Iş noutbugy CrowdStrike / SentinelOne tarapyndan karantinlenen ýa-da uzakdan işleýän wagtyňyz döwülen VPN Kill-Switch tarapyndan gulplanýar¶

Öý ofisinde, myhmanhanada ýa-da uzakdaky iş ýerinde oýanyp, kompaniýanyň beren noutbukynyň her Wi-Fi ulgamynda “Baglanyşyk, internet ýok” görkezilýändigini, myhmanhana ýa-da howa menziliniň portal giriş sahypasyny ýüklemekden ýüz öwürýändigini ýa-da tükeniksiz Windows Mawy Ekranynda heläkçilige uçrandygyny (BSOD) bootloop (PAGE_FAULT_IN_NONPAGED_AREA ýa-da SYSTEM_THREAD_EXCEPTION_NOT_HANDLED) uzak aralykdaky gyssagly kömek. Döwrebap kärhana şertlerinde bu umumy gulplama hemişe diýen ýaly üç awtomatlaşdyrylan howpsuzlyk mehanizminiň biri sebäpli ýüze çykýar: ** CrowdStrike Falcon, SentinelOne ýa-da Microsoft Defender Endpoint ** tarapyndan döredilen ** Endpoint Detection and Response (EDR) Network Containment karantin ** . Eger gulplamaňyzda tölegli programma üpjünçiligi hüjümi ýa-da talamak islegi bar bolsa, korporatiw howpsuzlyk operasiýa merkezine (SOC) ýüz tutuň we ýerli ilat bilen maslahatlaşyň. gyssagly kömek belgileri möhüm infrastruktura ýa-da durmuş howpsuzlygy ulgamlaryna täsir edýän bolsa. Uzakdan işleýän krizisler üçin gollanmalarymyza serediň syýahat wagtynda ogurlanan ýa-da döwülen iş noutbugy we MDM gulpuny dikeltmek, myhmanhanadan uzakdan işlemek, we ätiýaçlyk internet we birikme.

Korporatiw ahyrky nokatlar gorag parollary, administratiw däl ulanyjy hasaplary we ** Microsoft BitLocker ** ýa-da ** macOS FileVault ** doly disk şifrlemek bilen berkidilendigi sebäpli, adaty sarp edijileriň näsazlyklaryny düzetmek usullary (Windows-y täzeden gurmak ýa-da programma bukjalaryny pozmak) CISO-nyň dolandyryş panelinde ýokary derejeli içerki howp howpy duýduryşyny döreder. Şeýle-de bolsa, ** EDR Host izolýasiýa **, ** VPN Captive-Portal Deadlock ** ýa-da ** Kernel Sürüji Bootloop ** bilen ýüzbe-ýüz bolýandygyňyzy anyklamak we IT kömekçi ýa-da SecOps toparyndan takyk ** 48 sanly BitLocker Dikeldiş açary ** ýa-da ** Bir gezeklik oflayn hyzmat / Uncontain Token ** sesli jaňda 15 minutlyk iş ýerinde dikeldip bilersiňiz.

Indi et¶

1. ** Korporatiw noutbugy rugsatsyz Linux ýa-da parol döwýän USB taýagyndan süpürmäge, täzeden düzmäge ýa-da ýüklemäge synanyşmaň. täzeden birikdirýär.
2. ** Internetiňiziň EDR karantini we VPN Kill-Switch Deadlock bilen petiklenendigini kesgitläň. ** Buýruk teklipini açyň (cmd.exe) ýa-da Terminal penjiresi we işletmek ping 8.8.8.8 we nslookup google.com. ** her paket şowsuz bolsa General failure ýa-da Transmit failed. Error code 1231** Wi-Fi nyşanyňyz "Birikdirilen" diýse-de, gorag diwar süzgüç sürüjisi (ýa-da EDR Network Containment ýa-da berk VPN Kill-Switch) Windows Filtrleýiş Platformasyndaky ähli paketleri taşlaýar (WFP) gatlak.
3. ** Eger myhmanhanada, kafede ýa-da howa menzilinde bolsaňyz we “Elmydama işleýän VPN” Wi-Fi giriş sahypasyny ýapsa (“Captive Portal Towuk-ýumurtga gulpy”), noutbukyňyzy smartfonyňyzyň öýjükli Wi-Fi Hotspot FIRST-e birikdiriň. IT-den tokenini öçüriň we wagtlaýyn ** Captive Portal aýlaw / Paroly öçürmek ** soramaga mümkinçilik berýär.
4. ** Windows noutbukyňyz tükeniksiz Mawy Ekrana ýapyşan bolsa (BSOD) bir gijeki howpsuzlyk täzelenmesinden soň bootloop, takyk surata düşüriň Stop Code we .sys gök ekranyň aşagyndaky faýl ady (meselem csagent.sys ýa-da SentinelMonitor.sys). ** Şol faýl ady, nädogry EDR kanal faýly ýa-da ýadro sürüjisiniň heläkçilige sebäp bolandygyny derrew IT toparyna aýdýar.
5. ** Korporatiw kompýuterde Windows Howpsuz reodeimine ýa-da WinRE Command Prompt-a girmezden ozal telefonyňyzdaky IT Kömekçi telefonyna jaň ediň we noutbukyňyzyň 48 sanly BitLocker Dikeldiş açaryny okamagyny ýa-da sms ýazmagyny haýyş ediň (ilkinji 8 simwolyna gabat gelýär) Key ID Ekranyňyzda görkezilýär). ** Dikeldiş buýrugyny açyp ýa-da şifrlenen kärhana noutbukynda şol 48 belgini girizmezden Howpsuz reodeime girip bilmersiňiz.
6. ** “CrowdStrike Falcon”, “SentinelOne” ýa-da “Endpoint for Defender” noutbukyňyzy “Network Containment” (Host izolýasiýasy) -da ýerleşdiren bolsa, skriptleri işlemegi ýa-da faýllary geçirmegi bes ediň we korporatiw Howpsuzlyk Operasiýa Merkezine (SOC) telefon arkaly jaň ediň. ýalňyş pozitiwdigini barlaň we bulut konsolyndan ** "Lift Containment" ** basyň (karantinlenen hem bolsa noutbukyňyza awtomatiki usulda girýär).

Karar agajy: Korporatiw noutbuk torunyň gulplamalaryny we ýüklemelerini anyklamak¶

Haýsy kärhana howpsuzlyk gatlagynyň noutbukyňyzy we takyk dikeldiş prosedurasyna barýan ýoluňyzy kesgitlemek üçin bu akym çyzgysyny ulanyň.

flowchart TD
    A["Uzakdaky iş noutbugy gulplandy ýa-da birikdirip bolmaýar"] --> B{"Noutbuk Windows / macOS iş stoluna girýärmi?"}
    B -->|": Ok: Gök ekranda (BSOD) aýlaw ýa-da BitLocker ekranyndaky heläkçilikler"| C{"Ekranda näme görkezilýär?"}
    C -->|"BSOD atlandyrmak csagent.sys, SentinelMonitor.sys ýa-da wdfilter.sys"| D["KERNEL DRIVER BOOTLOOP: WinRE dikeldişine başlaň -> IT-den 48 sanly BitLocker açaryny giriziň -> Nädogry kanal faýlyny pozuň ýa-da Howpsuz tertipde sürüjiniň adyny üýtgediň"]
    C -->|"Mawy BitLocker dikeldiş ekrany 48 sanly açar soraýar"| E["TPM PCR TRIP: USBhli USB doklaryny / disklerini aýryň -> Gaýtadan açyň -> Eger-de soralsa, 48 sanly Dikeldiş açaryny almak üçin 8 belgili açar belgisi bilen IT Kömekçi kömek jaňyna jaň ediň."]
    B -->|"Hawa: Iş stoluna aýakgap, ýöne ZERO internet / tora giriş"| F{"VPN / ZTNA we Wi-Fi ýagdaýyny barlanyňyzda näme bolýar?"}
    F -->|"Myhmanhanada / howa menzilinde: Wi-Fi birikdirildi, ýöne Captive Portal giriş sahypasy açylmaz"| G["CAPTIVE PORTAL DEADLOCK: Noutbugy ilki Smartfon Hotspot-a birikdiriň -> VPN-i tassyklaň -> Ora-da telefonda portal girişini tamamlamak üçin Syýahat marşrutyna dakyň."]
    F -->|"Öý / Hotspot Wi-Fi birikdirildi, ýöne 8.8.8.8 ping-de 'Umumy şowsuzlyk' diýilýär."| H{"VPN müşderisi 'Birikdirmek / Kill-Switch işjeň' ýa-da EDR izolýasiýa edýärmi?"}
    H -->|"VPN Müşderi 'Network Lock / Kill Switch Active - Derwezä baryp bolmaýar' diýýär"| I["VPN KILL-SWITCH LOK: Telefon nokadyna geçiň -> ITa-da Zscaler / AnyConnect / GlobalProtect-da bir gezeklik paroly öçüriň"]
    H -->|"VPN öçürilen ýa-da kesilen, ORA-da howpsuzlyk açylan 'Host izolýasiýa' diýýär."| J["EDR NETWORK MAZMUNY: Wi-Fi birikdirilmegini dowam etdiriň -> Korporatiw SOC jaň ediň -> Host adyny beriň -> SOC 'Lift Containment' -e basýar ýa-da oflayn tehniki hyzmat belligini berýär"]

1-nji ssenariýa: EDR "Network Containment" tarapyndan karantin edilen noutbuk (CrowdStrike, SentinelOne, Defender)¶

Häzirki zaman kärhana noutbuklary adaty sarp ediji antiwirus programma üpjünçiliginiň ýerine ýadro derejesinde ** Endpoint Detection and Response (EDR) ** datçiklerini işledýär. EDR datçigi kiber hüjüme meňzeýän özüni alyp barşyny anyklanda - gol çekmedik ikili düzýän programma üpjünçiligi inereneri, çylşyrymly PowerShell ýa-da Python awtomatlaşdyryş skriptini işleýän maglumat analitigi, makro bilen işleýän elektron tablisasyny açýan dizaýner ýa-da ARP zaýalanýan paketleri çykarýan myhmanhana toruna birikýän syýahatçy - awtomatiki oýun kitaby ** Network Consoment)

EDR Network Containment karantini nädip tanamaly¶

Adaty Wi-Fi düşmeginden tapawutlylykda, EDR karantini aýratyn tehniki alamatlary görkezýär:

1. ** Wi-Fi "Baglanan" ýa-da "Internet ýok, ygtybarly" görkezýär, ýöne ýerli LAN enjamlary görünmeýär: ** Öý marşrutizatoryňyzy goýup bilmersiňiz (192.168.1.1), ýerli tor printerine çap edip bilmeýär we ping 8.8.8.8 gaýdyp gelýär General failure ýa-da Transmit failed dessine (<1 ms) sebäbi EDR datçiginiň Windows Filtrleýiş platformasy (WFP) çagyryş sürüjisi, her TCP / UDP / ICMP paketini Wi-Fi kartasyna ýetmänkä saklaýar we taşlaýar.
2. ** Işjeň uzakdaky iş stoly, ýaltalyk, ulaltmak we brauzer sessiýalary bir wagtda doňýar: ** Özüňi alyp barşyň triggerinden 2 sekundyň içinde her rozetka birbada ýapylýar.
3. ** Buýruk setiri arkaly EDerli EDR ýagdaýyny barlamak (Admin hukuklary gerek däl): **
4. ** CrowdStrike Falcon: ** Açyk buýruk gyssagly (cmd.exe) we ylga sc query csagent. Görkezýän bolsa STATE: 4 RUNNINGwe işleýär netstat -ano | findstr :443 ** diňe ** işjeňdigini görkezýär ESTABLISHED tutuş noutbukdaky çykyş birikmeleri degişlidir CSFalconService.exe AWS / CrowdStrike bulut IP adresleri bilen gürleşmek, öý eýesi ** Falcon Network Containment **.
5. ** SentinelOne: ** Ulgam lýubasyndaky gyrmyzy SentinelOne galkan nyşanyna serediň (ýa-da macOS-daky menýu paneli). Izolýasiýa edilende, agentiň ýagdaýy ** okalýarNetwork Quarantined / Disconnected from Network by Management**.
6. ** Endpoint for Microsoft Defender (MDE): ** Windows Howpsuzlyk habarnamasynyň tostynda gysgaça * "Bu enjam administratoryňyz tarapyndan izolirlendi" * bolup biler MsSense.exe gorag diwary arkaly rugsat edilen ýeke-täk proses bolup galýar.

Uzakdan karantini nädip almaly (Onlaýn Bulut Release vs. Offline Maintenance Token)¶

IT Howpsuzlyk Amallar Merkeziniň (SOC) EDR karantini goýbermeginiň iki ýoly bar:

2-nji ssenariýa: Hemişe döwülen VPN Kill-Switch ýa-da ZTNA Captive-Portal gulpy¶

Noutbukyňyz “SecOps” tarapyndan ** karantin däl bolsa, tersine, bir kärhana işleýär ** Elmydama On VPN ** ýa-da ** Zero-Trust Network Access (ZTNA) ** müşderisi (** Zscaler Müşderi birikdirijisi, Cisco AnyConnect / Cisco Howpsuz Müşderi Tor Görüniş Moduly, Palo Alto GlobalProtect ýa-da Netskope **) "Ynamsyz bolanda ähli korporatiw däl traffigi ýapyň") **?

1. "Myhmanhananyň / howa menziliniň ýesir portalynyň petiklenmesini" çözmek (Towuk-ýumurtga duzagy)¶

Ine, müňlerçe uzakdaky işçiler her gün irden myhmanhanalarda, kafelerde we howa menzillerinde noutbuklaryndan gulplanýarlar:

• Myhmanhanada ýa-da howa menzilinde Wi-Fi-da internete girmek üçin web brauzeri açmaly, HTTP / DNS arkaly myhmanhananyň ýerli giriş sahypasyna gönükdirilmeli (captive.apple.com ýa-da neverssl.com) we otagyňyzyň belgisini we familiýasyny ýazyň.
• ** Şeýle-de bolsa, korporatiw noutbukyňyzyň “Always-On VPN Kill-Switch” myhmanhanada “Wi-Fi” -yň “Ynamsyz korporatiw tor” bolandygyny görýär we şifrlenen VPN tuneli korporasiýa merkezine birikýänçä ** ýerli HTTP we DNS talaplarynyň hemmesini derrew bloklaýar.
• VPN tuneli ** otag belgiňizi myhmanhananyň giriş sahypasyna ýazýançaňyz ** birikdirip bilmeýär, we myhmanhananyň giriş sahypasyny ** ýükläp bilmeýärsiňiz, sebäbi VPN Kill-Switch brauzeriňizi bloklaýar.

Dolandyryjy hukuklaryna mätäç bolmazdan derrew petigi bozmak üçin şu ** dört subut edilen aýlaw usulyndan birini ulanyň:

+-----------------------------------------------------------------------+
|  4 WAYS TO BREAK A VPN KILL-SWITCH CAPTIVE PORTAL DEADLOCK            |
|                                                                       |
|  METHOD 1 (Smartphone USB/Wi-Fi Tethering + MAC Clone / Travel Router)|
|  Authenticate the hotel captive portal on a pocket Travel Router      |
|  (or Android Wi-Fi Share), then connect your work laptop to the       |
|  already-authenticated router Wi-Fi.                                  |
|                                                                       |
|  METHOD 2 (Built-In Mini Captive Portal Browser Inside VPN Client)    |
|  Click the Zscaler / GlobalProtect / AnyConnect tray icon ->          |
|  Click "Captive Portal Detected / Open Login Window".                 |
|                                                                       |
|  METHOD 3 (Gateway IP Direct Entry in Browser)                        |
|  Run `ipconfig` -> Find "Default Gateway" (e.g., 10.0.0.1) ->         |
|  Type `http://10.0.0.1` directly into Edge/Chrome address bar.        |
|                                                                       |
|  METHOD 4 (Authenticate on Phone First -> Call IT for Disable Code)   |
|  Tether laptop to Phone Cellular Data -> Get Zscaler/VPN Disable      |
|  Password from IT -> Pause VPN for 10 min -> Join Hotel Wi-Fi.        |
+-----------------------------------------------------------------------+

1. ** 1-nji usul - Smartfon Wi-Fi köprüsi ýa-da jübü syýahat marşruty hilesi (Wagtyň 100 göterimi işleýär): **
2. Iş noutbukyňyz, tassyklanmadyk myhmanhana Wi-Fi tory bilen myhmanhana portalyna * eýýäm giren şahsy marşrutizatoryň arasyndaky tapawudy aýdyp bilmeýär.
3. ** Android telefonyňyz bar bolsa (Wi-Fi Paýlaşma): ** Android telefonyňyzy myhmanhana Wi-Fi-a birikdiriň, otag nomerli portal girişini telefonyňyzyň ekranynda dolduryň, soňra telefonyňyzyň ** Mobile Hotspot **-i açyň (häzirki Samsung Pixel / Android telefonlary bir wagtyň özünde ** Wi-Fi Repeater / Wi-Fi Paýlaşma rejimi **, telefonyňyzyň n-öýjükli telefonlary arkaly nol Wi-Fi arkaly ýaýlym berýär). Iş noutbukyňyzy telefonyňyzyň nokadyna birikdiriň: VPN derrew birikýär.
4. ** Jübü syýahat marşrutizatoryny göterýän bolsaňyz (meselem, GL.iNet Beril / Slate; serediň myhmanhanadan uzakdan işlemek): ** Syýahat marşrutizatoryny Wi-Fi myhmanhanasyna birikdiriň, smartfon brauzeriňiz arkaly myhmanhana girişini tamamlaň we iş noutbukyňyzy syýahat marşrutizatoryňyzyň WPA3 Wi-Fi ýa-da Ethernet portuna birikdiriň.
5. ** 2-nji usul - defaulterli deslapky şlýuz IP-ni göni brauzeriňize ýazyň (http://10.x.x.x): **
6. Köplenç, VPN Kill-Switch ýa-da Zscaler DNS proksi diňe ** DNS domen adyny gözlemek ** (blokirlemek) neverssl.com ýa-da google.com), henizem çig ýerli subnet IP paketlerine Wi-Fi birleşmesinden soň 60 sekuntlap ýerli marşrutizator derwezesine ýetmäge mümkinçilik berýär.
7. Buýruk buýrugyny açyň (cmd.exe) ýazyň ipconfig, we aşagyndaky ** Bellenen şlýuz ** IP adresine serediň Wireless LAN adapter Wi-Fi (mysal üçin, 172.16.0.1 ýa-da 192.168.20.1).
8. Brauzeriňizi açyň we ** ýazyňhttp://172.16.0.1** (ulanmak http://, hiç haçan https://, we deslapky şlýuzyňyzdan takyk sanlar) göni salgy setirine. Bu, DNS çözgüdi zerur bolmazdan, giriş ekranyny açyp, myhmanhananyň girew portal kontrolleýjisini göni IP arkaly urýar.
9. ** 3-nji usul - Zscaler / GlobalProtect / AnyConnect "Açyk ýesir portaly" düwmesini ýa-da hyzmaty täzeden açyň: **
10. ** Zscaler müşderi birikdirijisinde (ZCC): ** Zscaler penjiresini ulgam lýubkasyndan açyň, basyň More -> Troubleshoot -> Restart Service (parol talap etmeýär we täzeden işe başlanda gysga 30 sekuntlyk portal-portal kesgitleme penjiresini açýar).
11. ** Palo Alto GlobalProtect-da: ** GlobalProtect lýubkasynyň ýokarky sag tarapyndaky üç setirli menýu basyň -> Settings -> General -> eger status * "Captive Portal Detected" diýse, gök basyň Remediate GlobalProtect-iň sandboxly mini-brauzerini açmak üçin düwme.

2. "Zombie VPN adapteri / döwülen DNS aýlawy" (127.0.0.1 ýa-da 100.64.0.1) "Uçardan soň¶

Adaty Wi-Fi-da öýde bolsaňyz we korporasiýa VPN-e birikdirilende noutbuk batareýaňyz ölen ýa-da ýykylan bolsa, noutbukyňyz ** nol DNS çözgüdi ** bilen işleýär (web sahypalary DNS_PROBE_FINISHED_NXDOMAIN, we VPN-ni täzeden birikdirmek üçin korporatiw VPN serwer domen adyny çözüp bilmersiňiz)?

Bu, bir VPN müşderisi, Wi-Fi kartyňyzyň DNS sazlamalaryny arassa dikeltmän ýykylanda, tor adapteriňizi ölen wirtual tunel IP-de hemişelik görkezip biler (100.64.0.1 Zscaler / Tailscale CGNAT ýa-da 127.0.0.1):

1. ** Windows DNS Keşini we Winsock Katalogyny ýuwuň (DNS Flush üçin administrator hukuklary bolmazdan işleýär): **
2. Buýruk gyssagly açyň we işlediň ipconfig /flushdns.
3. Ylga nslookup vpn.yourcompany.com 8.8.8.8 (çalyşmak vpn.yourcompany.com kompaniýanyňyzyň VPN şlýuz host ady bilen). Goşmak bilen 8.8.8.8 ahyryna çenli nslookup buýruk, noutbukyňyzyň döwülen ýerli DNS çözüjisinden aýlanyp, korporatiw VPN şlýuzyňyzyň çig sanly IP adresini öwrenmek üçin Google-yň köpçülige açyk DNS-den (53-nji port açyk bolsa) soraýarsyňyz.
4. ** Çig sanly IP adresini ulanyp, Korporatiw VPN şlýuzasyna birikdiriň: **
5. “Cisco AnyConnect” ýa-da “GlobalProtect” * “Serwer salgysyny çözüp bolmaýar” * bilen şowsuz bolsa, çig sanly IP adresini goýuň (203.0.113.50) gönüden-göni VPN serwer gutusyna (syýasata rugsat berilse) ýa-da wirtual tor adapterini täzeden düzmek üçin ** Zscaler / VPN App-Profil Paroly öçüriň ** almak üçin IT-e jaň ediň (ncpa.cpl).

3-nji ssenariýa: EDR ýadrosy sürüjisiniň gök ekranyndan dikeldiş (BSOD) Bootloop¶

2024-nji ýylyň iýulynda nädogry kanal konfigurasiýasy täzelenmesi ** CrowdStrike Falcon Windows datçigine (csagent.sys / Kanal faýly 291) ** dünýädäki 8,5 million kärhana Windows maşynlarynyň bir bada ýykylmagyna sebäp boldy PAGE_FAULT_IN_NONPAGED_AREA Operasiýa ulgamy hatda düzediş göçürip almak üçin internete birikmezden ozal “Ölümiň gök ekrany”. Şuňa meňzeş ýüklemeler wagtal-wagtal ** SentinelOne (SentinelMonitor.sys) **, ** Microsoft Defender (WdFilter.sys) **, ýa-da ** VPN NDIS süzgüç sürüjileri ** Windows jemleýji täzelenmesi bilen çaknyşýar.

Sebäbi ýykylan sürüji ** hökmünde düzüldiBOOT_START (Start = 0) ýadro sürüjisi **, Windows ony ýüklemegiň ilkinji sekuntynda - Wi-Fi ýa-da bulut dolandyryşy başlamazdan has öň ýatda saklaýar. ** Düzedmegiň ýeke-täk usuly a BOOT_START ýadro sürüjisiniň bootloopy Windows dikeldiş gurşawy arkaly ýerli (WinRE). **

+-----------------------------------------------------------------------+
|  HOW TO BREAK AN EDR KERNEL DRIVER BSOD BOOTLOOP VIA WinRE            |
|                                                                       |
|  1. Force-interrupt boot 2-3 times (or hold Shift + Restart on        |
|     Recovery screen) until "Choose an option" blue menu appears.      |
|  2. Click Troubleshoot -> Advanced options -> Command Prompt          |
|     (or Startup Settings -> F4/F5 Safe Mode).                         |
|  3. Read the 8-character "Recovery Key ID" on screen to your IT       |
|     Helpdesk over the phone -> Type the 48-digit BitLocker Key.       |
|  4. In WinRE Command Prompt, locate the Windows partition (`C:` or    |
|     `D:`), delete the corrupted `.sys` channel file or rename the     |
|     faulty driver folder, and type `wpeutil reboot`.                  |
+-----------------------------------------------------------------------+

Winerli WinRE dikeldişi (Telefonda IT kömekçi kömegi bilen ugrukdyrylýar)¶

1. ** Windows dikeldiş gurşawyna giriň (WinRE): **
2. Iki gezek yzygiderli şowsuz aýakgapdan soň, Windows 10 we Windows 11 gök ** Dikeldiş ("Windows dogry ýüklenmedik ýaly") ** ekrany awtomatiki görkezýär.
3. ** basyňSee advanced repair options** -> Troubleshoot -> Advanced options -> Command Prompt (has çalt we Howpsuz reodeimden has az açylmagyny talap edýär).
4. ** 48 sanly BitLocker dikeldiş açary bilen şifrlenen sürüjini açyň: **
5. Korporatiw gaty diskiňiz BitLocker bilen şifrlenenligi sebäpli, WinRE derrew gök ekrany görkezer: * "Bu sürüjiniň dikeldiş açaryny giriziň" * ** açar ID (8 sany alty belgili nyşan ýaly) A1B2C3D4) **.
6. Smartfonyňyzda kompaniýaňyzyň IT Kömekçi enjamyna jaň ediň, noutbukyňyzyň ** Hostname / Asset Tag ** we ** 8 belgili BitLocker Key ID ** okaň we tehniki işgärlere ** 48 sanly BitLocker Dikeldiş Açary ** (6 sanly sekiz topara bölünip) okaň. 48 belgini üns bilen ýazyň we basyň Enter.
7. ** WinRE-iň içinde Windows gurnama haýsy sürüjiniň hatyny saklaýandygyny kesgitläň: **
8. WinRE dikeldiş gurşawynyň içinde esasy Windows diskiňize köplenç sürüjilik haty berilýär D: ýa-da E: ýerine C: (sebäbi kiçijik gizlin EFI / Dikeldiş bölümi alýar C:).
9. Görnüşi dir C:\Windows we basyň Enter. Eger diýýän bolsa File Not Found, ýazyň dir D:\Windows öz içine alýan sürüjilik hatyny tapýançaňyz Windows bukjasy.
10. ** Satyjy tarapyndan ygtyýarly kanal faýlyny pozmagy ýa-da sürüjiniň adyny ýerine ýetiriň (IT görkezmelerine görä): **
11. ** Korrumpirlenen CrowdStrike kanalynyň faýl täzelenmesi üçin: ** CrowdStrike sürüjiler katalogyna geçiň (cd /d C:\Windows\System32\drivers\CrowdStrike ýa-da D:\Windows\System32\drivers\CrowdStrike), IT toparyňyz tarapyndan görkezilen korrumpirlenen kanal faýlyny barlaň (mysal üçin, del C-00000291*.sys) we basyň Enter. Sebäbi kanal .sys faýllar ýadro däl-de, dinamiki düzgün täzelenmeleri csagent.sys hereketlendiriji, bozulan kanal faýlyny pozmak Windows we Falcon datçigine arassa ýüklemäge we kesgitlenen kanal faýlyny bulutdan göçürip almaga mümkinçilik berýär.
12. ** Korrumpirlenen Üçünji Tarap VPN ýa-da Howpsuzlyk Süzgüç Sürüjisi üçin: ** IT administratoryňyzyň görkezmesi boýunça, heläkçiligiň adyny üýtgediň .sys sürüji (ren C:\Windows\System32\drivers\<FaultyDriver>.sys <FaultyDriver>.sys.bak) ýa-da oflayn reýestrde hyzmat başlangyç bahasyny öçürmek (reg load HKLM\OfflineSystem C:\Windows\System32\Config\SYSTEM), soňra ** ýazyňwpeutil reboot** Windows-a kadaly açmak üçin.

Sebitdäki gyssagly kömek belgileri we edara teswirnamalary¶

Remoteeke-täk uzakdaky işçiniň noutbuk karantini adatça izolirlenen ýalan polo positiveitel ýa-da portal gapma-garşylygy bolsa-da, birden işdeşleriň arasynda birdenkä EDR gulplanmagy ýa-da BSOD tolkuny global satyjynyň kesilmegine ýa-da işjeň kärhana töleg hadysasyna yşarat edip biler:

• ** Amerikanyň Birleşen Ştatlary we Kanada: ** Eger EDR karantini ýa-da köpçülikleýin ýükleme täsiri ** 911 iberiş merkezlerine, hassahananyň kliniki iş stansiýalaryna, gyssagly kömek otaglaryna ýa-da awiasiýa / tranzit infrastrukturasyna ** täsir etse, derrew ýerli ** Amallaryň dowamlylygy (COOP) / Iş wagty kagyz protokollary ** we durmuş howpsuzlygy adatdan daşary ýagdaýlary üçin ** 911 ** jaň ediň. Giňden ýaýran möhüm infrastruktura kiber hadysalaryny ** CISA (Kiberhowpsuzlyk we Infrastruktura Howpsuzlyk Guramasy) ** habar beriň 1-844-SAY-CISA (1-844-729-2472 ýa-da cisa.gov/report) we ** Kanada kiberhowpsuzlyk merkezi ** 1-833-CYBER-88.
• ** Angliýa: ** Durmuş howpsuzlygy adatdan daşary ýagdaýlar üçin ** 999 ** jaň ediň. Kärhana kiber hadysalary we Angliýa guramalaryna täsir edýän programma üpjünçiligini saklamak hadysalary ** Milli Kiber Howpsuzlyk Merkezine (NCSC) ** üsti bilen habar berilmelidir. ncsc.gov.uk.
• ** Unionewropa Bileleşigi: ** Gyssagly kömek hyzmatlary üçin ** 112 ** jaň ediň. ** EU NIS2 Direktiwasy (Direktiwasy (EUB) 2022/2555) ** we ** GDPR 33-nji madda laýyklykda, möhüm pudak guramalary milli ** CSIRT (Kompýuter howpsuzlygy hadysalaryna jogap topary) ** we ** ENISA ** möhüm operasiýa bozulmalaryny ýa-da howpsuzlyk hadysalaryny habar bermelidir.
• ** Awstraliýa we Täze Zelandiýa: ** Awstraliýada ** 000 ** ýa-da Täze Zelandiýada gyssagly kömek hyzmatlary üçin ** 111 ** jaň ediň. Kärhananyň kiberhowpsuzlygy saklamak ýa-da talamak hadysalaryny ** Awstraliýa signallary müdirliginiň Awstraliýa kiberhowpsuzlyk merkezine (ASD ACSC) ** habar beriň 1300 CYBER1 (1300 292 371) ýa-da ** CERT NZ / NCSC NZ **.
• ** Hindistan we Aziýa-Pacificuwaş ummany: ** Hindistanda ** 112 ** jaň ediň (we guramaçylyk kiber hadysalaryny ** CERT-In ** -e habar beriň), Japanaponiýada we Günorta Koreýada ** 119 , ýa-da Singapurda ** 995 ** ( SingCERT **). Halkara gyssagly kömek belgileri üçin serediň gyssagly kömek belgileri.

Freygy-ýygydan berilýän soraglar¶

Zyýanly bir zat etmeýän wagtym näme üçin CrowdStrike Falcon ýa-da SentinelOne iş noutbukymy karantin etdi?¶

Döwrebap ahyrky nokady kesgitlemek we jogap bermek (EDR) agentleri diňe belli wirus gollaryny gözden geçirmeýärler; özlerini alyp barşyň heýristikasyny ulanyp, real wagt amallaryna, ýadyň sanjymyna we buýruk setir argumentlerine gözegçilik edýärler (`IOAs` - Hüjümiň görkezijileri). Awtomatlaşdyrylan EDR Network Containment-e ýygy-ýygydan syýahat edýän umumy kanuny işler, gol çekilmedik ýerli gurluşyk skriptlerini ýa-da düzüjileri, işleýän IT işgärlerini öz içine alýar. `nmap` ýa-da PowerShell tor açyş buýruklary, rugsatsyz USB rezin-şowhunly makro klawiatura dakmak ýa-da ARP-bozmak / Man-in-Middle goranyş düzgünlerini döredýän nädogry üýtgedilen myhmanhana Wi-Fi marşrutizatoryna birikmek. SOC-a jaň etmek derrew analitige proses agajyny barlamaga we birnäçe minutda işjeňligiňizi ak sanawlaşdyrmaga mümkinçilik berýär.

Noutbukym EDR Network Containment-de bolsa, IT toparym henizem ekranymy görüp bilermi ýa-da uzakdan karantin edip bilmezmi?¶

Hawa, noutbukyňyz henizem işleýän Wi-Fi toruna birikdirilse (öý marşrutizatoryňyz ýa-da smartfonyňyzyň öýjükli nokady ýaly). “CrowdStrike Falcon”, “SentinelOne” ýa-da “Endpoint for Microsoft Defender” noutbugy Network Containment-e ýerleşdirende, ýadro süzgüç sürüjisi, noutbukyň EDR datçigi bilen bulut konsolynyň arasynda açyk kodlanan TLS dolandyryş tunelini aç-açan saklamak bilen, adaty ulanyjy traffigini bökdeýär. Şol dolandyryş tuneli arkaly, SOC analitigiňiz uzakdan anyklaýyş gabygyny açyp biler (`Real Time Response` CrowdStrike ýa-da `Live Response` Defender-de) we hiç zat ýazmagyň zerurlygy bolmazdan 30 sekuntda toruňyza girmegi dikeltmek üçin "Lift Containment" -e basyň.

Näme üçin iş noutbukym, myhmanhananyň monitoryna ýa-da USB-C duralgasyna dakanymda birden 48 sanly BitLocker Dikeldiş açaryny sorady?¶

Kärhana Windows noutbuklary takyk enjamy we ýüklemezden öňki konfigurasiýany ölçemek üçin anakartyň ** Ynamly platforma moduly (TPM 2.0) ** çipini ulanýar (** Platform konfigurasiýa registrleri) `PCR 0, 2, 4, 7, 11`**) her gezek güýç düwmesine basanyňyzda. Underyldyrym duralgasyna, daşarky USB diskine ýa-da UEFI ýükleme tertibini ýa-da PCIe DMA awtobus ýerleşişini üýtgedýän monitor merkezine daksaňyz, TPM apparat ölçeg üýtgemesini kesgitleýär we açar açaryny awtomatiki usulda goýbermekden boýun gaçyrýar, 48 belgili BitLocker Dikeldiş açaryny ogurlygyň öňüni alyş çäresi hökmünde görkezýär. Ilki bilen, ** ähli USB garnituralaryny, doklary we HDMI kabellerini aýryň we noutbugy özi täzeden açyň - wagtyň 90 göterimi, TPM ölçegi täzeden gabat gelýär we noutbuk 48 sanly düwmä mätäç bolmazdan Windows-a girýär.

Windows Task Manager ulanyp, Zscaler Client Connector, Cisco AnyConnect ýa-da GlobalProtect-i öçürip bilerinmi?¶

, Ok, dogry düzülen korporasiýa noutbukynda öldürip bilmersiňiz `ZSATray.exe`, `CSFalconService.exe`, `vpnagent.exe`, ýa-da `PanGPS.exe` Taslama Dolandyryjysyndan. Bu howpsuzlyk agentleri ** Windows bilen goralýan amallar (`Protected Process Light / PPL` / `ELAM` Zyýanly programma üpjünçiligi hyzmatlary) ** eýeçilik edýär `SYSTEM` ýadro gorag sürüjileri bilen; ulanyjynyň ýerli dolandyryjy hukuklary bar bolsa-da, Windows muny ret edýär `Access Denied` kriptografik ** PPL howpsuzlyk hyzmatyny ýatyrjak bolanyňyzda, kärhana bulut konsolyndan döredilen Tamper Gorag / Programma-Profilini öçüriň **.

Başga wagt zolagynda işleýän bolsam we noutbukym gulplananda kompaniýamyň “IT Helpdesk” uklap ýatsa näme etmeli?¶

Ilki bilen, guramaňyzyň gündelik IT Helpdesk-den (CrowdStrike ýa-da SentinelOne şertnamasyny ulanýan kärhanalaryň köpüsi, 24/7 Dolandyryş we jogap bermek şertnamasy bilen ** ** 24/7 Howpsuzlyk Operasiýa Merkeziniň (SOC) ýa-da Çagyryşda bolup geçýän esasy waka gyzgyn telefon liniýasynyň bardygyny ýa-da ýokdugyny barlaň.`MDR`] işgäriňiziň intranetinde ýa-da uçuş sahypasynda görkezilen PagerDuty eskalasiýa belgisini toparlaň ýa-da saklaň). Ikinjiden, gulplamaňyz ** BitLocker Dikeldiş açary ekrany ** bolsa, korporasiýa girip biljekdigiňizi barlaň ** Microsoft 365 / Entra ID "Hasabym" portaly (`myaccount.microsoft.com/device-list`) ** MFA tassyklaýjy programmaňyzy ulanyp, smartfon brauzeriňizden - köp kompaniýalar öz noutbuklarynyň 48 sanly BitLocker dikeldiş açaryny öz jübi telefonlary arkaly görmäge mümkinçilik berýär.

Korporatiw VPN-den aýrylandan soň näme üçin öý Wi-Fi iş noutbukymda işlemegini bes edýär?¶

Käbir korporatiw VPN konfigurasiýalary, bölünen tunel maglumatlarynyň syzmagynyň öňüni almak üçin, fiziki korporatiw ofis binasynyň daşynda VPN tuneli kesilende, ähli internete bilkastlaýyn päsgel berýän ** "Elmydama On Karantin / Ynamly Tor Detection (TND)" atly aýratynlygy ulanýar. Beýleki ýagdaýlarda, VPN-i aýyrmak köne wirtual DNS serwer salgysyny galdyrýar (`10.x.x.x`) öý marşrutizatoryňyz web salgylaryny çözüp bilmez ýaly, Wi-Fi adapteriňizde keş. Diňe ** korporasiýa VPN ** bilen täzeden birikdiriň (ýa-da işlediň `ipconfig /flushdns` we Wi-Fi Öçürmek we Işletmek), şonuň üçin ulag ýollaryňyz ygtyýarly korporasiýa şlýuzasyndan arassa.

Degişli gollanmalar¶

• Syýahat edeniňizde ogurlanan ýa-da döwülen iş noutbugy: MDM gulpy we iş wagty nol
• Bir myhmanhanadan uzakda işlemek
• Internetiň we birikmäniň ätiýaçlyk nusgasy
• Gyssagly uzakdaky iş howpsuzlygy we maglumatlaryň gizlinligi

Çeşmeler we resmi görkezmeler¶

• ** CISA (Kiberhowpsuzlyk we Infrastruktura Howpsuzlyk Guramasy): ** * Giňden ýaýran ahyrky nokady kesgitlemek we jogap bermek (EDR) ýadro datçiginiň kesilmegi we Terezide BitLocker dikeldiş proseduralary *.
• ** Microsoft korporasiýasy (Microsoft Öwreniň): ** * BitLocker Dikeldiş Gollanmasy: TPM PCR tassyklama gulplamalarynyň näsazlyklaryny düzeltmek we Boot-tankytly sürüjileri düzetmek üçin WinRE buýrugyny ulanmak * we * Endpoint Machine izolýasiýa arhitekturasy üçin Microsoft Defender *.
• ** NIST (Milli standartlar we tehnologiýa instituty): ** * NIST ýörite neşir 800-207: Zero ynam arhitekturasy (ZTA) * we * NIST SP 800-83 Ylham 1: Zyýanly programma üpjünçiliginiň hadysalarynyň öňüni almak we iş stollary we noutbuklar üçin işlemek boýunça gollanma *.
• ** CrowdStrike Inc.
• ** Zscaler & Cisco Systems: ** * Elmydama işleýän nol ynam toruna girmek (ZTNA) we berk ýapyk diwar gorag syýasatlarynda ýesir portal kesgitlemesini dolandyrmak *.