Ứng phó sự cố

Thuộc phần Kiến thức cơ bản về bảo mật trong hành trình Cybersecurity của Coddy. Bài học 38 trên 43.

Khi kẻ tấn công xâm nhập vào tài khoản công ty, việc đầu tiên là ngăn họ gây thêm thiệt hại. Sau đó, bạn điều tra, xóa mọi thứ họ để lại và giúp nhân viên trở lại làm việc an toàn. Quy trình này gọi là ứng phó sự cố (incident response).

Đôi khi, kẻ tấn công có thể đánh cắp phiên trình duyệt từ một máy tính. Phiên đó đã đăng nhập sẵn, vì vậy kẻ tấn công có thể không cần nhập mật khẩu hoặc xác thực MFA lần nữa. Ví dụ, giả sử Lee báo rằng phiên bên ngoài dưới đây không phải của mình:

seclab sessions lee

Bạn sẽ thấy:

user  address       machine  since
lee   203.0.113.77  mail     2026-10-25 21:04:00

Hãy vô hiệu hóa tài khoản của Lee trong khi bạn điều tra. Việc này ngăn các lần đăng nhập mới và kết thúc những phiên đang mở:

seclab disable lee

Bạn sẽ thấy:

Disabled lee. They can no longer log in.

Lee sẽ không thể làm việc bằng tài khoản này khi tài khoản bị vô hiệu hóa. Hãy giữ lại bản ghi tài khoản để bạn có thể điều tra, rồi khôi phục quyền truy cập sau khi xử lý xong sự cố.

Thử thách

Dễ

Yêu cầu từ Sam, trưởng nhóm IT

Cảnh báo về một tài khoản quản trị mới đã bật lên khi chúng tôi đang chuyển hệ thống. Kẻ tấn công đã sao chép một mẫu nhỏ gồm các đơn hàng và đang chuẩn bị sao chép toàn bộ danh sách khách hàng. Hãy tìm tài khoản nhân viên mà họ đang dùng và vô hiệu hóa tài khoản đó trước khi dữ liệu bị lấy đi thêm. Giữ lại hồ sơ của tài khoản đó, tài khoản của mình và dịch vụ sao lưu đã được phê duyệt.

Tự làm thử

Terminal