Jak bezpiecznie zresetować hasła po włamaniu?

Z czystego urządzenia, w zaplanowanej kolejności i w jednym krótkim oknie czasowym. Zacznij od kont, które kontrolują wszystko: administratorów domeny i chmury, systemu kopii zapasowych, zdalnego dostępu oraz kont serwisowych z szerokimi uprawnieniami. W Active Directory konto podpisujące bilety Kerberos (krbtgt) resetuje się dwukrotnie, z czasem na replikację pomiędzy, by sfałszowane bilety przestały działać. Potem zresetuj zwykłych użytkowników, unieważnij aktywne sesje i tokeny w usługach chmurowych i wymagaj uwierzytelniania wieloskładnikowego (MFA) wszędzie, gdzie go brakuje. Nie wysyłaj nowych haseł pocztą, która może być przejęta. Jeśli zresetujesz za wcześnie, gdy napastnik wciąż ma przyczółek, po prostu przechwyci nowe hasła, więc najpierw go powstrzymaj. Zmiany tożsamości są poza zasięgiem sensora sieciowego; NetSenX pokazuje, czy maszyny napastnika nadal łączą się na zewnątrz.

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy