Contener, no destruir
Parte de la sección Fundamentos de seguridad del Journey de Cybersecurity de Coddy. Lección 39 de 43.
Evitar que un ataque cause más daños se llama contención. En el caso de una cuenta de empleado afectada, puedes desactivarla temporalmente mientras investigas qué ocurrió. Por ejemplo, si un atacante está usando la cuenta de Ava, ejecuta:
seclab disable avaDeberías ver:
Disabled ava. They can no longer log in.Ahora comprueba si queda alguna sesión abierta:
seclab sessions avaDeberías ver:
ava is not signed in anywhere.Ya nadie ha iniciado sesión como Ava. Su cuenta y sus membresías de grupo siguen existiendo, así que puedes investigar y restaurar su acceso más adelante. Si eliminaras la cuenta, también se eliminarían esas membresías.
Detén el acceso solo a la cuenta afectada. Los demás empleados deberían poder seguir trabajando. En la siguiente lección, te ocuparás de las cuentas que el atacante creó para sí mismo.
Desafío
FácilTicket de Sam, responsable de TI
Las comprobaciones de los portátiles detectaron a otro empleado cuya sesión del navegador se copió antes de la alarma. Encuentra la cuenta en las nuevas pruebas y desactívala, conservando su registro y sus grupos. Deja desactivada la primera cuenta afectada. Mantén en funcionamiento al personal no afectado y el servicio de copia de seguridad aprobado.
Pruébalo tú mismo
Todas las lecciones de Fundamentos de seguridad
1La primera alerta
Qué es la ciberseguridadDetener un ataqueLíneas de registroContraseñas robadasAutenticación multifactorLa tríada CIADe vuelta por más4Contraseñas
Contraseñas largasContraseñas comunesAtaques de pulverización de contraseñasLimpieza matutinaRelleno de credencialesFatiga de MFARevisión de contraseñas7Respuesta a incidentes
Respuesta a incidentesContener, no destruirLo que dejaron atrásRecuperaciónEl informe del incidenteLa alerta nocturna