Радни лаптоп у карантину од стране ЦровдСтрике/СентинелОне или закључан због поквареног ВПН прекидача док ради на даљину¶

Буђење у кућној канцеларији, хотелској соби или удаљеном радном простору да бисте открили да лаптоп који је издала ваша компанија приказује „Повезано, нема интернета“ на свакој Ви-Фи мрежи, одбија да учита страницу за пријаву на хотел или аеродромски портал или се руши на бескрајном Виндовс плавом екрану смрти (BSOD) боотлооп (PAGE_FAULT_IN_NONPAGED_AREA или SYSTEM_THREAD_EXCEPTION_NOT_HANDLED) је хитан случај за даљински рад са високим улозима. У савременим пословним окружењима, ово потпуно закључавање је скоро увек узроковано једним од три аутоматизована безбедносна механизма: карантин за чување мреже за откривање крајњих тачака и одговор (ЕДР) покренут ЦровдСтрике Фалцон, СентинелОне или Мицрософт Дефендер за крајњу тачку, оштећени режим кернела који спречава ажурирање безбедносног система** који спречава** Увек укључен ВПН / мрежни приступ са нултим поверењем (ЗТНА) Килл-Свитцх** (Зсцалер Цлиент Цоннецтор, Цисцо АниЦоннецт / Сецуре Цлиент, Пало Алто ГлобалПротецт или Фортинет ФортиЦлиент) блокира сав локални ДНС и ДХЦП саобраћај док се не успостави тунел. Ако ваше закључавање укључује активан напад рансомваре-а или захтев за изнудом, контактирајте свој корпоративни безбедносни оперативни центар (СОЦ) и консултујте се са локалним бројеви за хитне случајеве ако су погођени критична инфраструктура или системи за безбедност живота. За повезане кризе рада на даљину, погледајте наше водиче радни лаптоп украден или покварен током путовања и опоравак МДМ браве, радећи на даљину из хотела, и резервна копија интернета и повезивања.

Пошто су корпоративне крајње тачке ојачане лозинкама за заштиту од неовлашћеног приступа, неадминистративним корисничким налозима и Мицрософт БитЛоцкер или мацОС ФилеВаулт шифровањем целог диска, стандардни трикови за решавање проблема корисника (као што је поновна инсталација Виндовс-а или брисање програмских фасцикли) неће успети или ће покренути инсајдере високе озбиљности са плоче. Међутим, дијагностиковањем да ли се суочавате са ЕДР изолацијом хоста, застојем у ВПН-у Цаптиве-Портал или петљом покретања управљачког програма језгра, и замоливши своју ИТ службу за помоћ или СецОпс тим за тачан 48-цифрени БитЛоцкер кључ за опоравак или једнократни/неограничени позив за враћање на мрежу, можете да вратите свој гласовни позив на функцију 15 минута са било ког места на свету.

Уради ово сада¶

1. НЕ покушавајте да обришете, ресетујете или покренете корпоративни лаптоп са неовлашћеног Линук-а или УСБ стицка за разбијање лозинки. Покретање пословног лаптопа са екстерног УСБ диска покреће УЕФИ Сецуре Боот и Модул поуздане платформе (ТПМ 2.0) ПЦР провере интегритета, одмах иза закључавања критичног екрана са 48-ом за закључавање чврстог диска. обавестите безбедносни оперативни центар (СОЦ) ваше компаније у тренутку када се лаптоп поново повеже.
2. Утврдите да ли је ваш интернет блокиран ЕДР карантином у односу на мртво стање ВПН прекидача за укидање. Отворите командну линију (cmd.exe) или прозор терминала и покрените ping 8.8.8.8 и nslookup google.com. Ако сваки појединачни пакет не успе са General failure или Transmit failed. Error code 1231 иако ваша Ви-Фи икона каже „Повезано“, управљачки програм филтера заштитног зида (било ЕДР Нетворк Цонтаинмент или строги ВПН прекидач) испушта све одлазне пакете на Виндовс платформи за филтрирање (WFP) слој.
3. Ако се налазите у хотелу, кафићу или на аеродрому и ваш Алваис-Он ВПН блокира страницу за пријаву на Ви-Фи („Цаптиве Портал Цхицкен-анд-Егг Деадлоцк“), ПРВО повежите свој лаптоп са ћелијском Ви-Фи хотспотом свог паметног телефона. Пошто приступна тачка за ваш паметни телефон не користи приступну тачку за пријављивање на портал за заробљавање, ваш агент за пријаву на портал ће одмах проверити вашу веб страницу за пријаву на ВПН-а. мобилних података телефона, повуците све ажуриране смернице или онемогућите токен из ИТ-а и омогућите вам да затражите привремени Заобилазни портал / онемогућите лозинку.
4. Ако је ваш Виндовс лаптоп заглављен у бескрајном плавом екрану смрти (BSOD) покретање након безбедносног ажурирања преко ноћи, фотографишите тачно Stop Code и .sys назив датотеке на дну плавог екрана (нпр csagent.sys или SentinelMonitor.sys). То име датотеке одмах говори вашем ИТ тиму да ли је неисправна датотека ЕДР канала или управљачки програм кернела проузроковао пад.
5. Пре него што уђете у Виндовс безбедни режим или ВинРЕ командну линију на рачунару компаније, позовите ИТ службу за помоћ на свом телефону и замолите их да вам прочитају или пошаљу СМС са 48-цифреним БитЛоцкер кључем за опоравак вашег лаптопа (који одговара првих 8 знакова у Key ID приказано на екрану). Не можете да отворите командну линију за опоравак или да покренете систем у безбедном режиму на шифрованом лаптопу предузећа без уношења тих 48 цифара.
6. Ако је ЦровдСтрике Фалцон, СентинелОне или Дефендер за Ендпоинт ставио ваш лаптоп у „Нетворк Цонтаинмент“ (изолација хоста), престаните да покрећете скрипте или преносите датотеке и позовите свој корпоративни безбедносни оперативни центар (СОЦ) телефоном. Објасните шта сте тачно радили непосредно пре закључавања (као што је покретање алатке за пенетрацију, програмер за програмирање или тестирање програма ПоверСцрипт). повезивање са рутером за путовања) тако да аналитичар СОЦ-а може да потврди да је лажно позитиван и да кликне на „Подигни задржавање“ са конзоле у облаку (која аутоматски стиже до вашег лаптопа чак и док је у карантину).

Стабло одлучивања: Дијагностиковање закључавања и покретања мреже корпоративних лаптоп рачунара¶

Користите овај дијаграм тока да бисте прецизно одредили који безбедносни слој предузећа је закључао ваш лаптоп и пут до тачног поступка опоравка.

flowchart TD
    A["Лаптоп за даљински рад је закључан или не може да се повеже"] --> B{"Да ли се лаптоп покреће на Виндовс / мацОС радној површини?"}
    B -->|"Не: пада у петљи плавог екрана (БСОД) или БитЛоцкер екрану"| C{"Шта се приказује на екрану?"}
    C -->|"БСОД именовање цсагент.сис, СентинелМонитор.сис или вдфилтер.сис"| D["КЕРНЕЛ ДРИВЕР БООТЛООП: Покрените ВинРЕ Рецовери -> Унесите 48-цифрени БитЛоцкер кључ из ИТ-а -> Избришите неисправну датотеку канала или преименујте драјвер у безбедном режиму"]
    C -->|"Плави БитЛоцкер екран за опоравак тражи кључ од 48 цифара"| E["ТПМ ПЦР ТРИП: Искључите све УСБ прикључне станице/дриве -> Поново покрените -> Ако се и даље затражи, позовите ИТ службу за помоћ са ИД кључа од 8 знакова да бисте добили 48-цифрени кључ за опоравак"]
    B -->|"Да: Покреће се на радној површини, али НУЛА приступа интернету / мрежи"| F{"Шта се дешава када проверите статус ВПН/ЗТНА и Ви-Фи мреже?"}
    F -->|"У хотелу/аеродрому: Ви-Фи је повезан, али страница за пријаву на Цаптиве Портал се неће отворити"| G["ЦАПТИВЕ ПОРТАЛ ДЕАДЛОЦК: Прво повежите лаптоп са приступном тачком за паметни телефон -> Аутентификујте ВПН -> Или укључите путни рутер да бисте довршили пријаву на портал на телефону"]
    F -->|"Кућна/хотспот Ви-Фи је повезана, али пинг 8.8.8.8 каже „Генерал Фаилуре“"| H{"Да ли је ВПН клијент заглављен у 'Цоннецтинг / Килл-Свитцх Ацтиве' ИЛИ је ЕДР изолован?"}
    H -->|"ВПН клијент каже „Активно закључавање мреже/прекидач за укидање - није могуће приступити мрежном пролазу“"| I["ВПН КИЛЛ-СВИТЦХ ЛОЦК: Пребаците се на приступну тачку телефона -> Или унесите ИТ једнократну лозинку за онемогућавање у Зсцалер / АниЦоннецт / ГлобалПротецт"]
    H -->|"ВПН је искључен или прекинут, ИЛИ безбедносни искачући прозор каже „Хост Исолатед“"| J["ЕДР ОДРЖАВАЊЕ МРЕЖЕ: Одржавајте Ви-Фи повезан -> Позовите корпоративни СОЦ -> Наведите име хоста -> СОЦ кликне на „Подигни задржавање“ ИЛИ даје токен за одржавање ван мреже"]

Сценарио 1: Лаптоп стављен у карантин од стране ЕДР „Нетворк Цонтаинмент“ (ЦровдСтрике, СентинелОне, Дефендер)¶

Модерни лаптоп рачунари за предузећа покрећу сензоре Ендпоинт Детецтион анд Респонсе (ЕДР) на нивоу језгра уместо традиционалног потрошачког антивирусног софтвера. Када ЕДР сензор открије понашање које личи на сајбер напад - као што је софтверски инжењер који компајлира непотписану бинарну датотеку, аналитичар података који покреће сложену ПоверСхелл или Питхон скрипту за аутоматизацију, дизајнер који отвара табелу са омогућеним макроима или путник који се повезује са угроженом хотелском мрежом и издаје АРП аутоматизовани пакет за репродукцију** - лажно трошење података за репродукцију ** (Изолација домаћина)**.

Како препознати карантин ЕДР мреже¶

За разлику од нормалног пада Ви-Фи-ја, ЕДР карантин показује врло специфичне техничке симптоме:

1. Ви-Фи приказује „Повезано“ или „Нема интернета, заштићено“, али су локални ЛАН уређаји невидљиви: Не можете пинговати свој кућни рутер (192.168.1.1), не може да штампа на локалном мрежном штампачу, и ping 8.8.8.8 враћа General failure или Transmit failed одмах (<1 ms) јер Виндовс платформа за филтрирање ЕДР сензора (WFP) драјвер позива пресреће и испушта сваки ТЦП/УДП/ИЦМП пакет пре него што стигне до Ви-Фи картице.
2. Активне сесије удаљене радне површине, Слацк, зумирање и сесије прегледача се истовремено замрзавају: У року од 2 секунде од окидача понашања, свака утичница се затвара одједном.
3. Провера локалног ЕДР статуса преко командне линије (нису потребна администраторска права):
4. ЦровдСтрике Фалцон: Отворите командну линију (cmd.exe) и трчи sc query csagent. Ако се покаже STATE: 4 RUNNING, и трчање netstat -ano | findstr :443 показује да је једини активан ESTABLISHED припадајуће излазне везе на целом лаптопу CSFalconService.exe разговарајући са АВС/ЦровдСтрике ИП адресама у облаку, ваш хост је у Фалцон Нетворк Цонтаинмент.
5. СентинелОне: Погледајте љубичасту икону СентинелОне штита у системској палети (или траци менија на мацОС-у). Када је изолован, статус агента гласи Network Quarantined / Disconnected from Network by Management.
6. Мицрософт Дефендер за крајњу тачку (МДЕ): Тост обавештења о Виндовс безбедности може накратко да каже „Овај уређај је изоловао ваш администратор,“ док MsSense.exe остаје једини процес дозвољен кроз заштитни зид.

Како да се на даљину избаците из карантина (Онлине Цлоуд Релеасе вс. Токен за одржавање ван мреже)¶

Постоје два начина на која ваш ИТ безбедносни оперативни центар (СОЦ) може да ослободи ЕДР карантин:

Сценарио 2: Неисправан увек укључен ВПН прекидач за укидање или застој у ЗТНА Цаптиве-Портал¶

Шта ако ваш лаптоп није у карантину од стране СецОпс-а, али уместо тога покреће корпоративни Алваис-Он ВПН или Нулти поуздани мрежни приступ (ЗТНА) клијент (Зсцалер Цлиент Цоннецтор, Цисцо АниЦоннецт / Цисцо Сецуре Цлиент са Модулом за видљивост мреже, Пало Алто Не Глобалтскопецт) или конфигуришите Глобалтскопецт Килл-Свитцх („Фаил-Цлосед“ / „Блокирај сав не-корпоративни саобраћај када нема поверења“)**?

1. Решавање застоја на порталу за заробљавање хотела/аеродрома (Замка за пилетину и јаје)¶

Ево зашто хиљаде удаљених радника сваког јутра у хотелима, кафићима и аеродромима остају без својих лаптопа:

• Да бисте добили приступ интернету на хотелској или аеродромској Ви-Фи мрежи, морате да отворите веб претраживач, да будете преусмерени преко ХТТП/ДНС-а на локалну страницу за пријаву у хотел (captive.apple.com или neverssl.com), и унесите број своје собе и презиме.
• Међутим, Алваис-Он ВПН Килл-Свитцх вашег корпоративног лаптопа види да је Ви-Фи хотела „Непоуздана не-корпоративна мрежа“ и одмах блокира све локалне ХТТП и ДНС захтеве док се шифровани ВПН тунел не повеже са седиштем компаније.
• ВПН тунел не може да се повеже док не унесете број своје собе на страницу за пријаву на хотел, а ви не можете да учитате страницу за пријаву на хотел јер ВПН Килл-Свитцх блокира ваш прегледач.

Користите један од ова четири доказана метода заобилажења да бисте одмах прекинули застој без потребе за администраторским правима:

+-----------------------------------------------------------------------+
|  4 WAYS TO BREAK A VPN KILL-SWITCH CAPTIVE PORTAL DEADLOCK            |
|                                                                       |
|  METHOD 1 (Smartphone USB/Wi-Fi Tethering + MAC Clone / Travel Router)|
|  Authenticate the hotel captive portal on a pocket Travel Router      |
|  (or Android Wi-Fi Share), then connect your work laptop to the       |
|  already-authenticated router Wi-Fi.                                  |
|                                                                       |
|  METHOD 2 (Built-In Mini Captive Portal Browser Inside VPN Client)    |
|  Click the Zscaler / GlobalProtect / AnyConnect tray icon ->          |
|  Click "Captive Portal Detected / Open Login Window".                 |
|                                                                       |
|  METHOD 3 (Gateway IP Direct Entry in Browser)                        |
|  Run `ipconfig` -> Find "Default Gateway" (e.g., 10.0.0.1) ->         |
|  Type `http://10.0.0.1` directly into Edge/Chrome address bar.        |
|                                                                       |
|  METHOD 4 (Authenticate on Phone First -> Call IT for Disable Code)   |
|  Tether laptop to Phone Cellular Data -> Get Zscaler/VPN Disable      |
|  Password from IT -> Pause VPN for 10 min -> Join Hotel Wi-Fi.        |
+-----------------------------------------------------------------------+

1. Метода 1 - Ви-Фи мост за паметни телефон или трик за џепни рутер за путовања (ради 100 посто времена):
2. Ваш радни лаптоп не може разликовати између неауторизоване хотелске Ви-Фи мреже и личног рутера који је већ пријављен на хотелски портал.
3. Ако имате Андроид телефон (Ви-Фи Схаринг): Повежите свој Андроид телефон са хотелском Ви-Фи мрежом, довршите пријаву на портал са бројем собе на екрану телефона, а затим укључите Мобилну Хотспот на телефону (модерни Самсунг Пикел/Андроид телефони подржавају истовремени Ви-Фи Репеатер / Ви-Фи Ви-Фи дељење путем Ви-Фи режима вашег телефона коришћени мобилни подаци). Повежите свој радни лаптоп са приступном тачком телефона: ВПН се повезује одмах.
4. Ако носите џепни рутер за путовања (као што је ГЛ.иНет Берил/Слате; погледајте радећи на даљину из хотела): Повежите рутер за путовања са хотелском Ви-Фи мрежом, довршите пријаву у хотел помоћу претраживача паметног телефона и повежите свој радни лаптоп са ВПА3 Ви-Фи или Етхернет портом рутера за путовања.
5. Метод 2 - Укуцајте локални подразумевани ИП мрежног пролаза директно у свој претраживач (http://10.x.x.x):
6. ВПН Килл-Свитцх или Зсцалер ДНС прокси често отима само тражење имена домена ДНС (блокирање neverssl.com или google.com), док и даље дозвољава необрађеним ИП пакетима локалне подмреже да стигну до мрежног пролаза локалног рутера 60 секунди након Ви-Фи повезивања.
7. Отворите командну линију (cmd.exe), тип ipconfig, и погледајте ИП адресу Подразумевани мрежни пролаз Wireless LAN adapter Wi-Fi (на пример, 172.16.0.1 или 192.168.20.1).
8. Отворите претраживач и укуцајте http://172.16.0.1 (користећи http://, никад https://, и тачне бројеве са вашег подразумеваног мрежног пролаза) директно у траку за адресу. Ово погађа контролер хотелског портала директно преко ИП-а без потребе за ДНС резолуцијом, искачући екран за пријаву.
9. Метод 3 - Користите дугме Зсцалер/ГлобалПротецт/АниЦоннецт „Опен Цаптиве Портал“ или поновно покретање услуге:
10. У Зсцалер Цлиент Цоннецтор-у (ЗЦЦ): Отворите Зсцалер прозор са системске палете, кликните на More -> Troubleshoot -> Restart Service (који не захтева лозинку и отвара кратак 30-секундни прозор за откривање капитивног портала током поновне иницијализације).
11. У Пало Алто ГлобалПротецт-у: Кликните на мени у три реда у горњем десном углу искачуће траке ГлобалПротецт -> Settings -> General -> ако статус каже "Откривен је портал заробљеника", кликните на плаво Remediate дугме за покретање ГлобалПротецт мини претраживача у заштићеном окружењу.

2. Исправљање „Зомби ВПН адаптера / поквареног ДНС петље (127.0.0.1 или 100.64.0.1)" После судара¶

Шта ако сте код куће на свом нормалном Ви-Фи-ју и након што вам се батерија лаптопа испразнила или срушила док сте повезани на корпоративни ВПН, ваш лаптоп се покреће са нултом ДНС резолуцијом (веб странице кажу DNS_PROBE_FINISHED_NXDOMAIN, а не можете чак ни да разрешите име домена корпоративног ВПН сервера да бисте поново повезали ВПН)?

Ово се дешава када се ВПН клијент сруши без потпуног враћања ДНС поставки ваше Ви-Фи картице, остављајући ваш мрежни адаптер трајно усмерен на мртви виртуелни ИП тунел (100.64.0.1 за Зсцалер/Таилсцале ЦГНАТ или 127.0.0.1):

1. Исперите Виндовс ДНС кеш и Винсоцк каталог (ради без администраторских права за ДНС Флусх):
2. Отворите командну линију и покрените ipconfig /flushdns.
3. Трчи nslookup vpn.yourcompany.com 8.8.8.8 (замена vpn.yourcompany.com са именом хоста ВПН мрежног пролаза ваше компаније). Додавањем 8.8.8.8 до краја nslookup команду, заобилазите покварени локални ДНС резолвер вашег лаптопа и директно питате Гоогле-ов јавни ДНС (ако је порт 53 отворен) да бисте сазнали необрађену нумеричку ИП адресу вашег корпоративног ВПН гатеваи-а.
4. Повежите се на корпоративни ВПН мрежни пролаз користећи његову необрађену нумеричку ИП адресу:
5. Ако Цисцо АниЦоннецт или ГлобалПротецт не успе са "Не могу да решим адресу сервера", налепите необрађену нумеричку ИП адресу (203.0.113.50) директно у кутију ВПН сервера (ако је дозвољено политиком) или позовите ИТ да добијете Зсцалер / ВПН лозинку за онемогућавање профила апликације за ресетовање виртуелног мрежног адаптера (ncpa.cpl).

Сценарио 3: Опоравак са плавог екрана драјвера ЕДР кернела (BSOD) Боотлооп¶

У јулу 2024. неважеће ажурирање конфигурације канала пребачено је на ЦровдСтрике Фалцон Виндовс сензор (csagent.sys / Цханнел Филе 291) узроковао је пад 8,5 милиона Виндовс машина за предузећа широм света у трену PAGE_FAULT_IN_NONPAGED_AREA Плави екран смрти покретајте пре него што је оперативни систем уопште могао да се повеже на интернет да би преузео исправку. Сличне петље се повремено дешавају када СентинелОне (SentinelMonitor.sys), Мицрософт Дефендер (WdFilter.sys) или ВПН НДИС управљачки програми филтера сукобљавају се са кумулативним ажурирањем оперативног система Виндовс.

Зато што је драјвер који пада конфигурисан као BOOT_START (Start = 0) драјвер језгра, Виндовс га учитава у меморију током прве секунде покретања - много пре него што се Ви-Фи или управљање облаком покрене. Једини начин да поправите а BOOT_START Покретање управљачког програма кернела је локално преко Виндовс окружења за опоравак (WinRE).

+-----------------------------------------------------------------------+
|  HOW TO BREAK AN EDR KERNEL DRIVER BSOD BOOTLOOP VIA WinRE            |
|                                                                       |
|  1. Force-interrupt boot 2-3 times (or hold Shift + Restart on        |
|     Recovery screen) until "Choose an option" blue menu appears.      |
|  2. Click Troubleshoot -> Advanced options -> Command Prompt          |
|     (or Startup Settings -> F4/F5 Safe Mode).                         |
|  3. Read the 8-character "Recovery Key ID" on screen to your IT       |
|     Helpdesk over the phone -> Type the 48-digit BitLocker Key.       |
|  4. In WinRE Command Prompt, locate the Windows partition (`C:` or    |
|     `D:`), delete the corrupted `.sys` channel file or rename the     |
|     faulty driver folder, and type `wpeutil reboot`.                  |
+-----------------------------------------------------------------------+

Локални ВинРЕ опоравак корак по корак (води се са вашом ИТ службом за помоћ на телефону)¶

1. Уђите у Виндовс окружење за опоравак (WinRE):
2. Након два узастопна неуспела покретања, Виндовс 10 и Виндовс 11 аутоматски приказују плави екран Опоравак („Изгледа да се Виндовс није правилно учитао“).
3. Кликните See advanced repair options -> Troubleshoot -> Advanced options -> Command Prompt (који је бржи и захтева мање поновног покретања од безбедног режима).
4. Откључајте шифровани диск помоћу вашег 48-цифреног кључа за опоравак БитЛоцкер-а:
5. Пошто је ваш корпоративни чврсти диск шифрован помоћу БитЛоцкер-а, ВинРЕ ће одмах приказати плави екран са назнаком: „Унесите кључ за опоравак за овај диск“ заједно са ИД кључа (8 хексадецималних знакова, као нпр. A1B2C3D4).
6. Позовите ИТ Хелпдеск своје компаније на свом паметном телефону, прочитајте им Назив хоста/ознаку средства вашег лаптопа и ИД БитЛоцкер кључа од 8 знакова, и нека техничар прочита 48-цифрени бројчани БитЛоцкер кључ за опоравак (груписан у осам блокова од 6 цифара). Пажљиво унесите 48 цифара и притисните Enter.
7. Утврдите које слово диска садржи вашу инсталацију Виндовс-а унутар ВинРЕ-а:
8. Унутар ВинРЕ окружења за опоравак, вашем главном Виндовс диску често се додељује слово диска D: или E: уместо C: (јер мала скривена ЕФИ/Рецовери партиција заузима C:).
9. Тип dir C:\Windows и притисните Enter. Ако каже File Not Found, тип dir D:\Windows док не пронађете слово диска које садржи ваш Windows фолдер.
10. Извршите брисање датотеке канала коју је овластио добављач или преименујте драјвер (према ИТ упутствима):
11. За ажурирање датотеке оштећеног ЦровдСтрике канала: Идите до директоријума ЦровдСтрике драјвера (cd /d C:\Windows\System32\drivers\CrowdStrike или D:\Windows\System32\drivers\CrowdStrike), проверите оштећену датотеку канала коју је навео ваш ИТ тим (на пример, del C-00000291*.sys), и притисните Enter. Јер канал .sys датотеке су динамичка ажурирања правила, а не језгро csagent.sys мотора, брисање оштећене датотеке канала омогућава Виндовс-у и Фалцон сензору да се покрећу чисто и преузму датотеку фиксног канала из облака.
12. За оштећени ВПН или управљачки програм за безбедносни филтер треће стране: По упутству ИТ администратора, преименујте одређени пад .sys возач (ren C:\Windows\System32\drivers\<FaultyDriver>.sys <FaultyDriver>.sys.bak) или онемогућите његову почетну вредност услуге у ванмрежном регистру (reg load HKLM\OfflineSystem C:\Windows\System32\Config\SYSTEM), а затим откуцајте wpeutil reboot да бисте нормално поново покренули Виндовс.

Регионални бројеви за хитне случајеве и протоколи агенција¶

Док је карантин за лаптоп рачунара једног удаљеног радника обично изоловани лажно позитиван или заробљени портал сукоб, изненадно истовремено закључавање ЕДР-а или БСОД талас код више сарадника може сигнализирати или нестанак глобалног добављача или активан инцидент са рансомваре-ом:

• Сједињене Америчке Државе и Канада: Ако ЕДР карантин или масовна петља за покретање утичу на 911 диспечерске центре, болничке клиничке радне станице, собе за хитне случајеве или инфраструктуру за авијацију/транзит, одмах активирајте локални Цонтинуити оф Оператионс (ЦООП)/Довнтиме Папер Протоцолс и позовите 91111 за хитне случајеве.** Пријавите широко распрострањене сајбер инциденте критичне инфраструктуре ЦИСА-и (Агенција за сајбер безбедност и безбедност инфраструктуре) на 1-844-SAY-CISA (1-844-729-2472 или cisa.gov/report) и Канадски центар за сајбер безбедност у 1-833-CYBER-88.
• Уједињено Краљевство: Позовите 999 за хитне случајеве у вези са животном безбедношћу. Сајбер инциденте у предузећима и догађаје обуздавања рансомвера који утичу на организације у Уједињеном Краљевству треба пријавити Националном центру за сајбер безбедност (НЦСЦ) путем ncsc.gov.uk.
• Европска унија: Позовите 112 за хитне службе. У складу са ЕУ НИС2 директивом (Директива (ЕУ) 2022/2555) и ГДПР чланом 33, ентитети критичног сектора морају да пријаве значајне сметње у раду или безбедносне инциденте свом националном ЦСИРТ (Цомпутер Сецурити Инцидент Респонсе Теам) и ЕНИСА.
• Аустралија и Нови Зеланд: Позовите 000 у Аустралији или 111 на Новом Зеланду за хитне службе. Пријавите инциденте обуздавања сајбер-безбедности предузећа или инциденте изнуде Аустралијском центру за сајбер безбедност (АСД АЦСЦ) Аустралијске дирекције за сигнале** на адреси 1300 CYBER1 (1300 292 371) или ЦЕРТ НЗ / НЦСЦ НЗ.
• Индија и Азијско-пацифик: Позовите 112 у Индији (и пријавите организационе сајбер инциденте ЦЕРТ-Ин), 119 у Јапану и Јужној Кореји или 995 у Сингапуру (СингЦЕРТ). За међународне бројеве за хитне случајеве, погледајте бројеви за хитне случајеве.

Често постављана питања¶

Зашто су ЦровдСтрике Фалцон или СентинелОне ставили у карантин мој радни лаптоп када нисам радио ништа злонамерно?¶

Савремени агенти за откривање и одговор крајње тачке (ЕДР) не скенирају само познате вирусне потписе; они прате понашање процеса у реалном времену, убацивање меморије и аргументе командне линије користећи хеуристику понашања (`IOAs` - Индикатори напада). Уобичајене легитимне активности које често ометају аутоматизовано задржавање ЕДР мреже укључују програмере софтвера који покрећу непотписане локалне скрипте за прављење или отклањање грешака, ИТ особље које ради `nmap` или ПоверСхелл команде за откривање мреже, прикључивање неовлашћене УСБ макро тастатуре у стилу гумене патке или повезивање са погрешно конфигурисаним хотелским Ви-Фи рутером који покреће правила АРП-споофинг / Ман-ин-тхе-Миддле одбране. Позивање вашег СОЦ-а одмах омогућава аналитичару да прегледа стабло процеса и стави вашу активност на белу листу за неколико минута.

Ако је мој лаптоп у ЕДР мрежи, може ли мој ИТ тим и даље да види мој екран или да ме на даљину стави из карантина?¶

Да, све док је ваш лаптоп још увек повезан на радну Ви-Фи мрежу (као што је кућни рутер или мобилна приступна тачка вашег паметног телефона). Када ЦровдСтрике Фалцон, СентинелОне или Мицрософт Дефендер за крајњу тачку поставе лаптоп у мрежно окружење, управљачки програм филтера кернела блокира сав нормалан кориснички саобраћај док експлицитно држи наменски шифровани ТЛС управљачки тунел отвореним између ЕДР сензора лаптопа и конзоле у ​​облаку. Кроз тај тунел за управљање, ваш СОЦ аналитичар може отворити удаљену дијагностичку шкољку (`Real Time Response` у ЦровдСтрике или `Live Response` у Дефендер-у) и кликните на „Лифт Цонтаинмент“ да бисте вратили приступ мрежи за 30 секунди без потребе да било шта куцате.

Зашто је мој радни лаптоп изненада затражио БитЛоцкер кључ за опоравак од 48 цифара када сам га прикључио на хотелски монитор или УСБ-Ц прикључну станицу?¶

Ентерприсе Виндовс лаптоп рачунари користе **Трустед Платформ Модуле (ТПМ 2.0)** чип матичне плоче за мерење тачног хардвера и конфигурације пре покретања (**Регистри конфигурације платформе `PCR 0, 2, 4, 7, 11`**) сваки пут када притиснете дугме за напајање. Ако прикључите тхундерболт прикључну станицу, екстерни УСБ диск или чвориште монитора који мења УЕФИ редослед покретања или распоред ПЦИе ДМА магистрале пре него што се Виндовс покрене, ТПМ детектује промену мерења хардвера и одбија да аутоматски отпусти кључ за дешифровање, тражећи ваш 48-цифрени кључ за опоравак БитЛоцкер-а као безбедну заштиту од крађе. Прво, **искључите сву УСБ додатну опрему, прикључне станице и ХДМИ каблове и сами поново покрените лаптоп** - у 90% случајева, ТПМ мерење се поново поклапа и лаптоп се покреће директно у Виндовс без потребе за кључем од 48 цифара.

Могу ли да онемогућим Зсцалер Цлиент Цоннецтор, Цисцо АниЦоннецт или ГлобалПротецт користећи Виндовс Таск Манагер?¶

Не, на правилно конфигурисаном корпоративном лаптопу не можете да убијете `ZSATray.exe`, `CSFalconService.exe`, `vpnagent.exe`, или `PanGPS.exe` из Таск Манагер-а. Ови безбедносни агенти раде као **процеси заштићени Виндовсом (`Protected Process Light / PPL` / `ELAM` Услуге заштите од малвера)** у власништву `SYSTEM` са драјверима за самоодбрану кернела; чак и ако корисник има привилегије локалног администратора, Виндовс то одбија `Access Denied` када покушавате да прекинете ППЛ безбедносну услугу без криптографске **Заштите од неовлашћеног приступа / лозинке за онемогућавање профила апликације** генерисане са конзоле у облаку предузећа.

Шта ако радим у другој временској зони и ИТ Хелпдеск моје компаније спава када је мој лаптоп закључан?¶

Прво проверите да ли ваша организација има **24/7 безбедносни оперативни центар (СОЦ) или дежурну линију за велике инциденте** одвојено од стандардне дневне ИТ службе за помоћ (већина предузећа користи ЦровдСтрике или СентинелОне уговор са 24/7 управљаним откривањем и одговором [`MDR`] тим или одржавајте број за ескалацију ПагерДути након радног времена који је наведен на интранету вашег запосленог или на листи за пријем). Друго, ако је ваше закључавање **Екран БитЛоцкер кључа за опоравак**, проверите да ли можете да се пријавите на свој корпоративни **Мицрософт 365 / Ентра ИД портал „Мој налог“ (`myaccount.microsoft.com/device-list`)** из прегледача паметног телефона помоћу апликације за потврду идентитета МФА - многе компаније дозвољавају запосленима да виде самоуслужни БитЛоцкер кључ за опоравак свог лаптопа са 48 цифара преко свог мобилног телефона.

Зашто мој кућни Ви-Фи престаје да ради на мом радном лаптопу одмах након што се искључим са корпоративног ВПН-а?¶

Неке корпоративне ВПН конфигурације користе функцију под називом **„Увек укључени карантин/детекција поуздане мреже (ТНД)“** која намерно блокира сав приступ интернету кад год се ВПН тунел искључи док је ван физичке пословне зграде предузећа, како би се спречила ексфилтрација података у подељеном тунелу. У другим случајевима, прекид везе са ВПН-ом оставља застарелу адресу виртуелног ДНС сервера (`10.x.x.x`) кеширано на вашем Ви-Фи адаптеру тако да ваш кућни рутер не може да разреши веб адресе. Једноставно се **поново повежите на корпоративни ВПН** (или покрените `ipconfig /flushdns` и искључите и укључите Ви-Фи) тако да ваш саобраћај буде чист кроз овлашћени корпоративни мрежни пролаз.

Повезани водичи¶

• Радни лаптоп украден или покварен током путовања: МДМ закључавање и опоравак без прекида
• Рад на даљину из хотела
• Резервна копија интернета и повезивања
• Безбедност рада на даљину и приватност података у хитним случајевима

Извори и службена упутства¶

• ЦИСА (Циберсецурити анд Инфраструцтуре Сецурити Агенци): Отклањање кварова сензора кернела широко распрострањене крајње тачке и одговора (ЕДР) и процедура опоравка БитЛоцкер-а у великом обиму.
• Мицрософт Цорпоратион (Мицрософт Леарн): Водич за опоравак БитЛоцкер-а: Решавање проблема са закључавањем ТПМ ПЦР валидације и коришћење ВинРЕ командне линије за исправљање критичних управљачких програма за покретање и Мицрософт Дефендер за архитектуру изолације крајње тачке.
• НИСТ (Национални институт за стандарде и технологију): Специјална публикација НИСТ-а 800-207: Архитектура нултог поверења (ЗТА) и НИСТ СП 800-83 Рев. 1: Водич за превенцију и руковање злонамерним софтвером за стоне и лаптопове.
• ЦровдСтрике, Инц. & СентинелОне: Архитектура заштите мреже Фалцон сензора, процедуре учитавања токена одржавања и документација за опоравак датотеке канала.
• Зсцалер и Цисцо системи: Руковање детекцијом заробљеног портала у увек укљученом приступу мрежи са нултим поверењем (ЗТНА) и строгим смерницама заштитног зида без грешке.