Ce qu'ils ont laissé derrière eux

Fait partie de la section Principes fondamentaux de la sécurité du Journey Cybersecurity de Coddy. Leçon 40 sur 43.

Déconnecter un attaquant ne supprime pas forcément tout ce qu’il a mis en place. Il pourrait avoir créé un autre compte pour l’utiliser plus tard, ou ajouté une règle qui lui envoie des copies des nouvelles factures. Ces moyens de conserver l’accès sont appelés persistance.

Par exemple, supposons que le journal de création de comptes indique que l’attaquant a créé report-agent. Une fois les preuves enregistrées, supprimez ce compte :

seclab delete report-agent

Vous devriez voir :

Deleted report-agent. The account and its group memberships are gone for good.

Vérifiez également les règles de transfert qu’il a ajoutées aux comptes existants. Faites attention aux comptes de service : ce sont des comptes utilisés par des programmes pour des tâches telles que les sauvegardes. Un nom que vous ne reconnaissez pas ne prouve pas qu’il s’agit d’une attaque. Servez-vous des journaux et des dossiers d’approbation pour décider quoi supprimer.

Défi

Facile

Ticket de Sam, responsable informatique

Les comptes du personnel concernés sont désactivés. Les journaux indiquent qu'un autre compte et une règle de messagerie ont été créés par l'attaquant. Supprimez-les tous les deux avant que la prochaine facture ne soit copiée à l'extérieur. Supprimez également les droits d'administration temporaires de l'employé concerné liés à la migration du système. Conservez le service de sauvegarde approuvé, la règle de tri de la newsletter et les dossiers des employés désactivés.

Essayez vous-même

Terminal