Прийом, переведення, звільнення
Обліковий запис колишнього працівника, який ніхто не вимкнув.
Що таке Прийом, переведення, звільнення?
Під час звільнення зазвичай відстежують те, що людина повертає: ноутбук, бейдж, кадрову картку. Обліковий запис не має нічого, що можна повернути, тому цей крок і пропускають. Ви зіграєте зловмисника, який входить у досі активний обліковий запис колишнього працівника з паролем зі стороннього витоку даних і експортує портфель андеррайтингу. Потім, у ролі аналітикині, яка відповідає за перевірки доступу, ви знайдете цей обліковий запис у каталозі, вимкнете його, побачите, як наступний експорт не вдається, і повідомите, чому він лишався ввімкненим.
Що ви дізнаєтесь у Прийом, переведення, звільнення
- Пояснюйте, чому ввімкнений обліковий запис працівника, який звільнився, перетворює повторно використаний витеклий пароль на робочий доступ
- Розпізнавайте осиротілий обліковий запис у каталозі за трудовим статусом, станом облікового запису й останнім входом
- Вимикайте обліковий запис працівника, який звільнився, завершуйте його сеанси, а потім переконуйтеся, що облікові дані вже нічого не відчиняють
- Пояснюйте, чому контрольний перелік звільнення, що відстежує обладнання, може здаватися виконаним, поки доступ ще діє
- Повідомляйте першопричину й пропонуйте заходи захисту, наприклад прив'язати вимкнення облікового запису до заявки на звільнення та щомісяця перевіряти ввімкнені облікові записи
Прийом, переведення, звільнення — Кроки навчання
-
Список, який йому продали
Боб купує дампи облікових даних. Цей витік стався на форумі за інтересами минулого листопада і до Crestfield не має жодного стосунку. У списку Боб залишив жменьку людей, які зареєструвалися там із робочою адресою.
-
Одне ім'я, якого вже не мало б існувати
П'ять адрес Crestfield, п'ять паролів, і всі — відкритим текстом, бо форум зберігав їх саме так. Одна з цих п'яти адрес належить людині, яка залишила компанію в березні.
-
Спробуйте двері
Боб відкриває робочий простір андеррайтингу. Він не атакує, а просто збирається увійти.
-
Двері відчиняються
Пароль, яким Маркус користувався на форумі за інтересами, — той самий, що й у Crestfield. Обліковий запис Маркуса так ніхто й не вимкнув. Сповіщення не спрацьовує, бо нічого незвичного не сталося: користувач із чинним обліковим записом увійшов із правильним паролем.
-
Заберіть портфель
Маркус працював в андеррайтингу, тому його обліковий запис і далі має доступ до комерційного портфеля: страхувальники, страхові премії, страхові суми, історія страхових випадків.
-
Чотири тисячі полісів
Експорт виконується від імені Маркуса. У всіх журналах, які веде Crestfield, це виглядає так, ніби Маркус просто працює. Боб залишає вкладку відкритою й на якийсь час зникає.
-
Де все пішло не так
-
Запитання від центру моніторингу безпеки
Дані з портфеля андеррайтингу з'явилися в пропозиціях конкурента щодо продовження страхування. Центр моніторингу безпеки відстежив експорт і хоче розібратися в обліковому записі, з якого його виконали.
-
Три речі зроблено, одну — ні
Усе, що можна побачити, зроблено: ноутбук, бейдж і кадрову картку оформили того ж тижня. Пропустили лише той крок, до якого не прив'язано жодного предмета.
-
Відкрийте каталог
Аліса відкриває портал IAM за посиланням із листа від центру моніторингу безпеки.
Охоплення стандартів безпеки
MITRE ATT&CK
- T1078 Valid Accounts
CIS Controls
- CIS 5 Account Management
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind
- PR.AA Identity Management, Authentication, and Access Control