Lo que dejaron atrás

Parte de la sección Fundamentos de seguridad del Journey de Cybersecurity de Coddy. Lección 40 de 43.

Cerrar la sesión de un atacante puede que no elimine todo lo que configuró. Podría haber creado otra cuenta para usarla más adelante o añadido una regla que le envíe copias de las nuevas facturas. Estas formas de conservar el acceso se llaman persistencia.

Por ejemplo, supongamos que el registro de creación de cuentas muestra que el atacante creó report-agent. Una vez que hayas guardado las pruebas, elimina esa cuenta:

seclab delete report-agent

Deberías ver:

Deleted report-agent. The account and its group memberships are gone for good.

Comprueba también si añadieron reglas de reenvío a cuentas existentes. Ten cuidado con las cuentas de servicio: son cuentas que utilizan los programas para tareas como las copias de seguridad. Un nombre que no reconoces no demuestra que haya habido un ataque. Usa los registros y las constancias de aprobación para decidir qué eliminar.

Desafío

Fácil

Ticket de Sam, responsable de TI

Las cuentas del personal afectado están deshabilitadas. Los registros muestran otra cuenta y una regla de correo creadas por el atacante. Elimina ambas antes de que se copie otra factura fuera del sistema. Elimina también los derechos temporales de administrador del empleado afectado para la migración del sistema. Conserva el servicio de copia de seguridad aprobado, la regla de clasificación del boletín y los registros del personal deshabilitados.

Pruébalo tú mismo

Terminal