תגובה לאירוע

כשמתקיף מצליח להיכנס לחשבון של חברה, הדבר הראשון שצריך לעשות הוא לעצור אותו מלגרום נזק נוסף. לאחר מכן חוקרים, מסירים כל דבר שהשאירו מאחור ועוזרים לצוות לחזור לעבודה בבטחה. לתהליך הזה קוראים תגובה לאירוע.

לפעמים מתקיף יכול לגנוב ממחשב הפעלת דפדפן. ההפעלה כבר מחוברת לחשבון, ולכן ייתכן שהמתקיף לא יצטרך להזין סיסמה או לעבור שוב אימות רב-שלבי (MFA). לדוגמה, נניח ש-Lee מדווח שההפעלה החיצונית שלמטה אינה שלו:

seclab sessions lee

אתם אמורים לראות:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

השביתו את החשבון של Lee בזמן שאתם חוקרים. כך תעצרו כניסות חדשות ותסיימו את ההפעלות שכבר פתוחות:

seclab disable lee

אתם אמורים לראות:

Disabled lee. They can no longer log in.

כל עוד החשבון מושבת, Lee לא יוכל לעבוד באמצעותו. השאירו את רשומת החשבון כדי שתוכלו לחקור, ושחזרו את הגישה לאחר שהבעיה טופלה.