Ein Administratorkonto ist aufgetaucht, an dessen Anlage sich niemand erinnert. Was nun?
Behandeln Sie es als Vorfall, bis Sie eine Erklärung haben. Neue Administratorkonten sind ein gängiger Weg für Angreifer, sich den Zugang zu sichern, und sie tragen oft unauffällige Namen, etwa eine Abwandlung eines Dienst- oder Supportkontos. Löschen Sie es nicht sofort: Deaktivieren Sie es, notieren Sie Namen, Erstellungszeit und wer oder was es angelegt hat, und sichern Sie die Verzeichnis- und System-Logs, die das zeigen, bevor sie überschrieben werden. Fragen Sie dann die naheliegenden Beteiligten, etwa Ihren IT-Dienstleister oder einen Softwareanbieter, ob sie es angelegt haben. War es niemand, suchen Sie nach weiteren Änderungen aus derselben Zeit, setzen Sie die Passwörter der übrigen Administratoren von einem sauberen Gerät aus zurück und rufen Sie Ihren Incident-Response-Dienstleister an. Das Konto selbst ist ein Identitätsbeweis, den ein Netzwerksensor nicht sieht; NetSenX zeigt, ob Hosts, die zu dieser Zeit genutzt wurden, zu scannen oder neue Sitzungen zu Servern zu öffnen begannen.
Weiterlesen
Verwandte Fragen
- Ein Server sendet nachts Daten nach außen. Was sollten wir prüfen?
- Unsere öffentliche IP-Adresse steht auf einer Blockliste. Heißt das, wir wurden gehackt?
- Eine Kollegin sagt, die Maus habe sich von selbst bewegt. Steuert jemand den Rechner?
- Wie prüfen wir einen verdächtigen Rechner, ohne den Angreifer zu warnen?
- Woran erkenne ich, dass unser Firmennetz kompromittiert ist?