מה הם השאירו מאחור

יציאה מחשבונו של התוקף עשויה שלא להסיר את כל מה שהוא הגדיר. ייתכן שהוא יצר חשבון נוסף לשימוש מאוחר יותר, או הוסיף כלל ששולח אליו עותקים של חשבוניות חדשות. דרכים כאלה לשמירת גישה נקראות התמדה.

לדוגמה, נניח שיומן יצירת החשבונות מראה שהתוקף יצר את report-agent. לאחר ששמרת את הראיות, מחק את החשבון הזה:

seclab delete report-agent

אתה אמור לראות:

Deleted report-agent. The account and its group memberships are gone for good.

בדוק גם אם נוספו כללי העברה לחשבונות קיימים. היזהר עם חשבונות שירות: אלה חשבונות שתוכניות משתמשות בהם למשימות כגון גיבויים. שם שאינך מזהה אינו הוכחה למתקפה. השתמש ביומנים וברישומי האישור כדי להחליט מה להסיר.