O Que Deixaram Para Trás

Parte da seção Fundamentos de segurança do Journey de Cybersecurity da Coddy. Lição 40 de 43.

Encerrar a sessão de um invasor pode não remover tudo o que ele configurou. Ele pode ter criado outra conta para usar mais tarde ou adicionado uma regra que envia cópias de novas faturas para ele. Essas formas de manter o acesso são chamadas de persistência.

Por exemplo, suponha que o log de criação de contas mostre que o invasor criou report-agent. Depois de salvar as evidências, exclua essa conta:

seclab delete report-agent

Você deverá ver:

Deleted report-agent. The account and its group memberships are gone for good.

Verifique também se há regras de encaminhamento que ele adicionou a contas existentes. Tenha cuidado com contas de serviço: são contas usadas por programas para tarefas como backups. Um nome que você não reconhece não é prova de um ataque. Use os logs e os registros de aprovação para decidir o que remover.

Desafio

Fácil

Chamado de Sam, líder de TI

As contas dos funcionários afetados estão desativadas. Os logs mostram outra conta e uma regra de e-mail criadas pelo invasor. Remova ambas antes que a próxima fatura seja copiada para fora. Remova também os privilégios temporários de administrador do funcionário afetado durante a migração do sistema. Mantenha o serviço de backup aprovado, a regra de classificação de newsletters e os registros dos funcionários desativados.

Experimente você mesmo

Terminal