Contieni, non distruggere
Fa parte della sezione Fondamenti di sicurezza del percorso Cybersecurity di Coddy. Lezione 39 di 43.
Impedire a un attacco di causare ulteriori danni si chiama contenimento. Per un account di un dipendente coinvolto, puoi disabilitarlo temporaneamente mentre indaghi su quanto è accaduto. Per esempio, se un aggressore sta usando l'account di Ava, esegui:
seclab disable avaDovresti vedere:
Disabled ava. They can no longer log in.Ora controlla se ci sono ancora sessioni aperte:
seclab sessions avaDovresti vedere:
ava is not signed in anywhere.Nessuno ha più effettuato l'accesso come Ava. Il suo account e le appartenenze ai gruppi esistono ancora, quindi puoi indagare e in seguito ripristinare il suo accesso. Eliminando l'account verrebbero rimosse anche quelle appartenenze.
Interrompi l'accesso solo per l'account coinvolto. Gli altri dipendenti dovrebbero poter continuare a lavorare. Nella prossima lezione ti occuperai degli account che l'aggressore ha creato per sé.
Sfida
FacileSegnalazione di Sam, responsabile IT
I controlli sui laptop hanno individuato un secondo dipendente la cui sessione del browser è stata copiata prima dell’allarme. Trova l’account nelle nuove prove e disabilitalo, mantenendone il record e i gruppi. Lascia disabilitato il primo account coinvolto. Mantieni operativi il personale non coinvolto e il servizio di backup approvato.
Provalo tu
Tutte le lezioni di Fondamenti di sicurezza
1Il primo allarme
Che cos'è la sicurezza informaticaFermare un attaccoRighe di logPassword rubateAutenticazione a più fattoriLa triade CIASi torna alla carica4Password
Password lunghePassword comuniPassword sprayingPulizia mattutinaCredential stuffingAffaticamento da MFALa verifica delle password7Risposta agli incidenti
Risposta agli incidentiContieni, non distruggereCiò che hanno lasciatoRipristinoIl rapporto sull'incidenteL'allerta notturna