残されたもの

攻撃者をサインアウトさせても、攻撃者が設定したものがすべて削除されるとは限りません。後で使うために別のアカウントを作成したり、新しい請求書のコピーを自分に送るルールを追加したりしている可能性があります。こうしたアクセスを維持する方法は永続化と呼ばれます。

たとえば、アカウント作成ログに攻撃者がreport-agentを作成したことが記録されているとします。証拠を保存したら、そのアカウントを削除します。

seclab delete report-agent

次のように表示されます。

Deleted report-agent. The account and its group memberships are gone for good.

既存のアカウントに追加された転送ルールも確認してください。サービスアカウントには注意してください。これらはバックアップなどのジョブを実行するためにプログラムが使用するアカウントです。見覚えのない名前だからといって、攻撃の証拠になるわけではありません。ログと承認記録を確認して、何を削除するか判断してください。