Was sie zurückgelassen haben

Teil des Abschnitts Grundlagen der Sicherheit der Cybersecurity-Journey von Coddy. Lektion 40 von 43.

Wenn du einen Angreifer abmeldest, werden möglicherweise nicht alle von ihm eingerichteten Dinge entfernt. Er könnte ein weiteres Konto erstellt haben, das er später verwenden kann, oder eine Regel hinzugefügt haben, die ihm Kopien neuer Rechnungen sendet. Diese Methoden, den Zugriff aufrechtzuerhalten, werden als Persistenz bezeichnet.

Angenommen, das Protokoll zur Kontoerstellung zeigt, dass der Angreifer report-agent erstellt hat. Sobald du die Beweise gesichert hast, lösche dieses Konto:

seclab delete report-agent

Du solltest Folgendes sehen:

Deleted report-agent. The account and its group memberships are gone for good.

Prüfe auch, ob der Angreifer Weiterleitungsregeln zu bestehenden Konten hinzugefügt hat. Sei vorsichtig mit Dienstkonten: Das sind Konten, die von Programmen für Aufgaben wie Sicherungen verwendet werden. Ein Name, den du nicht erkennst, ist kein Beweis für einen Angriff. Nutze die Protokolle und Genehmigungsnachweise, um zu entscheiden, was entfernt werden soll.

Aufgabe

Einfach

Ticket von Sam, IT-Leiter

Die betroffenen Mitarbeiterkonten sind deaktiviert. In den Protokollen sind ein weiteres Konto und eine vom Angreifer erstellte E-Mail-Regel zu sehen. Entferne beides, bevor die nächste Rechnung nach außen kopiert wird. Entferne außerdem die vorübergehenden Administratorrechte des betroffenen Mitarbeiters im Rahmen der Systemmigration. Behalte den genehmigten Backup-Dienst, die Newsletter-Sortierregel und die deaktivierten Mitarbeiterdatensätze bei.

Probier es selbst

Terminal