Contenha, Não Destrua

Parte da seção Fundamentos de segurança do Journey de Cybersecurity da Coddy. Lição 39 de 43.

Impedir que um ataque cause mais danos é chamado de contenção. No caso de uma conta de funcionário afetada, você pode desativá-la temporariamente enquanto investiga o que aconteceu. Por exemplo, se um invasor estiver usando a conta de Ava, execute:

seclab disable ava

Você deverá ver:

Disabled ava. They can no longer log in.

Agora verifique se ainda há sessões abertas:

seclab sessions ava

Você deverá ver:

ava is not signed in anywhere.

Ninguém mais está conectado como Ava. A conta dela e as associações a grupos continuam existindo, então você pode investigar e restaurar o acesso dela mais tarde. Excluir a conta também removeria essas associações.

Interrompa o acesso somente à conta afetada. Os outros funcionários devem poder continuar trabalhando. Na próxima lição, você lidará com as contas que o invasor criou para si mesmo.

Desafio

Fácil

Chamado de Sam, líder de TI

As verificações do laptop encontraram um segundo funcionário cuja sessão do navegador foi copiada antes do alerta. Encontre a conta nas novas evidências e desative-a, mantendo seu registro e seus grupos. Deixe a primeira conta afetada desativada. Mantenha os funcionários não afetados e o serviço de backup aprovado funcionando.

Experimente você mesmo

Terminal