Contenir, ne pas détruire
Fait partie de la section Principes fondamentaux de la sécurité du Journey Cybersecurity de Coddy. Leçon 39 sur 43.
Empêcher une attaque de causer davantage de dégâts s'appelle le confinement. Pour un compte d'employé touché, tu peux le désactiver temporairement pendant que tu enquêtes sur ce qui s'est passé. Par exemple, si un attaquant utilise le compte d'Ava, exécute :
seclab disable avaTu devrais voir :
Disabled ava. They can no longer log in.Vérifie maintenant s'il reste des sessions ouvertes :
seclab sessions avaTu devrais voir :
ava is not signed in anywhere.Plus personne n'est connecté en tant qu'Ava. Son compte et ses appartenances à des groupes existent toujours, tu peux donc enquêter et rétablir son accès plus tard. La suppression du compte supprimerait également ces appartenances.
Ne bloque l'accès que pour le compte touché. Les autres employés doivent pouvoir continuer à travailler. Dans la prochaine leçon, tu t'occuperas des comptes que l'attaquant a créés pour lui-même.
Défi
FacileTicket de Sam, responsable informatique
Les vérifications des ordinateurs portables ont révélé un deuxième employé dont la session de navigateur a été copiée avant l'alarme. Trouve le compte dans les nouveaux éléments de preuve et désactive-le, en conservant son enregistrement et ses groupes. Laisse le premier compte touché désactivé. Veille à ce que le personnel non touché et le service de sauvegarde approuvé continuent de fonctionner.
Essayez vous-même
Toutes les leçons de Principes fondamentaux de la sécurité
1La première alerte
Qu’est-ce que la cybersécurité ?Arrêter une attaqueLignes de journalMots de passe volésAuthentification multifacteurLa triade CIAEncore une fois4Mots de passe
Mots de passe longsMots de passe courantsPulvérisation de mots de passeNettoyage matinalBourrage d’identifiantsFatigue liée à la MFARévision des mots de passe7Réponse aux incidents
Réponse aux incidentsContenir, ne pas détruireCe qu'ils ont laissé derrière euxRétablissementLe rapport d'incidentL'alerte nocturne