مأموریت 12 · واکنش را تمرین کنید
ربات به دست مهاجم افتاده است
واکنش‌ها را به ترتیب امن بچینید.
شواهدی دارید که نمونهٔ اجرایی ربات رضا به دست مهاجم افتاده است. اطلاعات واقعی احراز هویت در پراکسی جداگانه مانده‌اند، اما حافظهٔ قابل‌نوشتن ربات ممکن است آلوده شده باشد.
هماهنگ‌کنندهٔ رسیدگی به رخداد
«به گفت‌وگو با نسخهٔ در اختیار مهاجم ادامه ندهید. اول چه باید کرد و بعد چه؟»
تصمیم شما
روی این گام‌ها به امن‌ترین ترتیب بزنید.
- بررسی کنید، توکن‌های جایگزین را عوض کنید و از نقطه‌ای پاک بازسازی کنید
به حافظه یا تنظیمات رباتِ در اختیار مهاجم اعتماد نکنید. - پیش از دادن دوبارهٔ دسترسی، همهٔ بررسی‌های راستی‌آزمایی را اجرا کنید
پس از آن، تصویرهای لحظه‌ای پاک و سوابق یکپارچگی را به‌روز کنید. - ربات و سندباکسش را مهار کنید؛ مسیر خروجی آن به پراکسی را ببندید
پیش از پاک‌سازی، فعالیت در حال انجام را متوقف کنید. - شواهد را حفظ کنید
پیش از بازسازی، تصویرهای لحظه‌ای رخداد و گزارش‌های مرتبط را ذخیره کنید.
نمایش توضیح
اول مهار، بعد حفظ شواهد، سپس بررسی و بازسازی، و در پایان آزمایش. سعی نکردید رباتِ در حال کار و در اختیار مهاجم را «پاک‌سازی» کنید و فقط امیدوار باشید نتیجه خوب شود.
از نقطه‌ای پاک بازسازی کنید و اطلاعات احراز هویتی را که در معرض دسترسی بوده‌اند تعویض کنید. اگر زیرساخت یا میزبان به دست مهاجم افتاده باشد، واکنش بسیار گسترده‌تری لازم است.- برای نفوذ به یک نمونهٔ اجرایی Hermes، این راهنما توکن‌های جایگزینِ همان دوست را عوض می‌کند، چون اطلاعات واقعی احراز هویت آنجا ذخیره نشده بودند.
- نفوذ به زیرساخت می‌تواند توکن‌های واقعی ربات، کلیدهای API و مرجع صدور گواهی (CA) را در معرض دسترسی قرار دهد؛ آن‌ها هم باید تعویض شوند.
- اگر خود میزبان به دست مهاجم افتاده است، کل سرور را بازسازی کنید. دیگر نمی‌توان به لایه‌های زیرین اعتماد کرد.
مهار رخداد
متوقف کردن فعالیت آسیب‌زای جاری و محدود کردن دسترسی، پیش از بررسی و بازسازی.