Incident Response

Teil des Abschnitts Grundlagen der Sicherheit der Cybersecurity-Journey von Coddy. Lektion 38 von 43.

Wenn ein Angreifer Zugriff auf ein Unternehmenskonto erhält, musst du zuerst verhindern, dass er weiteren Schaden anrichtet. Danach untersuchst du den Vorfall, entfernst alles, was er zurückgelassen hat, und hilfst den Mitarbeitenden, sicher wieder an die Arbeit zu gehen. Dieser Prozess wird Incident Response genannt.

Manchmal kann ein Angreifer eine Browsersitzung von einem Computer stehlen. Die Sitzung ist bereits angemeldet, daher muss der Angreifer möglicherweise kein Passwort eingeben oder MFA erneut durchlaufen. Angenommen, Lee meldet zum Beispiel, dass die folgende externe Sitzung nicht von ihm stammt:

seclab sessions lee

Du solltest Folgendes sehen:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Deaktiviere Lees Konto, während du den Vorfall untersuchst. Dadurch werden neue Anmeldungen verhindert und bereits offene Sitzungen beendet:

seclab disable lee

Du solltest Folgendes sehen:

Disabled lee. They can no longer log in.

Während das Konto deaktiviert ist, kann Lee nicht damit arbeiten. Bewahre den Kontodatensatz auf, damit du den Vorfall untersuchen kannst, und stelle den Zugriff wieder her, sobald das Problem behoben ist.

Aufgabe

Einfach

Ticket von Sam, IT-Leitung

Während wir Systeme umstellten, wurde ein Alarm wegen eines neuen Administratorkontos ausgelöst. Ein Angreifer hat bereits eine kleine Stichprobe von Bestellungen kopiert und bereitet sich darauf vor, die vollständige Kundenliste zu kopieren. Finde das Mitarbeiterkonto, das er verwendet, und deaktiviere es, bevor weitere Daten abfließen. Behalte dessen Datensatz, mein Konto und unseren genehmigten Backup-Dienst bei.

Probier es selbst

Terminal