Skip to content

Ish noutbuki CrowdStrike/SentinelOne tomonidan karantinga olingan yoki masofadan turib ishlayotganda buzilgan VPN o‘chirish tugmasi tomonidan bloklangan

Favqulodda yordam raqamlari mamlakatga qarab farq qiladi. Bu sahifada 911, AQSh va Kanada uchun raqam ishlatiladi. Ko'pgina boshqa mamlakatlar 112, 999 yoki boshqa raqamdan foydalanadilar. Mamlakatingiz uchun raqamni toping.

Uy ofisida, mehmonxona xonasida yoki masofaviy ish joyida uyg'onganingizda, kompaniyangiz tomonidan chiqarilgan noutbukda har bir Wi-Fi tarmog'ida "Ulangan, Internet yo'q" ko'rsatilishi, mehmonxona yoki aeroportga kirish sahifasini yuklashdan bosh tortishi yoki cheksiz Windows ko'k o'lim ekranida ishlamay qolishi (BSOD) yuklash jarayoni (PAGE_FAULT_IN_NONPAGED_AREA yoki SYSTEM_THREAD_EXCEPTION_NOT_HANDLED) uzoqdan ishlash uchun katta xavf tug'diradigan favqulodda vaziyatdir. Zamonaviy korporativ muhitda bu jami blokirovka deyarli har doim uchta avtomatlashtirilgan xavfsizlik mexanizmlaridan biri tufayli yuzaga keladi: CrowdStrike Falcon, SentinelOne yoki Microsoft Defender for Endpoint tomonidan ishga tushirilgan Endpoint Detection and Response (EDR) Network Containment karantini, buzilgan xavfsizlik tizimi yadrosi yangilanishi yoki operatsion tizimni yangilashning oldini olish** Har doim yoqilgan VPN / Zero-Trust Network Access (ZTNA) Kill-Switch (Zscaler Client Connector, Cisco AnyConnect / Secure Client, Palo Alto GlobalProtect yoki Fortinet FortiClient) tunnel o'rnatilguncha barcha mahalliy DNS va DHCP trafigini bloklaydi. Agar blokirovkangiz faol ransomware hujumi yoki tovlamachilik talabini o'z ichiga olsa, korporativ Xavfsizlik operatsiyalari markaziga (SOC) murojaat qiling va mahalliy ma'muriyatingiz bilan maslahatlashing. favqulodda raqamlar agar muhim infratuzilma yoki hayot xavfsizligi tizimlari ta'sir qilsa. Masofaviy ish bilan bog'liq inqirozlar uchun bizning qo'llanmalarimizga qarang work laptop stolen or broken while traveling and MDM lock recovery, mehmonxonadan masofadan turib ishlash, va zaxira internet va ulanish.

Korporativ so‘nggi nuqtalar o‘zgartirishdan himoya qiluvchi parollar, ma’muriy bo‘lmagan foydalanuvchi hisoblari va Microsoft BitLocker yoki macOS FileVault to‘liq diskli shifrlash bilan mustahkamlanganligi sababli, iste’molchi nosozliklarini bartaraf etishning standart hiylalari (masalan, Windows’ni qayta o‘rnatish yoki dastur papkalarini o‘chirish) muvaffaqiyatsiz bo‘ladi yoki yuqori jiddiylikdagi SO‘ning ichki xatosini keltirib chiqaradi. Biroq, siz EDR Host izolyatsiyasi, VPN Captive-Portal o‘lik blokirovkasi yoki Yadro drayveri yuklash tizimi bilan duch kelayotganingizni tashxis qilib, IT yordam xizmati yoki SecOps jamoasidan aniq 48-raqamli BitLocker-ni tiklash kalitini yoki **Bir martalik/Oflayn qo‘ng‘iroqni qayta tiklashingiz mumkin. dunyoning istalgan nuqtasidan 15 daqiqada ish stantsiyasi.

Buni hozir qiling

  1. Korporativ noutbukni ruxsatsiz Linux yoki parolni buzadigan USB flesh-diskidan oʻchirishga, qayta oʻrnatishga yoki yuklashga urinmang. Korporativ noutbukni tashqi USB diskdan yuklash UEFI Secure Boot va Ishonchli platforma moduli (TPM 2.0) PCR yaxlitligini tekshiradi, zudlik bilan qattiq diskni blokirovka qilish va qattiq diskni blokirovka qilish orqali qattiq diskni bloklaydi. Noutbuk qayta ulanganda kompaniyangizning Xavfsizlik operatsiyalari markaziga (SOC) o'zgartirishlar haqida ogohlantirish.
  2. Internetingiz EDR karantini va VPN Kill-Switch blokirovkasi bilan bloklanganligini aniqlang. Buyruqlar qatorini oching (cmd.exe) yoki Terminal oynasi va ishga tushiring ping 8.8.8.8 va nslookup google.com. Agar har bir paket muvaffaqiyatsiz bo'lsa General failure yoki Transmit failed. Error code 1231 Wi-Fi belgisi "Ulangan" deb yozilgan bo'lsa ham, xavfsizlik devori filtri drayveri (EDR Network Containment yoki qattiq VPN Kill-Switch) barcha chiquvchi paketlarni Windows Filtrlash Platformasida (WFP) qatlam.
  3. Agar siz mehmonxona, kafe yoki aeroportda boʻlsangiz va Doim yoqilgan VPN Wi-Fi kirish sahifasini (“Captive Portal Chicken-and-Egg Deadlock”) bloklasa, noutbukingizni smartfoningizning uyali Wi-Fi Hotspotiga AVVAL ulang. Smartfoningiz kirish nuqtasi tutqun portaldan foydalanmaganligi sababli, sizning korporativ agentingiz VPN yoki Always-da darhol VPN-ga kirishadi. telefonning uyali maʼlumotlarini oʻchirib qoʻying, har qanday yangilangan siyosatni oʻchirib qoʻying yoki IT tokenini oʻchirib qoʻying va vaqtinchalik Captive Portal bypass / Disable Password soʻroviga ruxsat bering.
  4. Agar sizning Windows noutbukingiz o'limning cheksiz ko'k ekranida qolib ketgan bo'lsa (BSOD) bir kechada xavfsizlik yangilanishidan so'ng yuklash jarayonini aniq suratga oling Stop Code va .sys ko'k ekranning pastki qismidagi fayl nomi (masalan csagent.sys yoki SentinelMonitor.sys). Bu fayl nomi IT guruhingizga nosoz EDR kanal fayli yoki yadro drayveri halokatga sabab bo'lganligini darhol bildiradi.
  5. Korporativ shaxsiy kompyuterda Windows Xavfsiz rejimi yoki WinRE buyruq satriga kirishdan oldin, telefoningizdagi IT yordam xizmatiga qo‘ng‘iroq qiling va ulardan noutbukingizning 48 xonali BitLocker qutqarish kalitini (birinchi 8 ta belgiga mos keladigan) o‘qish yoki sizga matn yozishni so‘rang. Key ID ekraningizda ko‘rsatilgan). Siz shifrlangan korporativ noutbukda ushbu 48 ta raqamni kiritmasdan tiklash buyruq satrini ocha olmaysiz yoki Xavfsiz rejimga yuklay olmaysiz.
  6. Agar CrowdStrike Falcon, SentinelOne yoki Defender for Endpoint noutbukingizni "Network Containment" (Xost izolyatsiyasi)ga qo'ygan bo'lsa, skriptlarni ishga tushirish yoki fayllarni uzatishni to'xtating va telefon orqali korporativ Xavfsizlik operatsiyalari markaziga (SOC) qo'ng'iroq qiling. Qulflashdan oldin nima qilayotganingizni aniq tushuntiring (masalan, dasturchi, skriptni yaratish, dasturiy ta'minotni yaratish, sinov vositasini ishga tushirish). sayohat marshrutizatori), shuning uchun SOC tahlilchisi uning noto'g'ri pozitiv ekanligini tekshirishi va bulut konsolidan "Lift Containment" tugmasini bosing (karantinda bo'lganda ham noutbukingizga avtomatik ravishda etib boradi).

Danger

Nima uchun EDR "Tarmoqni himoya qilish" bulutli konsolga noutbukingiz bilan gaplashish imkonini beradi (faqat Wi-Fi tarmog‘iga ulangan bo‘lsangiz). CrowdStrike Falcon, SentinelOne yoki Microsoft Defender buzilgan yoki shubhali noutbukni ajratib qo‘yganda, u 100 foiz foydalanuvchi blokirovkasi, elektron pochta, SMB brauzerlari va foydalanuvchi fayllari trafigini bloklaydi** PTCEEX fayl trafigini, foydalanuvchining e-pochtalarini, SMB so‘rovlarini bloklaydi ** to'g'ridan-to'g'ri noutbukingizdagi EDR sensori va sotuvchining bulut boshqaruv serverlari o'rtasida bitta shifrlangan TLS yurak urishi tuneli uchun (*.crowdstrike.com yoki *.sentinelone.net). IT SecOps bilan gaplashayotganda Wi-Fi-ni o‘chirmang yoki Ethernet kabelingizni o‘chirmang. Noutbukingizda Wi-Fi yoki smartfonning internetga ulanish nuqtasi mavjud bo‘lsa, SOC tahlilchisi 30 soniyada bir marta bosish orqali klaviaturangizda bitta belgini kiritmasdan masofadan turib noutbukingizni karantindan chiqarishi mumkin.

Qaror daraxti: korporativ noutbuklar tarmog'i blokirovkalari va yuklanishlarni tashxislash

Noutbukni qaysi korporativ xavfsizlik qatlami bloklaganligini aniqlash va aniq tiklash jarayoniga yo'naltirish uchun ushbu oqim sxemasidan foydalaning.

flowchart TD
    A["Masofaviy Ish Noutbuki Qulflangan yoki Ulana olmadi"] --> B{"Noutbuk Windows/macOS ish stoliga yuklanadimi?"}
    B -->|"Yo'q: Moviy ekran (BSOD) yoki BitLocker ekranida ishlamay qoladi"| C{"Ekranda nima ko'rsatiladi?"}
    C -->|"BSOD nomlash csagent.sys, SentinelMonitor.sys yoki wdfilter.sys"| D["KERNEL DRIVER BOOTLOOP: WinRE Recovery-ga yuklash -> IT-dan 48-raqamli BitLocker kalitini kiriting -> Noto'g'ri kanal faylini o'chirish yoki xavfsiz rejimda drayver nomini o'zgartirish"]
    C -->|"48-raqamli kalit so'ragan ko'k BitLocker tiklash ekrani"| E["TPM PCR TRIP: Barcha USB dok/drayvlarini ajratib oling -> Qayta ishga tushirish -> Agar hali ham so'ralsa, 48 raqamli qutqarish kalitini olish uchun 8 ta belgili kalit identifikatoriga ega IT yordam xizmatiga qo'ng'iroq qiling."]
    B -->|"Ha: Ish stoliga yuklanadi, lekin internet/tarmoqqa kirish NO"| F{"VPN / ZTNA va Wi-Fi holatini tekshirganingizda nima bo'ladi?"}
    F -->|"Mehmonxona/aeroportda: Wi-Fi ulangan, lekin Captive Portal kirish sahifasi ochilmaydi"| G["CAPTIVE PORTAL BLOK: Avval noutbukni Smartfon Hotspotiga ulang -> VPN autentifikatsiyasi -> Yoki telefonda portalga kirishni yakunlash uchun Sayohat Routerini ulang."]
    F -->|"Uy/Hotspot Wi-Fi ulangan, lekin ping 8.8.8.8 “Umumiy xatolik” deb yozmoqda"| H{"VPN mijozi 'Ulanish / o'chirish-o'tish faol' rejimida qolib ketganmi yoki EDR izolyatsiya qilinganmi?"}
    H -->|"VPN mijozi: 'Tarmoqni qulflash / o'chirish tugmasi faol - shlyuzga etib bo'lmaydi'"| I["VPN KILL-SWITCH LOCK: Telefon hotspotiga o'tish -> Yoki Zscaler / AnyConnect / GlobalProtect-da IT bir martalik o'chirish parolini kiriting."]
    H -->|"VPN o'chirilgan yoki uzilgan, YOKI xavfsizlik qalqib chiquvchi oynasida 'Xost izolyatsiya qilingan' deb yozilgan"| J["EDR TARMOQI KO'RSATISH: Wi-Fi tarmog'iga ulangan holda turing -> Korporativ SOCga qo'ng'iroq qiling -> Xost nomini bering -> SOC 'Ko'tarilish' tugmasini bosadi YOKI Oflayn Xizmat Tokenini beradi"]

Stsenariy 1: Noutbuk EDR "Network Containment" tomonidan karantinga olingan (CrowdStrike, SentinelOne, Defender)

Zamonaviy korporativ noutbuklarda an'anaviy iste'molchi antivirus dasturlari o'rniga yadro darajasidagi Endpoint Detection and Response (EDR) sensorlari ishlaydi. EDR sensori kiberhujumga o'xshash xatti-harakatni aniqlaganida, masalan, imzosiz binarni kompilyatsiya qilayotgan dasturiy ta'minot muhandisi, murakkab PowerShell yoki Python avtomatlashtirish skriptini boshqaruvchi ma'lumotlar tahlilchisi, so'l bilan faollashtirilgan elektron jadvalni ochadigan dizayner yoki buzilgan mehmonxona tarmog'iga ulangan sayohatchi ARP-to'plamlarni chiqaradigan - avtomatik o'yinlar uchun tribuklar N (Xost izolyatsiyasi).

EDR Network Containment karantinini qanday aniqlash mumkin

Oddiy Wi-Fi uzilishidan farqli o'laroq, EDR karantini juda o'ziga xos texnik alomatlarni ko'rsatadi:

  1. Wi-Fi "Ulangan" yoki "Internet yo'q, himoyalangan" ko'rsatadi, lekin mahalliy LAN qurilmalari ko'rinmaydi: Siz o'zingizning uy routeringizga ping yubora olmaysiz (192.168.1.1), mahalliy tarmoq printerida chop eta olmaydi va ping 8.8.8.8 qaytadi General failure yoki Transmit failed darhol (<1 ms) chunki EDR sensori Windows filtrlash platformasi (WFP) chaqiruv drayveri har bir TCP/UDP/ICMP paketini Wi-Fi kartasiga yetib borgunga qadar ushlab oladi va tashlab yuboradi.
  2. **Faol masofaviy ish stoli, Slack, masshtab va brauzer seanslari bir vaqtning o‘zida muzlatib qo‘yadi: ** Xulq-atvor triggeridan keyin 2 soniya ichida har bir rozetka birdaniga yopiladi.
  3. Buyruqlar qatori orqali mahalliy EDR holatini tekshirish (Administrator huquqlari kerak emas):
  4. CrowdStrike Falcon: Buyruqlar qatorini oching (cmd.exe) va yuguring sc query csagent. Agar ko'rsatsa STATE: 4 RUNNING, va yugurish netstat -ano | findstr :443 faqat faol ekanligini ko'rsatadi ESTABLISHED butun noutbukda chiquvchi ulanishlar tegishli CSFalconService.exe AWS/CrowdStrike bulutli IP manzillari bilan gaplashayotganda, sizning xostingiz Falcon Network Containment ichida.
  5. SentinelOne: Tizim tepsisidagi (yoki macOS’dagi menyu paneli) binafsha rangli SentinelOne qalqon belgisiga qarang. Izolyatsiya qilinganida, agent holati o'qiydi Network Quarantined / Disconnected from Network by Management.
  6. Microsoft Defender for Endpoint (MDE): Windows Xavfsizlik bildirishnomasi qisqa vaqt ichida "Ushbu qurilma administratoringiz tomonidan ajratilgan" deb ko'rsatilishi mumkin. MsSense.exe xavfsizlik devori orqali ruxsat etilgan yagona jarayon bo'lib qoladi.

Qanday qilib masofadan turib karantindan chiqarish mumkin (Onlayn bulutli reliz va oflayn texnik xizmat tokeni)

Sizning IT Xavfsizlik Operatsion Markazingiz (SOC) EDR karantinini ikki xil usulda chiqarishi mumkin:

Qayta tiklash yo'li Qachon ishlaydi IT SecOps bilan aniq bosqichma-bosqich protsedura
A yo‘li: havoda bulutni to‘xtatib turish (eng tez: 30 soniya) Noutbukingizda ishlamay qolgan internet aloqasi mavjud bo‘lganda (masalan, uy Wi-Fi yoki smartfoningizning uyali Wi-Fi ulanish nuqtasi - autentifikatsiya qilinmagan mehmonxona portali EMAS). 1. Noutbukning Wi-Fi tarmog‘ini uy routeriga yoki smartfonning uyali ulanish nuqtasiga ulang.
2. Telefonda IT-xizmat stoliga / SOCga qo'ng'iroq qiling va Kompyuter host nomini (ishlash) kiriting. hostname Buyruqning satrida).
3. SOC tahlilchisi CrowdStrike Falcon, SentinelOne yoki Defender portalida ishga tushirilgan ogohlantirishni ko'rib chiqadi, uni noto'g'ri pozitiv deb belgilaydi va "Ko'tarilishni ko'tarish"/"Tarmoqqa qayta ulanish" tugmasini bosadi.
4. EDR sensorining shifrlangan boshqaruv kanaliga karantin xavfsizlik devori orqali ruxsat berilganligi sababli, tizza kompyuteringiz qulfni ochish buyrug‘ini 15-60 soniya ichida oladi va to‘liq internetga kirish qayta ishga tushirilmasdan avtomatik tarzda qaytadi.
B yo‘li: bir martalik oflayn texnik xizmat ko‘rsatish tokeni/parol iborasi (Bulutli kanal bloklanganda) Autentifikatsiya qilinmagan mehmonxona/samolyot Wi-Fi portali orqasida qolib ketganingizda yoki buzilgan xavfsizlik devori siyosati hatto EDR bulut yurak urishini ham bloklaganda. 1. Mehmonxona Wi-Fi portaliga kirguningizcha EDR sensori bulut konsoliga kira olmagani uchun (va EDR sensori brauzeringizni karantin qilayotganda mehmonxona Wi-Fi portalini yuklay olmaysiz), SOC tahlilchisiga oflayn / tutqun-portal holati ekanligingizni ayting.
2. SOC tahlilchisi maxsus noutbukingizning Noyob agent identifikatorini qidiradi (AID) o'z konsolida va qurilmaga xos bir martalik texnik xizmat ko'rsatish tokenini (CrowdStrike) yoki 24 belgili agent parolini (SentinelOne) yaratadi.
3. Yuqori buyruq satri yoki agent UI yordamida tokenni kiriting (CsUninstallTool.exe /maintenance yoki sentinelctl unprotect -k "<passphrase>") saqlash filtri drayverini mahalliy sifatida tushirish uchun.

Stsenariy 2: Buzilgan har doim yoqilgan VPN Kill-Switch yoki ZTNA Captive-Portal blokirovkasi

Agar tizza kompyuteringiz SecOps tomonidan karantinda bo‘lmasa, lekin uning o‘rniga korxona Always-On VPN yoki Zero-Trust Network Access (ZTNA) mijozi (Zscaler Client Connector, Cisco AnyConnect / Cisco Secure Client with Network Visibility module, Palo Alto Neeconnect, configurtric GlobalProect) bilan ishlayotgan bo‘lsa-chi? Kill-Switch ("Muvaffaqiyatsiz yopilgan" / "Ishonchsiz bo'lganda barcha korporativ bo'lmagan trafikni bloklash")?

1. "Mehmonxona / Aeroportdagi tutqunlik portali boshi berk ko'chaga chiqish" (Tovuq va tuxum tuzog'i)

Mana nima uchun minglab masofaviy ishchilar har kuni ertalab mehmonxonalar, kafelar va aeroportlarda o'z noutbuklarini qulflab qo'yishadi:

  • Mehmonxona yoki aeroport Wi-Fi tarmog'ida internetga kirish uchun siz veb-brauzerni ochishingiz, HTTP/DNS orqali mehmonxonaning mahalliy kirish sahifasiga yo'naltirishingiz kerak (captive.apple.com yoki neverssl.com) va xona raqamingiz va familiyangizni kiriting.
  • Biroq, korporativ noutbukingizning Always-On VPN Kill-Switch funksiyasi mehmonxona Wi-Fi tarmog‘i “Ishonchsiz korporativ tarmoq” ekanligini ko‘radi va shifrlangan VPN tunnel korporativ shtab-kvartiraga ulanmaguncha barcha mahalliy HTTP va DNS so‘rovlarini darhol bloklaydi.
  • Mehmonxonaga kirish sahifasiga xona raqamingizni kiritmaguningizcha VPN tunnel ulana olmaydi va siz mehmonxonaga kirish sahifasini yuklay olmaysiz, chunki VPN Kill-Switch brauzeringizni bloklamoqda.

Ushbu to'rtta isbotlangan chetlab o'tish usullaridan birini ishlatib, administrator huquqlariga muhtoj bo'lmasdan zudlik bilan nosozlikni bartaraf qiling:

+-----------------------------------------------------------------------+
|  4 WAYS TO BREAK A VPN KILL-SWITCH CAPTIVE PORTAL DEADLOCK            |
|                                                                       |
|  METHOD 1 (Smartphone USB/Wi-Fi Tethering + MAC Clone / Travel Router)|
|  Authenticate the hotel captive portal on a pocket Travel Router      |
|  (or Android Wi-Fi Share), then connect your work laptop to the       |
|  already-authenticated router Wi-Fi.                                  |
|                                                                       |
|  METHOD 2 (Built-In Mini Captive Portal Browser Inside VPN Client)    |
|  Click the Zscaler / GlobalProtect / AnyConnect tray icon ->          |
|  Click "Captive Portal Detected / Open Login Window".                 |
|                                                                       |
|  METHOD 3 (Gateway IP Direct Entry in Browser)                        |
|  Run `ipconfig` -> Find "Default Gateway" (e.g., 10.0.0.1) ->         |
|  Type `http://10.0.0.1` directly into Edge/Chrome address bar.        |
|                                                                       |
|  METHOD 4 (Authenticate on Phone First -> Call IT for Disable Code)   |
|  Tether laptop to Phone Cellular Data -> Get Zscaler/VPN Disable      |
|  Password from IT -> Pause VPN for 10 min -> Join Hotel Wi-Fi.        |
+-----------------------------------------------------------------------+
  1. 1-usul - Smartfonning Wi-Fi ko'prigi yoki cho'ntak sayohat yo'riqnomasi (vaqtning 100 foizi ishlaydi):
  2. Sizning ish noutbukingiz autentifikatsiya qilinmagan mehmonxona Wi-Fi tarmog'i va mehmonxona portaliga allaqachon kirgan shaxsiy router o'rtasidagi farqni ayta olmaydi.
  3. Agar sizda Android telefoningiz bo'lsa (Wi-Fi almashish): Android telefoningizni mehmonxona Wi-Fi tarmog'iga ulang, telefoningiz ekranida xona raqamini tutib turuvchi portalga kirishni yakunlang, so'ngra telefoningizning Mobil ulanish nuqtasini yoqing (zamonaviy Samsung Pixel/Android telefonlari bir vaqtning o'zida Wi-Fi Repeater / Wi-Fi rejimini qo'llab-quvvatlaydi, telefoningiz orqali Wi-Fi uzatish. nol uyali ma'lumotlardan foydalanilgan hotspot). Ish noutbukingizni telefoningizning hotspotiga ulang: VPN darhol ulanadi.
  4. Agar sizda cho‘ntak sayohati routeri bo‘lsa (masalan, GL.iNet Beryl/Slate; qarang. mehmonxonadan masofadan turib ishlash): Sayohat routerini mehmonxona Wi-Fi tarmog‘iga ulang, smartfon brauzeringiz yordamida mehmonxonaga kirishni yakunlang va ish noutbukingizni sayohat routeringizning WPA3 Wi-Fi yoki Ethernet portiga ulang.
  5. 2-usul - Mahalliy standart shlyuz IP-ni to'g'ridan-to'g'ri brauzeringizga kiriting (http://10.x.x.x):
  6. Ko'pincha, VPN Kill-Switch yoki Zscaler DNS proksi-serverlari faqat DNS domen nomlarini qidirishni o'g'irlaydi (bloklash). neverssl.com yoki google.com), Wi-Fi bilan bogʻlangandan soʻng 60 soniya davomida mahalliy quyi tarmoq IP-paketlariga mahalliy router shlyuziga yetib borishiga ruxsat berish bilan birga.
  7. Buyruqlar satrini oching (cmd.exe), turi ipconfig, va ostidagi Default Gateway IP manziliga qarang Wireless LAN adapter Wi-Fi (masalan, 172.16.0.1 yoki 192.168.20.1).
  8. Brauzeringizni oching va kiriting http://172.16.0.1 (foydalanish http://, hech qachon https://, va standart shlyuzingizdagi aniq raqamlar) to'g'ridan-to'g'ri manzil satriga. Bu DNS rezolyutsiyasini talab qilmasdan to'g'ridan-to'g'ri IP orqali mehmonxonaning tutqich portal boshqaruvchisiga uriladi va kirish ekrani ochiladi.
  9. 3-usul - Zscaler/GlobalProtect/AnyConnect “Open Captive Portal” tugmasidan foydalaning yoki xizmatni qayta ishga tushiring:
  10. Zscaler Client Connector (ZCC) da: Tizim tepsisidan Zscaler oynasini oching, ** tugmasini bosing.More** -> Troubleshoot -> Restart Service (bu parolni talab qilmaydi va qayta ishga tushirish vaqtida 30 soniyalik tutqun-portalni aniqlash oynasini ochadi).
  11. Palo Alto GlobalProtect-da: GlobalProtect laganda qalqib chiquvchi oynasining yuqori o'ng tomonidagi uch qatorli menyuni bosing -> Settings -> General -> agar statusda "Asirlangan portal aniqlandi" bo'lsa, ko'k belgini bosing Remediate GlobalProtect-ning sinov muhitiga o'rnatilgan mini-brauzerini ishga tushirish uchun tugma.

2. "Zombie VPN Adapter / Buzilgan DNS Loopback" ni tuzatish (127.0.0.1 yoki 100.64.0.1)" Avariyadan keyin

Agar siz uyda oddiy Wi-Fi tarmog‘ida bo‘lsangiz va korporativ VPN tarmog‘iga ulanganda noutbukingiz batareyasi o‘chib qolsa yoki ishdan chiqqan bo‘lsa, noutbukingiz nol DNS ruxsati bilan ishga tushadi (veb-saytlarda aytilishicha) DNS_PROBE_FINISHED_NXDOMAIN, va VPNni qayta ulash uchun korporativ VPN serverining domen nomini ham hal qila olmaysiz)?

Bu VPN mijozi Wi-Fi kartangizning DNS sozlamalarini tiklamasdan ishlamay qolganda va tarmoq adapteringiz doimiy ravishda o‘lik virtual tunnel IP-ga ishora qilganda sodir bo‘ladi.100.64.0.1 Zscaler/Tailscale CGNAT yoki 127.0.0.1):

  1. Windows DNS keshini va Winsock katalogini tozalang (DNS Flush uchun administrator huquqlarisiz ishlaydi):
  2. Buyruqlar satrini oching va ishga tushiring ipconfig /flushdns.
  3. Yugurish nslookup vpn.yourcompany.com 8.8.8.8 (almashtirish vpn.yourcompany.com kompaniyangizning VPN shlyuz xost nomi bilan). Qo'shish orqali 8.8.8.8 oxirigacha nslookup buyrug'i bilan siz noutbukingizning buzilgan mahalliy DNS-reseptorini chetlab o'tasiz va korporativ VPN shlyuzingizning raqamli IP-manzilini o'rganish uchun to'g'ridan-to'g'ri Google umumiy DNS-ni so'rang (agar 53-port ochiq bo'lsa).
  4. ** Korporativ VPN shlyuziga uning raqamli IP-manzilidan foydalanib ulaning:**
  5. Agar Cisco AnyConnect yoki GlobalProtect "Server manzilini hal qilib bo'lmadi" bilan ishlamasa, xom raqamli IP manzilini (203.0.113.50) to'g'ridan-to'g'ri VPN server maydoniga (agar siyosat ruxsat bergan bo'lsa) yoki virtual tarmoq adapterini qayta o'rnatish uchun Zscaler / VPN App-Profile-Profile Disable Password olish uchun ITga qo'ng'iroq qiling (ncpa.cpl).

Stsenariy 3: EDR yadro drayveridan ko'k ekranni tiklash (BSOD) Bootloop

2024-yil iyul oyida kanal konfiguratsiyasining noto‘g‘ri yangilanishi CrowdStrike Falcon Windows sensoriga ((csagent.sys / Kanal fayli 291) butun dunyo bo'ylab 8,5 million korporativ Windows mashinalarining bir zumda ishdan chiqishiga sabab bo'ldi. PAGE_FAULT_IN_NONPAGED_AREA Operatsion tizim hatto tuzatishni yuklab olish uchun Internetga ulanishi mumkin bo'lgunga qadar o'limning ko'k ekrani yuklash tizimi. Shunga o'xshash yuklash davri vaqti-vaqti bilan SentinelOne (SentinelMonitor.sys), Microsoft Defender (WdFilter.sys) yoki VPN NDIS filtr drayverlari Windows kümülatif yangilanishi bilan to'qnashadi.

Chunki halokatga uchragan drayver ** sifatida sozlangan.BOOT_START (Start = 0) yadro drayveri**, Windows uni yuklashning birinchi soniyasida xotiraga yuklaydi - Wi-Fi yoki bulut boshqaruvi ishga tushishidan ancha oldin. A tuzatishning yagona yo'li BOOT_START yadro drayveri bootloop mahalliy sifatida Windows tiklash muhiti (WinRE).

+-----------------------------------------------------------------------+
|  HOW TO BREAK AN EDR KERNEL DRIVER BSOD BOOTLOOP VIA WinRE            |
|                                                                       |
|  1. Force-interrupt boot 2-3 times (or hold Shift + Restart on        |
|     Recovery screen) until "Choose an option" blue menu appears.      |
|  2. Click Troubleshoot -> Advanced options -> Command Prompt          |
|     (or Startup Settings -> F4/F5 Safe Mode).                         |
|  3. Read the 8-character "Recovery Key ID" on screen to your IT       |
|     Helpdesk over the phone -> Type the 48-digit BitLocker Key.       |
|  4. In WinRE Command Prompt, locate the Windows partition (`C:` or    |
|     `D:`), delete the corrupted `.sys` channel file or rename the     |
|     faulty driver folder, and type `wpeutil reboot`.                  |
+-----------------------------------------------------------------------+

Bosqichma-bosqich mahalliy WinRE tiklash (telefonda IT yordam stolingiz bilan boshqariladi)

  1. Windows tiklash muhitiga kiring (WinRE):
  2. Ikki ketma-ket muvaffaqiyatsiz yuklashdan so'ng, Windows 10 va Windows 11 avtomatik ravishda ko'k Qayta tiklash ("Windows to'g'ri yuklanmaganga o'xshaydi") ekranini ko'rsatadi.
  3. ** bosingSee advanced repair options** -> Troubleshoot -> Advanced options -> Command Prompt (bu xavfsiz rejimga qaraganda tezroq va kamroq qayta yuklashni talab qiladi).
  4. Shifrlangan diskni 48-raqamli BitLocker tiklash kaliti bilan qulfdan chiqaring:
  5. Korporativ qattiq diskingiz BitLocker bilan shifrlanganligi sababli, WinRE darhol ko'k ekranni ko'rsatadi: "Ushbu disk uchun tiklash kalitini kiriting" va Kalit ID (8 o'n oltilik belgilar, masalan, A1B2C3D4).
  6. Smartfoningizda kompaniyangizning IT yordam xizmatiga qo‘ng‘iroq qiling, ularga noutbukingizning Hostname/Aset Tag va 8-belgili BitLocker Key ID-ni o‘qing va texnikga 48-raqamli BitLocker Recovery Key (6 xonali sakkizta blokga guruhlangan) qayta o‘qishini topshiring. 48 ta raqamni diqqat bilan kiriting va bosing Enter.
  7. WinRE ichida Windows oʻrnatishingiz qaysi disk harfi boʻlishini aniqlang:
  8. WinRE tiklash muhitida sizning asosiy Windows diskingizga ko'pincha haydovchi harfi tayinlanadi D: yoki E: o'rniga C: (chunki kichik yashirin EFI/Recovery bo'limi oladi C:).
  9. Turi dir C:\Windows va bosing Enter. Agar aytilgan bo'lsa File Not Found, turi dir D:\Windows o'z ichiga olgan haydovchi harfini topmaguningizcha Windows papka.
  10. Sotuvchi tomonidan ruxsat etilgan kanal faylini oʻchirish yoki drayver nomini oʻzgartirish (IT koʻrsatmalariga muvofiq):
  11. Buzuq CrowdStrike kanali faylini yangilash uchun: CrowdStrike drayverlari katalogiga o'ting (cd /d C:\Windows\System32\drivers\CrowdStrike yoki D:\Windows\System32\drivers\CrowdStrike), IT jamoasi tomonidan belgilangan buzilgan kanal faylini tekshiring (masalan, del C-00000291*.sys) va bosing Enter. Chunki kanal .sys fayllar yadro emas, balki dinamik qoidalar yangilanishidir csagent.sys Dvigatel, buzilgan kanal faylini o'chirish Windows va Falcon sensoriga toza yuklash va bulutdan qattiq kanal faylini yuklab olish imkonini beradi.
  12. Buzuq uchinchi tomon VPN yoki Xavfsizlik filtri drayveri uchun: AT ma'muringizning ko'rsatmasi bo'yicha maxsus nosozlik nomini o'zgartiring .sys haydovchi (ren C:\Windows\System32\drivers\<FaultyDriver>.sys <FaultyDriver>.sys.bak) yoki oflayn registrdagi xizmatni boshlash qiymatini o'chirib qo'ying (reg load HKLM\OfflineSystem C:\Windows\System32\Config\SYSTEM), keyin ** yozingwpeutil reboot** Windows-ni odatdagidek qayta ishga tushirish uchun.

Warning

Nima uchun 48 raqamli BitLocker tiklash kalitingizni tasdiqlanmagan chat yoki elektron pochta orqali hech qachon baham ko‘rmasligingiz kerak. IT yordam stoli yuklash jarayonini tuzatish uchun telefon orqali 48 xonali BitLocker tiklash kalitini taqdim etgandan so‘ng, uni hech qachon noutbukga biriktirilgan yopishqoq eslatmaga yozmang yoki shifrlanmagan qoralama xatda saqlamang. Ushbu 48 raqamli kalitga ega bo'lgan har bir kishi butun korporativ qattiq diskingizni oflayn rejimda shifrlashi mumkin. Esda tutingki, yaxshi boshqariladigan korporativ muhitlar (Microsoft Intune / Entra ID / MBAM) tizza kompyuteringiz Windows-ga qayta ishga tushishi va korporativ tarmoqqa ulanishi bilanoq avtomatik ravishda **yangi BitLocker tiklash kalitini fonda **aylantiradi (qayta tiklaydi).

Mintaqaviy favqulodda raqamlar va agentlik protokollari

Bitta masofaviy ishchining noutbuk karantini odatda yolg‘on musbat yoki tutqun-portal ziddiyatidan iborat bo‘lsa-da, to‘satdan bir vaqtning o‘zida EDR blokirovkasi yoki bir nechta hamkasblar orasida BSOD to‘lqini sotuvchining global uzilishi yoki faol korporativ to‘lov dasturi hodisasi haqida signal berishi mumkin:

  • Amerika Qo'shma Shtatlari va Kanada: Agar EDR karantini yoki ommaviy yuklash tizimi 911 dispetcherlik markazlari, shifoxona klinik ish stantsiyalari, tez yordam xonalari yoki aviatsiya/tranzit infratuzilmasiga ta'sir etsa, darhol mahalliy Operatsiyalar uzluksizligi (COOP) / To'xtab qolgan qog'oz protokollarini faollashtiring va umrbod **911y telefon raqamiga qo'ng'iroq qiling. Keng tarqalgan muhim infratuzilma kiber hodisalari haqida **CISA (Kiberxavfsizlik va infratuzilma xavfsizligi agentligi)**ga xabar bering. 1-844-SAY-CISA (1-844-729-2472 yoki cisa.gov/report) va Kanada kiberxavfsizlik markazi da 1-833-CYBER-88.
  • Birlashgan Qirollik: Hayot xavfsizligi bilan bog‘liq favqulodda vaziyatlar uchun 999 raqamiga qo‘ng‘iroq qiling. Buyuk Britaniya tashkilotlariga ta'sir ko'rsatadigan korporativ kiber hodisalar va to'lov dasturlarini to'xtatish hodisalari haqida Milliy kiberxavfsizlik markaziga (NCSC) xabar berish kerak. ncsc.gov.uk.
  • Yevropa Ittifoqi: Favqulodda xizmatlar uchun 112 raqamini tering. EI NIS2 Direktivasi (Direktiva (EI) 2022/2555) va GDPRning 33-moddasiga muvofiq, muhim sektor subʼyektlari oʻzlarining milliy CSIRT (Kompyuter xavfsizligi hodisalariga javob berish guruhi) va ENISA ga muhim operatsion uzilishlar yoki xavfsizlik hodisalari haqida xabar berishlari kerak.
  • Avstraliya va Yangi Zelandiya: Favqulodda xizmatlar uchun Avstraliyada 000 yoki Yangi Zelandiyada 111 raqamiga qo‘ng‘iroq qiling. Korxonaning kiberxavfsizligi yoki tovlamachilik hodisalari haqida Avstraliya Signallar Direksiyasining Avstraliya kiberxavfsizlik markaziga (ASD ACSC) xabar bering. 1300 CYBER1 (1300 292 371) yoki CERT NZ / NCSC NZ.
  • Hindiston va Osiyo-Tinch okeani: Hindistonda 112 raqamini tering (va tashkiliy kiber hodisalar haqida CERT-In ga xabar bering), Yaponiya va Janubiy Koreyada 119 yoki Singapurda 995 (SingCERT). Xalqaro favqulodda raqamlar uchun qarang favqulodda raqamlar.

Tip

**Noutbuk sumkangizda “30 dollarlik cho‘ntak sayohat routeri” va smartfon USB ulanish kabelini olib yuring: ** Sayohat paytida korporativ Always-On VPN tutqun-portal blokirovkalaridan eng yaxshi himoya bu smartfoningiz uchun USB-C ma’lumot kabeli bilan bog‘langan cho‘ntak o‘lchamdagi sayohat routeri (masalan, GL.iNet routeri). Mehmonxona yoki samolyot Wi-Fi-ni smartfon ekranida sayohat routeri orqali autentifikatsiya qilganingiz uchun korporativ noutbukingizning Zscaler yoki AnyConnect agenti faqat toza, shaxsiy, oldindan autentifikatsiya qilingan WPA3 tarmog‘ini ko‘radi va hech qachon uning tutqun-portal o‘chirish-switchini ishga tushirmaydi.

Tez-tez beriladigan savollar

Nima uchun CrowdStrike Falcon yoki SentinelOne mening ish noutbukimni karantinga oldi, men hech qanday zararli ish qilmagan edim?

Zamonaviy Endpoint Detection and Response (EDR) agentlari faqat ma'lum virus imzolarini tekshirmaydi; ular xatti-harakat evristikasi yordamida real vaqtda jarayonning harakatini, xotirani kiritishni va buyruq qatori argumentlarini kuzatadilar (`IOAs` - Hujum ko'rsatkichlari). Avtomatlashtirilgan EDR Network Containment tizimiga tez-tez xalaqit beradigan umumiy qonuniy harakatlar qatoriga imzosiz mahalliy tuzilma skriptlari yoki disk raskadrovka dasturlarini ishlab chiquvchilar, ishlayotgan IT xodimlari kiradi. `nmap` yoki PowerShell tarmog'ini aniqlash buyruqlari, ruxsatsiz USB rezina-ducky uslubidagi so'l klaviaturani ulash yoki noto'g'ri sozlangan mehmonxona Wi-Fi routeriga ulanish, bu ARP-spoofing / Man-in-the-Middle himoya qoidalarini ishga tushiradi. Darhol SOC-ga qo'ng'iroq qilish tahlilchiga jarayon daraxtini tekshirish va bir necha daqiqada faoliyatingizni oq ro'yxatga olish imkonini beradi.

Agar mening noutbukim EDR Tarmoq himoyasida bo‘lsa, mening IT jamoasi ekranimni ko‘ra oladimi yoki meni masofadan karantindan chiqara oladimi?

Ha, agar tizza kompyuteringiz hali ham ishlaydigan Wi-Fi tarmog'iga ulangan bo'lsa (masalan, uy routeringiz yoki smartfoningizning uyali ulanish nuqtasi). CrowdStrike Falcon, SentinelOne yoki Microsoft Defender for Endpoint noutbukni Network Containment-ga joylashtirganda, yadro filtri drayveri barcha oddiy foydalanuvchi trafigini bloklaydi va shu bilan birga noutbukning EDR sensori va bulut konsoli o'rtasida maxsus shifrlangan TLS boshqaruv tunnelini ochiq saqlaydi. Ushbu boshqaruv tuneli orqali SOC tahlilchisi masofaviy diagnostika qobig'ini ochishi mumkin (`Real Time Response` CrowdStrike-da yoki `Live Response` Himoyachi-da) va hech narsa yozmasdan 30 soniya ichida tarmoqqa kirishni tiklash uchun "Ko'tarilish" tugmasini bosing.

Nega mening ish noutbukim mehmonxona monitoriga yoki USB-C ulash stansiyasiga ulaganimda to'satdan 48 xonali BitLocker qutqarish kalitini so'radi?

Korxona Windows noutbuklari anakartning **Ishonchli platforma moduli (TPM 2.0)** chipidan aniq uskuna va yuklashdan oldingi konfiguratsiyani o‘lchash uchun foydalanadi (**Platforma konfiguratsiyasi registrlari) `PCR 0, 2, 4, 7, 11`**) har safar quvvat tugmasini bosganingizda. Agar siz Windows yuklanishidan oldin UEFI yuklash tartibini yoki PCIe DMA avtobus tartibini o‘zgartiruvchi momaqaldiroq dok, tashqi USB disk yoki monitor uyasiga ulansangiz, TPM apparat o‘lchovi o‘zgarishini aniqlaydi va shifrni ochish kalitini avtomatik ravishda chiqarishni rad etadi va o‘g‘irlikdan himoyalanish sifatida 48 xonali BitLocker tiklash kalitini so‘raydi. Birinchidan, **barcha USB aksessuarlari, docklar va HDMI kabellarini ajratib oling va noutbukni o'z-o'zidan qayta ishga tushiring** - vaqtning 90 foizi, TPM o'lchovi yana mos keladi va noutbuk 48 raqamli kalitni talab qilmasdan Windows-ga to'g'ridan-to'g'ri ishga tushadi.

Windows Task Manager yordamida Zscaler Client Connector, Cisco AnyConnect yoki GlobalProtect-ni o'chirib qo'yishim mumkinmi?

Yo'q, to'g'ri sozlangan korporativ noutbukda siz o'ldira olmaysiz `ZSATray.exe`, `CSFalconService.exe`, `vpnagent.exe`, yoki `PanGPS.exe` Vazifa menejeridan. Ushbu xavfsizlik agentlari **Windows himoyalangan jarayonlar (`Protected Process Light / PPL` / `ELAM` Zararli dasturlarga qarshi xizmatlar)** egalik qiladi `SYSTEM` yadro o'zini himoya qilish drayverlari bilan; Agar foydalanuvchi mahalliy administrator huquqlariga ega bo'lsa ham, Windows rad etadi `Access Denied` PPL xavfsizlik xizmatini korporativ bulut konsolidan yaratilgan **Tamperdan himoya qilish / Ilova profilini o‘chirish paroli**siz o‘chirishga urinayotganda.

Agar men boshqa vaqt zonasida ishlayotgan bo'lsam va noutbukim bloklanib qolsa, kompaniyamning IT yordam xizmati uxlab qolsa-chi?

Birinchidan, tashkilotingizda standart kunduzgi AT Yordam xizmatidan alohida **24/7 Xavfsizlik Operatsion Markazi (SOC) yoki Qo‘ng‘iroq bo‘yicha asosiy voqea-hodisalar bo‘yicha ishonch telefoni** mavjudligini tekshiring (ko‘pchilik korxonalar CrowdStrike yoki SentinelOne’dan 24/7 boshqariladigan aniqlash va javob berish bilan shartnoma tuzadi [`MDR`] jamoangiz yoki xodimlaringiz intranetida yoki ishga qabul qilish varag‘ida ko‘rsatilgan ish soatlaridan keyin PagerDuty eskalatsiya raqamini saqlang). Ikkinchidan, agar sizning blokirovkangiz **BitLocker Recovery Key ekrani** bo'lsa, korporativ **Microsoft 365 / Entra ID "Mening hisobim" portaliga kirishingiz mumkinligini tekshiring (`myaccount.microsoft.com/device-list`)** TIV autentifikatori ilovasidan foydalangan holda smartfon brauzeringizdan - koʻpgina kompaniyalar xodimlarga oʻzlarining mobil telefonlari orqali oʻz noutbuklarining 48-raqamli BitLocker tiklash kalitini koʻrish imkonini beradi.

Nima uchun korporativ VPN tarmog‘idan uzilganimdan so‘ng uydagi Wi-Fi ish noutbukimda ishlamay qoladi?

Ba'zi korporativ VPN konfiguratsiyalarida **"Doim karantinda / Ishonchli tarmoqni aniqlash (TND)"** nomli xususiyatdan foydalaniladi, bu funksiya korporativ korporativ ofis binosidan tashqarida VPN tunneli uzilib qolganda har doim internetga kirishni qasddan bloklaydi. Boshqa hollarda, VPN-ni o'chirish eskirgan virtual DNS server manzilini qoldiradi (`10.x.x.x`) Wi-Fi adapteringizda keshlangan, shuning uchun uy routeringiz veb-manzillarni hal qila olmaydi. Shunchaki **korporativ VPN-ga qayta ulaning** (yoki ishga tushiring `ipconfig /flushdns` va Wi-Fi-ni o'chirib qo'ying va yoqing) sizning trafik yo'nalishlaringiz vakolatli korporativ shlyuz orqali toza bo'lishi uchun.

Tegishli qo'llanmalar

Manbalar va rasmiy ko'rsatmalar

  • CISA (Kiberxavfsizlik va infratuzilma xavfsizligi agentligi): * Keng tarqalgan yakuniy nuqtani aniqlash va javob berish (EDR) yadro sensori uzilishlari va BitLockerni qayta tiklash tartib-qoidalarini miqyosda tuzatish*.
  • Microsoft Corporation (Microsoft Learn): BitLocker-ni tiklash bo'yicha qo'llanma: TPM PCR tasdiqlash blokirovkalari bilan bog'liq muammolarni bartaraf etish va yuklash uchun muhim bo'lgan drayverlarni tuzatish uchun WinRE buyruq satridan foydalanish va Mashinalarni oxirgi nuqta izolyatsiyasi arxitekturasi uchun Microsoft Defender.
  • NIST (Milliy standartlar va texnologiyalar instituti): NIST maxsus nashri 800-207: Zero Trust Architecture (ZTA) va NIST SP 800-83 Rev. 1: Ish stollari va noutbuklar uchun zararli dasturlarning oldini olish va ulardan foydalanish bo‘yicha qo‘llanma.
  • CrowdStrike, Inc. & SentinelOne: Falcon Sensor tarmog‘ini saqlash arxitekturasi, texnik xizmat ko‘rsatish tokenini o‘chirish tartib-qoidalari va kanal fayllarini tiklash hujjatlari.
  • Zscaler & Cisco Systems: Doim yoqilgan nol ishonchli tarmoqqa kirish (ZTNA) va qattiq ishlamay yopilgan xavfsizlik devori siyosatlarida tutqunlikdagi portalni aniqlash bilan ishlash.