Endpoint Security — первоначальное наблюдение

1.

Endpoint Security — первоначальное наблюдение
Innledende observasjon av endpoint security
Большое количество Windows-ноутбуков, выданных участникам курса
Достаточно широкие возможности на уровне пользователя устройства
Et stort antall Windows-bærbare PC-er utdelt til kursdeltakerne
Relativt vide brukerrettigheter på selve enheten
Несколько локальных административных учётных записей в группе
Administratorer (Admin, Administrator, kioskUser0, WLapsAdmin)
Значительное количество активных / listening сетевых портов на
устройстве
Flere lokale administratorkontoer i gruppen Administratorer (Admin, Administrator,
kioskUser0, WLapsAdmin)
Et betydelig antall aktive / lyttende nettverksporter på enheten
«Это не доказывает наличие проблемы, но является достаточным основанием для дополнительной проверки endpoint security.»
Dette beviser ikke at det finnes et sikkerhetsproblem, men er grunnlag for en nærmere vurdering av endpoint security.
Endpoint Security Assessment
1

2.

Potential Security Risk
Почему это важно · Hvorfor dette er viktig
Принцип Least Privilege / Prinsippet om minste privilegium
Это сценарий потенциального риска, а не утверждение о том,
что такая атака происходит сейчас.
Dette er et potensielt risikoscenario, ikke en påstand om at et slikt angrep
pågår nå.
Неограниченные пользовательские права
Ubegrensede brukerrettigheter
▾
Установка / запуск неизвестного ПО
Открытые порты сами по себе — не уязвимость
Installasjon/kjøring av ukjent programvare
Åpne porter alene er ikke en sårbarhet
▾
Какой процесс слушает порт
Компрометация endpoint
Hvilken prosess lytter på porten
Kompromittering av endpoint
▾
Зачем он нужен
Hvorfor den er nødvendig
Доступ к локальным сетевым сервисам
Tilgang til lokale nettverkstjenester
▾
Доступен локально или из сети
Tilgjengelig lokalt eller fra nettverket
Потенциальное lateral movement
Potensiell lateral movement
Может ли быть ограничен firewall
▾
Воздействие на другие устройства
Påvirkning på andre enheter
Endpoint Security Assessment
Om den kan begrenses med brannmur
Соответствует ли политике организации
Om den er i tråd med organisasjonens policy
2

3.

Почему один endpoint может стать проблемой для большой сети
Hvorfor ett endpoint kan bli et problem for et stort nettverk
Lateral Movement
Internet / Phishing
Internett / phishing
Перемещение злоумышленника от скомпрометированного устройства к
другим узлам внутренней сети.
▾
Angriperens forflytning fra et kompromittert endpoint til andre noder i det interne
nettverket.
User
Bruker
Что этому препятствует / Hva som motvirker dette:
▾
Laptop A — compromised endpoint
Network segmentation / VLAN
Bærbar A — kompromittert endpoint
Client isolation
▾
Internal Network
Windows Firewall
Internt nettverk
Ограничения SMB / RDP · SMB/RDP-begrensninger
Отсутствие лишних сервисов · Ingen unødvendige tjenester
Laptop B
Laptop C
Laptop D
Bærbar B
Bærbar C
Bærbar D
EDR / monitoring
Я не проверял возможность lateral movement в данной организации и не пытался получить доступ к другим устройствам.
Jeg har ikke testet muligheten for lateral movement i denne organisasjonen, og har ikke forsøkt å få tilgang til andre enheter.
Endpoint Security Assessment
3

4.

Recommended Security Checks
Что стоит проверить · Hva som bør sjekkes
Endpoint
Standard User / Least Privilege
Network
VLAN / Segmentation
Management
Централизованное управление устройствами
Sentralisert enhetsstyring
Microsoft Defender
Client Isolation
Microsoft Intune / tilsvarende MDM
EDR
Firewall rules
Group Policy
Windows Firewall
SMB / RDP exposure
Централизованный logging
BitLocker
Unnecessary listening services
Patch Management
Ограничение lateral movement
Begrensning av lateral movement
Application Control
Sentralisert logging
Inventory устройств
Enhetsoversikt
Единая security baseline
Felles security baseline
Контроль PowerShell / скриптов
Kontroll av PowerShell/skript
Понятный процесс с IT-подрядчиком
Tydelig prosess med IT-leverandør
«These controls should be verified.» — Не утверждается, что данные механизмы отсутствуют.
«These controls should be verified.» — Det hevdes ikke at disse mekanismene mangler.
Endpoint Security Assessment
4

5.

Suggested Next Step
Что я предлагаю · Hva jeg foreslår
1
2
3
4
Assessment
Risk Assessment
Hardening
Cooperation with IT
provider
Проверить 1–3 типовых учебных
ноутбука: user privileges, local
administrators, Defender, Firewall, Group
Policy, application control, patch status,
listening services, network segmentation.
Разделить найденные проблемы на Low /
Medium / High. Определить вероятность,
потенциальное воздействие и приоритет
исправления.
Least Privilege, Application Control, EDR,
Firewall, network segmentation, centralized
device management, security baseline.
Понятный список: Finding → Risk →
Recommendation → Responsible party →
Priority.
Least Privilege, applikasjonskontroll, EDR,
brannmur, nettverkssegmentering, sentralisert
enhetsstyring, security baseline.
En tydelig liste: Finding → Risk → Recommendation
→ Responsible party → Priority.
Sjekke 1–3 typiske kurs-PC-er: brukerrettigheter,
lokale administratorer, Defender, brannmur, Group
Policy, applikasjonskontroll, patch-status, lyttende
tjenester, nettverkssegmentering.
Dele identifiserte funn i Low / Medium / High.
Vurdere sannsynlighet, potensiell konsekvens og
prioritet for utbedring.
«Цель — не найти виновных, а сделать endpoint security более управляемым, централизованным и устойчивым к инцидентам.»
«Målet er ikke å finne skyldige, men å gjøre endpoint security mer håndterbar, sentralisert og motstandsdyktig mot sikkerhetshendelser.»
Scope of my observation
Только выданная мне рабочая станция. · Без эксплуатации уязвимостей. · Без сканирования других устройств. · Без несанкционированного доступа. · Без изменения конфигурации. · Без перехвата трафика других пользователей.
Kun den tildelte arbeidsstasjonen. · Ingen utnyttelse av sårbarheter. · Ingen skanning av andre enheter. · Ingen uautorisert tilgang. · Ingen konfigurasjonsendringer. · Ingen avlytting av andre brukeres trafikk.
5