그들이 남긴 것

공격자를 로그아웃시켜도 그들이 설정한 모든 것이 제거되지는 않을 수 있습니다. 나중에 사용하려고 다른 계정을 만들었거나, 새 인보이스 사본을 자신에게 전송하는 규칙을 추가했을 수 있습니다. 이렇게 접근 권한을 유지하는 방법을 지속성이라고 합니다.

예를 들어, 계정 생성 로그에 공격자가 report-agent를 만들었다고 표시되어 있다고 가정해 보세요. 증거를 저장한 뒤 해당 계정을 삭제하세요.

seclab delete report-agent

다음과 같이 표시됩니다.

Deleted report-agent. The account and its group memberships are gone for good.

기존 계정에 추가된 전달 규칙도 확인하세요. 서비스 계정은 주의해서 살펴보세요. 서비스 계정은 백업과 같은 작업을 수행하기 위해 프로그램이 사용하는 계정입니다. 알아보지 못하는 이름이 있다고 해서 공격이 있었다는 증거는 아닙니다. 로그와 승인 기록을 활용해 무엇을 제거할지 판단하세요.