Локализуй, не уничтожай

Часть раздела Основы информационной безопасности путешествия по Cybersecurity на Coddy. Урок 39 из 43.

Предотвращение дальнейшего ущерба от атаки называется сдерживанием. Для затронутой учётной записи сотрудника можно временно отключить её, пока вы выясняете, что произошло. Например, если злоумышленник использует учётную запись Ava, выполните:

seclab disable ava

Вы должны увидеть:

Disabled ava. They can no longer log in.

Теперь проверьте, остались ли открытые сеансы:

seclab sessions ava

Вы должны увидеть:

ava is not signed in anywhere.

Больше никто не вошёл в систему под учётной записью Ava. Её учётная запись и членство в группах по-прежнему существуют, поэтому вы можете провести расследование, а позже восстановить ей доступ. Удаление учётной записи также удалило бы это членство.

Ограничьте доступ только для затронутой учётной записи. Остальные сотрудники должны иметь возможность продолжать работу. В следующем уроке вы разберётесь с учётными записями, которые злоумышленник создал для себя.

Задание

Легко

Заявка от Сэма, руководителя ИТ-отдела

Проверка ноутбуков выявила второго сотрудника, чья сессия браузера была скопирована до срабатывания тревоги. Найдите учётную запись в новых доказательствах и отключите её, сохранив её запись и группы. Оставьте первую затронутую учётную запись отключённой. Не нарушайте работу сотрудников, которых это не коснулось, и одобренной службы резервного копирования.

Попробуйте сами

Терминал