Resposta a Incidentes

Parte da seção Fundamentos de segurança do Journey de Cybersecurity da Coddy. Lição 38 de 43.

Quando um invasor consegue acessar a conta de uma empresa, a primeira tarefa é impedi-lo de causar mais danos. Em seguida, você investiga, remove tudo o que ele deixou para trás e ajuda a equipe a voltar ao trabalho com segurança. Esse processo é chamado de resposta a incidentes.

Às vezes, um invasor consegue roubar a sessão do navegador de um computador. A sessão já está conectada, então talvez o invasor não precise digitar uma senha nem passar pela MFA novamente. Por exemplo, suponha que Lee informe que a sessão externa abaixo não é dele:

seclab sessions lee

Você deverá ver:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Desative a conta de Lee enquanto investiga. Isso impede novos acessos e encerra as sessões que já estão abertas:

seclab disable lee

Você deverá ver:

Disabled lee. They can no longer log in.

Lee não poderá trabalhar usando essa conta enquanto ela estiver desativada. Mantenha o registro da conta para poder investigar e restaure o acesso assim que o problema tiver sido resolvido.

Desafio

Fácil

Chamado de Sam, responsável pela TI

Um alerta de nova conta de administrador foi disparado enquanto estávamos migrando os sistemas. Um invasor já copiou uma pequena amostra de pedidos e está se preparando para copiar a lista completa de clientes. Encontre a conta da equipe que ele está usando e desative-a antes que mais dados sejam enviados para fora. Mantenha o registro dessa conta, a minha conta e nosso serviço de backup aprovado.

Experimente você mesmo

Terminal