ما تركوه وراءهم

قد لا يؤدي تسجيل خروج المهاجم إلى إزالة كل ما أعدّه. ربما أنشأ حسابًا آخر لاستخدامه لاحقًا، أو أضاف قاعدة ترسل إليه نسخًا من الفواتير الجديدة. تُسمى هذه الطرق للحفاظ على إمكانية الوصول الاستمرارية.

على سبيل المثال، لنفترض أن سجل إنشاء الحسابات يُظهر أن المهاجم أنشأ report-agent. بعد حفظ الأدلة، احذف ذلك الحساب:

seclab delete report-agent

ينبغي أن ترى:

Deleted report-agent. The account and its group memberships are gone for good.

تحقق أيضًا من قواعد إعادة التوجيه التي أضافها إلى الحسابات الموجودة. توخَّ الحذر مع حسابات الخدمة: فهي حسابات تستخدمها البرامج لتنفيذ مهام مثل النسخ الاحتياطي. إن عدم تعرفك على اسم ما لا يثبت وقوع هجوم. استخدم السجلات وسجلات الموافقة لتحديد ما ينبغي إزالته.