Comment réinitialiser les mots de passe en toute sécurité après une intrusion ?

Depuis un appareil sain, dans un ordre planifié et dans une seule courte fenêtre. Commencez par les comptes qui contrôlent tout : administrateurs du domaine et du cloud, système de sauvegarde, accès à distance et comptes de service aux droits étendus. Dans Active Directory, le compte qui signe les tickets Kerberos (krbtgt) est réinitialisé deux fois, avec le temps de réplication entre les deux, pour que les tickets falsifiés cessent de fonctionner. Réinitialisez ensuite les utilisateurs ordinaires, révoquez les sessions et jetons actifs dans les services cloud et exigez l'authentification multifacteur (MFA) partout où elle manque. N'envoyez pas les nouveaux mots de passe par une messagerie peut-être compromise. Si vous réinitialisez trop tôt, alors que l'attaquant garde un point d'appui, il capture tout simplement les nouveaux mots de passe : contenez d'abord. Les changements d'identité échappent à un capteur réseau ; NetSenX montre si les machines de l'attaquant continuent ensuite à contacter l'extérieur.

← Les 60 questions sur Réponse à incidentTous les thèmes