事件响应
本课属于 Coddy Cybersecurity 学习旅程的“安全基础知识”单元。第 38 课，共 43 课。
攻击者进入公司账户后，首先要做的是阻止他们造成更多损害。然后，你要进行调查，清除他们留下的所有东西，并帮助员工安全地恢复工作。这个过程称为事件响应。
攻击者有时可以从一台电脑上窃取浏览器会话。该会话已经登录，因此攻击者可能不需要输入密码或再次通过 MFA。例如，假设 Lee 报告说，下面这个外部会话不是他的：
seclab sessions lee你应该会看到：
user address machine since
lee 203.0.113.77 mail 2026-10-25 21:04:00调查期间，请停用 Lee 的账户。这样可以阻止新的登录，并结束已经打开的会话：
seclab disable lee你应该会看到：
Disabled lee. They can no longer log in.账户停用期间，Lee 将无法使用该账户工作。请保留账户记录，以便进行调查，并在问题处理完毕后恢复访问权限。
挑战
简单来自 IT 负责人 Sam 的工单
我们迁移系统时，触发了一条新管理员账户警报。攻击者已经复制了一小部分订单，正准备复制完整的客户列表。找出他们正在使用的员工账户，并在更多数据泄露前将其停用。保留该账户的记录、我的账户和我们批准的备份服务。
亲手试试
终端
自我测试这节课包含一个小测验。开始学习即可作答，并记录你的进度。