Ciò che hanno lasciato
Fa parte della sezione Fondamenti di sicurezza del percorso Cybersecurity di Coddy. Lezione 40 di 43.
Disconnettere un aggressore potrebbe non rimuovere tutto ciò che ha configurato. Potrebbe aver creato un altro account da usare in seguito oppure aggiunto una regola che gli invia copie delle nuove fatture. Questi metodi per mantenere l’accesso sono chiamati persistenza.
Per esempio, supponiamo che il registro di creazione degli account mostri che l’aggressore ha creato report-agent. Dopo aver salvato le prove, elimina quell’account:
seclab delete report-agentDovresti vedere:
Deleted report-agent. The account and its group memberships are gone for good.Controlla anche le regole di inoltro che ha aggiunto agli account esistenti. Fai attenzione agli account di servizio: sono account usati dai programmi per attività come i backup. Un nome che non riconosci non è una prova di attacco. Usa i registri e le approvazioni per decidere cosa rimuovere.
Sfida
FacileSegnalazione di Sam, responsabile IT
Gli account del personale coinvolti sono disabilitati. I log mostrano un altro account e una regola di posta creati dall'aggressore. Rimuovili entrambi prima che la prossima fattura venga copiata all'esterno. Rimuovi anche i diritti di amministratore temporanei del dipendente coinvolto, concessi durante la migrazione del sistema. Mantieni il servizio di backup approvato, la regola di ordinamento della newsletter e i record del personale disabilitati.
Provalo tu
Tutte le lezioni di Fondamenti di sicurezza
1Il primo allarme
Che cos'è la sicurezza informaticaFermare un attaccoRighe di logPassword rubateAutenticazione a più fattoriLa triade CIASi torna alla carica4Password
Password lunghePassword comuniPassword sprayingPulizia mattutinaCredential stuffingAffaticamento da MFALa verifica delle password7Risposta agli incidenti
Risposta agli incidentiContieni, non distruggereCiò che hanno lasciatoRipristinoIl rapporto sull'incidenteL'allerta notturna