احتوِ الحادث، لا تدمّره

يُسمّى منع الهجوم من التسبب في مزيد من الضرر الاحتواء. بالنسبة إلى حساب موظف متأثر، يمكنك تعطيله مؤقتًا أثناء التحقيق فيما حدث. على سبيل المثال، إذا كان المهاجم يستخدم حساب Ava، فنفّذ:

seclab disable ava

ينبغي أن ترى:

Disabled ava. They can no longer log in.

تحقّق الآن مما إذا كانت هناك أي جلسات لا تزال مفتوحة:

seclab sessions ava

ينبغي أن ترى:

ava is not signed in anywhere.

لم يعد أحد مسجّلًا الدخول باسم Ava. لا يزال حسابها وعضويتها في المجموعات قائمين، لذا يمكنك التحقيق ثم استعادة إمكانية وصولها لاحقًا. أما حذف الحساب فسيزيل تلك العضويات أيضًا.

أوقف إمكانية الوصول للحساب المتأثر وحده. ينبغي أن يتمكن الموظفون الآخرون من مواصلة العمل. في الدرس التالي، ستتعامل مع الحسابات التي أنشأها المهاجم لنفسه.