Risposta agli incidenti

Fa parte della sezione Fondamenti di sicurezza del percorso Cybersecurity di Coddy. Lezione 38 di 43.

Quando un aggressore entra in un account aziendale, la prima cosa da fare è impedirgli di causare altri danni. Poi indaghi, rimuovi tutto ciò che ha lasciato e aiuti il personale a tornare al lavoro in sicurezza. Questo processo si chiama risposta agli incidenti.

A volte un aggressore può rubare la sessione del browser di un computer. La sessione ha già effettuato l'accesso, quindi l'aggressore potrebbe non dover inserire una password né ripetere l'autenticazione MFA. Per esempio, supponi che Lee segnali che la sessione esterna qui sotto non è sua:

seclab sessions lee

Dovresti vedere:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Disabilita l'account di Lee mentre indaghi. In questo modo impedisci nuovi accessi e termini le sessioni già aperte:

seclab disable lee

Dovresti vedere:

Disabled lee. They can no longer log in.

Lee non potrà lavorare usando questo account mentre è disabilitato. Conserva il record dell'account per poter indagare e ripristina l'accesso una volta risolto il problema.

Sfida

Facile

Ticket di Sam, responsabile IT

È scattato un allarme per un nuovo account amministratore mentre stavamo spostando i sistemi. Un aggressore ha già copiato un piccolo campione di ordini e si sta preparando a copiare l’elenco completo dei clienti. Trova l’account del personale che sta usando e disattivalo prima che escano altri dati. Conserva il suo record, il mio account e il nostro servizio di backup approvato.

Provalo tu

Terminale