Pojawiło się konto administratora, którego nikt nie pamięta, że zakładał. Co teraz?

Traktuj to jak incydent, dopóki nie znajdziesz wyjaśnienia. Nowe konta administratora to częsty sposób napastników na utrzymanie dostępu i często noszą nazwy, które wyglądają zwyczajnie, na przykład jak odmiana konta serwisowego lub wsparcia. Nie usuwaj go od razu: wyłącz je, zanotuj nazwę, czas utworzenia i to, kto lub co je założyło, i zapisz logi katalogu i systemu, które to pokazują, zanim zostaną nadpisane. Potem zapytaj oczywiste osoby, na przykład firmę obsługującą IT lub dostawcę oprogramowania, czy to one je utworzyły. Jeśli nikt, sprawdź, co jeszcze zmieniło się w tym samym czasie, zresetuj hasła pozostałych administratorów z czystego urządzenia i zadzwoń do firmy reagującej na incydenty. Samo konto to dowód z obszaru tożsamości, którego sensor sieciowy nie widzi; NetSenX pokazuje, czy hosty używane w tym czasie zaczęły skanować albo otwierać nowe sesje do serwerów.

Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Czy zostałem zhakowany?

← Wszystkie pytania (35): Czy zostałem zhakowany?Wszystkie tematy