È comparso un account amministratore che nessuno ricorda di aver creato. E adesso?

Lo tratti come un incidente finché non ha una spiegazione. I nuovi account amministratore sono un modo frequente con cui gli attaccanti mantengono l'accesso, e spesso hanno nomi dall'aria normale, come una variante di un account di servizio o di supporto. Non lo cancelli subito: lo disattivi, annoti nome, momento della creazione e chi o che cosa lo ha creato, e salvi i log della directory e del sistema che lo mostrano prima che vengano sovrascritti. Poi chieda ai soggetti più ovvi, come il Suo fornitore IT o un produttore di software, se lo hanno creato loro. Se nessuno lo ha fatto, cerchi che cos'altro è cambiato nello stesso momento, reimposti da un dispositivo pulito le password degli altri amministratori e chiami il Suo fornitore di risposta agli incidenti. L'account in sé è una prova di identità che un sensore di rete non vede; NetSenX mostra se gli host usati in quel periodo hanno iniziato a scansionare o ad aprire nuove sessioni verso i server.

← Tutte le 35 domande su Sono stato violato?Tutti i temi