Реагирование на инциденты

Часть раздела Основы информационной безопасности путешествия по Cybersecurity на Coddy. Урок 38 из 43.

Когда злоумышленник получает доступ к учётной записи компании, в первую очередь нужно не дать ему причинить ещё больший ущерб. Затем следует провести расследование, удалить всё, что он оставил после себя, и помочь сотрудникам безопасно вернуться к работе. Этот процесс называется реагированием на инцидент.

Иногда злоумышленник может украсть сеанс браузера с компьютера. В этом сеансе вход уже выполнен, поэтому злоумышленнику, возможно, не придётся вводить пароль или повторно проходить MFA. Например, предположим, что Ли сообщает: внешний сеанс ниже принадлежит не ему:

seclab sessions lee

Вы должны увидеть:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Отключите учётную запись Ли на время расследования. Это предотвратит новые входы в систему и завершит уже открытые сеансы:

seclab disable lee

Вы должны увидеть:

Disabled lee. They can no longer log in.

Пока учётная запись отключена, Ли не сможет работать через неё. Сохраните запись учётной записи, чтобы провести расследование, и восстановите доступ после устранения проблемы.

Задание

Легко

Заявка от Сэма, руководителя ИТ-отдела

Во время переноса систем сработала тревога о создании новой учётной записи администратора. Злоумышленник уже скопировал небольшую выборку заказов и готовится скопировать полный список клиентов. Найди учётную запись сотрудника, которой он пользуется, и отключи её, пока не утекло больше данных. Сохрани её запись, мою учётную запись и нашу одобренную службу резервного копирования.

Попробуйте сами

Терминал