Những gì họ để lại

Thuộc phần Kiến thức cơ bản về bảo mật trong hành trình Cybersecurity của Coddy. Bài học 40 trên 43.

Đăng xuất kẻ tấn công có thể không xóa hết mọi thứ họ đã thiết lập. Họ có thể đã tạo một tài khoản khác để dùng sau, hoặc thêm quy tắc gửi cho họ bản sao của các hóa đơn mới. Những cách duy trì quyền truy cập này được gọi là duy trì quyền truy cập.

Ví dụ, giả sử nhật ký tạo tài khoản cho thấy kẻ tấn công đã tạo tài khoản report-agent. Sau khi lưu bằng chứng, hãy xóa tài khoản đó:

seclab delete report-agent

Bạn sẽ thấy:

Deleted report-agent. The account and its group memberships are gone for good.

Đồng thời, hãy kiểm tra các quy tắc chuyển tiếp mà họ đã thêm vào những tài khoản hiện có. Hãy cẩn thận với tài khoản dịch vụ: đây là những tài khoản mà chương trình dùng cho các tác vụ như sao lưu. Một cái tên bạn không nhận ra không phải là bằng chứng về một cuộc tấn công. Hãy dựa vào nhật ký và hồ sơ phê duyệt để quyết định nên xóa những gì.

Thử thách

Dễ

Phiếu yêu cầu từ Sam, trưởng nhóm IT

Các tài khoản nhân viên bị ảnh hưởng đã bị vô hiệu hóa. Nhật ký cho thấy kẻ tấn công đã tạo một tài khoản khác và một quy tắc email. Hãy xóa cả hai trước khi hóa đơn tiếp theo bị sao chép ra ngoài. Đồng thời xóa quyền quản trị tạm thời của nhân viên bị ảnh hưởng trong quá trình chuyển hệ thống. Giữ lại dịch vụ sao lưu đã được phê duyệt, quy tắc sắp xếp bản tin và hồ sơ nhân viên đã bị vô hiệu hóa.

Tự làm thử

Terminal