Что они оставили после себя

Часть раздела Основы информационной безопасности путешествия по Cybersecurity на Coddy. Урок 40 из 43.

Выход из учётной записи злоумышленника может не удалить всё, что он настроил. Он мог создать другую учётную запись, чтобы использовать её позже, или добавить правило, которое отправляет ему копии новых счетов. Такие способы сохранить доступ называются закреплением в системе.

Например, предположим, что журнал создания учётных записей показывает, что злоумышленник создал report-agent. Сохранив доказательства, удалите эту учётную запись:

seclab delete report-agent

Вы должны увидеть:

Deleted report-agent. The account and its group memberships are gone for good.

Также проверьте, не добавил ли злоумышленник правила пересылки в существующие учётные записи. Будьте осторожны со служебными учётными записями: это учётные записи, которые программы используют для выполнения таких задач, как резервное копирование. Незнакомое вам имя ещё не доказывает, что произошла атака. Решайте, что удалить, используя журналы и записи о согласовании.

Задание

Легко

Заявка от Сэма, руководителя ИТ-отдела

Затронутые учётные записи сотрудников отключены. В журналах указаны ещё одна учётная запись и почтовое правило, созданные злоумышленником. Удалите их оба до того, как следующая счёт-фактура будет скопирована за пределы системы. Также отзовите временные права администратора затронутого сотрудника, предоставленные для переноса системы. Сохраните утверждённую службу резервного копирования, правило сортировки новостных рассылок и отключённые записи сотрудников.

Попробуйте сами

Терминал