Wie setzen wir nach einem Einbruch Passwörter sicher zurück?
Von einem sauberen Gerät aus, in geplanter Reihenfolge und innerhalb eines kurzen Zeitfensters. Beginnen Sie mit den Konten, die alles steuern: Domänen- und Cloud-Administratoren, das Backup-System, Fernzugriff und Dienstkonten mit weitreichenden Rechten. Im Active Directory wird das Konto, das Kerberos-Tickets signiert (krbtgt), zweimal zurückgesetzt, mit Zeit für die Replikation dazwischen, damit gefälschte Tickets ungültig werden. Setzen Sie dann normale Benutzer zurück, widerrufen Sie aktive Sitzungen und Token in Cloud-Diensten und verlangen Sie Multi-Faktor-Authentifizierung (MFA), wo sie fehlt. Verschicken Sie neue Passwörter nicht per möglicherweise kompromittierter E-Mail. Setzen Sie zu früh zurück, solange der Angreifer noch einen Stützpunkt hat, fängt er die neuen Passwörter einfach ab; dämmen Sie also zuerst ein. Identitätsänderungen liegen außerhalb des Blicks eines Netzwerksensors; NetSenX zeigt, ob die Rechner des Angreifers sich danach weiter nach außen melden.
Weiterlesen
Verwandte Fragen
- Woher wissen wir, dass der Angreifer wirklich weg ist?
- Können wir unsere Rechner nach einem Ransomware-Angriff weiter nutzen?
- Wie stellen wir nach einem Cybervorfall den Betrieb sicher wieder her?
- Können wir während eines Cybervorfalls weiterarbeiten?
- Wie lange sollten wir das Netz nach einem Vorfall genau beobachten?