ZTA) a NIST SP 800-83 Rev. 1: Sprievodca prevenciou a manipuláciou s malwarovými incidentmi pre stolné počítače a notebooky.
• CrowdStrike, Inc. & SentinelOne: Architektúra zadržiavania siete Falcon Sensor, postupy uvoľnenia tokenov údržby a dokumentácia obnovy súborov kanála.
• Systémy Zscaler & Cisco: Zaobchádzanie s detekciou portálu na prihlásenie do siete v režime Always-On Zero Trust Network Access (ZTNA) a prísnych zásadách brány firewall proti zlyhaniam.