他们留下的东西
本课属于 Coddy Cybersecurity 学习旅程的“安全基础知识”单元。第 40 课，共 43 课。
将攻击者登出可能无法清除他们设置的一切。他们可能创建了另一个账户，以后再使用，也可能添加了一条规则，将新发票的副本发送给他们。这些保持访问权限的方法称为持久化。
例如，假设账户创建日志显示攻击者创建了 report-agent。保存证据后，删除该账户：
seclab delete report-agent你应该会看到：
Deleted report-agent. The account and its group memberships are gone for good.还要检查他们是否在现有账户中添加了转发规则。处理服务账户时要小心：程序会使用这些账户执行备份等任务。你不认识某个账户名称，并不能证明发生了攻击。请根据日志和审批记录判断要删除哪些内容。
挑战
简单来自 IT 主管 Sam 的工单
受影响员工的账户已停用。日志显示，攻击者创建了另一个账户和一条邮件规则。请在下一张发票被复制到外部之前将两者移除。同时移除受影响员工在系统迁移期间获得的临时管理员权限。保留已批准的备份服务、新闻邮件分类规则和已停用的员工记录。
亲手试试
终端
自我测试这节课包含一个小测验。开始学习即可作答，并记录你的进度。