Eindämmen, nicht zerstören

Teil des Abschnitts Grundlagen der Sicherheit der Cybersecurity-Journey von Coddy. Lektion 39 von 43.

Das Stoppen eines Angriffs, damit er keinen weiteren Schaden anrichtet, nennt man Eindämmung. Bei einem betroffenen Mitarbeiterkonto kannst du es vorübergehend deaktivieren, während du untersuchst, was passiert ist. Wenn ein Angreifer beispielsweise Avas Konto verwendet, führe Folgendes aus:

seclab disable ava

Du solltest Folgendes sehen:

Disabled ava. They can no longer log in.

Prüfe nun, ob noch Sitzungen geöffnet sind:

seclab sessions ava

Du solltest Folgendes sehen:

ava is not signed in anywhere.

Niemand ist mehr als Ava angemeldet. Ihr Konto und ihre Gruppenmitgliedschaften bestehen weiterhin, sodass du den Vorfall untersuchen und ihr später wieder Zugriff gewähren kannst. Beim Löschen des Kontos würden auch diese Mitgliedschaften entfernt.

Unterbinde den Zugriff nur für das betroffene Konto. Andere Mitarbeiter sollten weiterarbeiten können. In der nächsten Lektion kümmerst du dich um Konten, die der Angreifer für sich selbst erstellt hat.

Aufgabe

Einfach

Ticket von Sam, IT-Leiter

Bei den Laptop-Prüfungen wurde ein zweiter Mitarbeiter gefunden, dessen Browsersitzung vor dem Alarm kopiert wurde. Finde das Konto in den neuen Beweisen und deaktiviere es, wobei der Datensatz und die Gruppen erhalten bleiben. Lass das erste betroffene Konto deaktiviert. Sorge dafür, dass nicht betroffene Mitarbeiter und der genehmigte Backup-Dienst weiterhin funktionieren.

Probier es selbst

Terminal