破壊せずに封じ込める

攻撃による被害の拡大を食い止めることを、封じ込めと呼びます。影響を受けた従業員アカウントは、何が起きたのかを調査している間、一時的に無効化できます。たとえば、攻撃者がAvaのアカウントを使っている場合は、次を実行します。

seclab disable ava

次のように表示されます。

Disabled ava. They can no longer log in.

次に、開いたままのセッションが残っていないか確認します。

seclab sessions ava

次のように表示されます。

ava is not signed in anywhere.

Avaとしてサインインしている人はもういません。アカウントとグループへの所属はそのまま残るため、調査を行い、後でアクセスを復旧できます。アカウントを削除すると、グループへの所属も削除されます。

アクセスを停止するのは、影響を受けたアカウントだけにしてください。他の従業員は作業を続けられるようにする必要があります。次のレッスンでは、攻撃者が自分用に作成したアカウントに対処します。