Come reimpostiamo le password in sicurezza dopo una violazione?
Da un dispositivo pulito, in un ordine pianificato ed entro un'unica breve finestra. Parta dagli account che controllano tutto: amministratori del dominio e del cloud, sistema di backup, accesso remoto e account di servizio con diritti ampi. In Active Directory l'account che firma i ticket Kerberos (krbtgt) si reimposta due volte, lasciando il tempo della replica nel mezzo, così che i ticket contraffatti smettano di funzionare. Poi reimposti gli utenti ordinari, revochi sessioni e token attivi nei servizi cloud e richieda l'autenticazione a più fattori (MFA) ovunque manchi. Non invii le nuove password via una posta che potrebbe essere compromessa. Se reimposta troppo presto, quando l'attaccante ha ancora un appiglio, catturerà semplicemente le nuove password: prima contenga. Le modifiche di identità sfuggono a un sensore di rete; NetSenX mostra se in seguito le macchine dell'attaccante continuano a contattare l'esterno.
Da leggere dopo
Domande correlate
- Come sappiamo che l'attaccante se n'è andato davvero?
- Possiamo continuare a usare i computer dopo un attacco ransomware?
- Come ripartiamo in sicurezza dopo un incidente informatico?
- Possiamo continuare a lavorare durante un incidente informatico?
- Per quanto tempo dobbiamo sorvegliare da vicino la rete dopo un incidente?
← Tutte le 60 domande su Risposta agli incidentiTutti i temi