Co po sobie zostawili
Część sekcji Podstawy bezpieczeństwa ścieżki Cybersecurity w Coddy. Lekcja 40 z 43.
Wylogowanie atakującego może nie usunąć wszystkiego, co skonfigurował. Mógł utworzyć inne konto, aby użyć go później, albo dodać regułę, która wysyła mu kopie nowych faktur. Te sposoby utrzymywania dostępu nazywa się trwałością.
Załóżmy na przykład, że dziennik tworzenia kont pokazuje, że atakujący utworzył konto report-agent. Po zapisaniu dowodów usuń to konto:
seclab delete report-agentPowinien pojawić się komunikat:
Deleted report-agent. The account and its group memberships are gone for good.Sprawdź też reguły przekazywania, które atakujący dodał do istniejących kont. Zachowaj ostrożność w przypadku kont usługowych: są to konta używane przez programy do zadań takich jak tworzenie kopii zapasowych. Nieznana ci nazwa nie jest dowodem ataku. Na podstawie dzienników i rejestrów zatwierdzeń zdecyduj, co usunąć.
Wyzwanie
ŁatwyZgłoszenie od Sama, kierownika IT
Konta pracowników, których dotyczy problem, są wyłączone. Z logów wynika, że osoba atakująca utworzyła inne konto i regułę poczty. Usuń oba te elementy, zanim kolejna faktura zostanie skopiowana poza system. Usuń też tymczasowe uprawnienia administratora pracownika, którego dotyczy problem, nadane podczas przenoszenia systemu. Zachowaj zatwierdzoną usługę tworzenia kopii zapasowych, regułę sortowania newsletterów oraz wyłączone konta pracowników.
Spróbuj swoich sił
Wszystkie lekcje w sekcji Podstawy bezpieczeństwa
1Pierwszy alarm
Czym jest cyberbezpieczeństwoPowstrzymywanie atakuWpisy w logachSkradzione hasłaUwierzytelnianie wieloskładnikoweTriada CIAWraca po więcej4Hasła
Długie hasłaPopularne hasłaRozpylanie hasełPoranne porządkiAtak z użyciem danych logowaniaZmęczenie MFAPrzegląd haseł7Reagowanie na incydenty
Reagowanie na incydentyPowstrzymuj, nie niszczCo po sobie zostawiliOdzyskiwanieRaport z incydentuNocny alarm