Atveriet pakalpojuma pārvaldības vidi, izmantojot zināmu un uzticamu adresi. Pārbaudiet notikuma ierakstu un sazinieties ar lietotāju pa iepriekš zināmu saziņas kanālu. Lēmumu pieņemiet, izvērtējot visu iegūto informāciju.
Sāciet ar notikuma ierakstu
Pilnvarotam administratoram jāatver attiecīgā pakalpojuma pārvaldības vide un pieslēgšanās ieraksti. Neizmantojiet saiti no negaidīta e-pasta, lai pieslēgtos administratora kontam.
Pierakstiet kontu, notikuma laiku un laika joslu, pieslēgšanās rezultātu, lietotni, IP adresi un informāciju par ierīci. Fiksējiet arī pieejamo informāciju par izmantotajām autentifikācijas metodēm un to rezultātiem. Saglabājiet sākotnējā brīdinājuma identifikatoru vai atsauci, lai vēlāk varētu izsekot pārbaudes gaitai.
Izvērtējiet atrašanās vietu un ierīci
Microsoft norāda, ka pēc IP adreses noteiktā atrašanās vieta ir aptuvena. VPN vai tīkla pakalpojumu sniedzēja izmantotā adrese var radīt neprecīzu priekšstatu par lietotāja atrašanās vietu. Tādēļ vietas norāde jāpārbauda kopā ar pārējiem apstākļiem.
Noskaidrojiet, vai ierīce un lietotne ir pazīstamas, vai pieslēgšanās izdevās un vai autentifikācijas darbības atbilst tam, ko darbinieks tajā laikā darīja.
- Salīdziniet notikuma laiku ar darbinieka darbībām.
- Pārbaudiet pieslēgšanās rezultātu un autentifikācijas ierakstus.
- Meklējiet saistītas pieslēgšanās un drošības iestatījumu izmaiņas.
Sazinieties pa zināmu kanālu
Izmantojiet iepriekš zināmu tālruņa numuru vai citu uzticamu saziņas veidu. Jautājiet, ko darbinieks darīja norādītajā laikā un vai atpazīst ierīci vai autentifikācijas pieprasījumu.
Uzdodiet konkrētus jautājumus par notikušo. Lietotāja skaidrojumu izvērtējiet kopā ar sistēmas ierakstiem. Neprasiet nosūtīt paroli, piekļuves marķieri vai autentifikācijas kodu.
Saskaņojiet un fiksējiet rīcību
Ja pierādījumi norāda uz neatļautu piekļuvi, izmantojiet apstiprināto incidentu risināšanas kārtību. Microsoft identitātes aizsardzības vadlīnijās aprakstītas tādas darbības kā piekļuves bloķēšana, paroles maiņa, aktīvo sesiju pārtraukšana un piekļuves marķieru atsaukšana. Darbību secība un ietekme ir atkarīga no konkrētās vides.
Nepieņemiet, ka paroles maiņa automātiski pārtrauc visas aktīvās sesijas. Administratoram jāievēro pakalpojuma aktuālās instrukcijas, jānoskaidro, kādu piekļuvi konkrētā darbība pārtrauc, un jāsaskaņo iespējamā ietekme uz uzņēmuma darbu.
Pabeidziet arī turpmākos darbus
Pierakstiet izvērtētos pierādījumus, pieņemto lēmumu, veiktās darbības un to apstiprinātāju. Ja pieslēgšanos veicis pats lietotājs, norādiet, kā to pārbaudījāt. Ja notikusi konta pārņemšana, sekojiet incidenta risināšanai līdz saskaņoto turpmāko darbu izpildei.
Izmantojiet secinājumus procesa uzlabošanai. Vai ieraksti bija pieejami? Vai atbildīgais bija sasniedzams? Vai komanda zināja, kurš drīkst rīkoties? Šīs atbildes ir noderīgas arī tad, ja apdraudējums neapstiprinās.