Que faire si un compte cloud ou SaaS est compromis ?

Contenir d'abord, comprendre ensuite, et tout consigner au fur et à mesure. Confinement : réinitialisez le mot de passe et révoquez toutes les sessions et jetons actifs du compte ; supprimez les méthodes MFA que vous n'avez pas enregistrées et réenregistrez-les ; recherchez et supprimez les nouvelles règles de transfert, autorisations d'applications, clés d'API, utilisateurs ou rôles d'administration créés par l'attaquant ; et s'il s'agissait d'un compte d'administration, examinez tout le locataire ou tout le compte cloud, car les attaquants créent des portes dérobées. Investigation : utilisez les journaux de connexion et d'audit du fournisseur pour établir quand l'accès a commencé, d'où, et ce qui a été lu, modifié, partagé ou téléchargé ; vérifiez si le même mot de passe servait ailleurs. Décidez ensuite des obligations : un accès à des données personnelles peut impliquer une notification au titre du RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). dans les 72 heures après en avoir pris connaissance, et un incident important peut devoir être notifié au titre de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. dans votre pays. Regardez aussi les appareils : le mot de passe volé venait souvent d'un portable infecté ou d'une page d'hameçonnage. Dans chaque offre, NetSenX peut montrer si un appareil de votre réseau s'est mis à faire du beaconing, des balayages ou des envois inhabituels à ce moment-là. Il ne voit pas les connexions au compte cloud.

← Les 25 questions sur Sécurité du cloud et du SaaSTous les thèmes