При компрометации аккаунта одной смены пароля может быть недостаточно. После авторизации сервис выдаёт сессию, cookie или access token. Если злоумышленник уже получил такой идентификатор, он может продолжить работу без повторного ввода пароля.
Подобный сценарий зафиксировали во французской налоговой службе: сотрудники SOC несколько раз сбрасывали скомпрометированные пароли, однако активная сессия в другом внутреннем сервисе продолжала действовать. Выгрузка данных продолжалась ещё несколько часов.
При инциденте необходимо:
— отозвать активные сессии и токены;
— проверить действия аккаунта после предполагаемой кражи;
— при необходимости сбросить MFA;
— затем сменить пароль и проверить повторные входы.
Смена пароля предотвращает вход с использованием старого секрета, но не гарантирует завершение уже активного доступа.
Подпишись, тут про технолоджии.
P.S. Меня зовут Бедняков Артем, я разрабатываю backend-решения на Python любой сложности:
- REST API и микросервисы;
- агентные системы и AI-интеграции;
- Telegram-боты и Mini Apps;
- парсеры и автоматизация;
- интеграции с внешними сервисами и API;
- тестирование и CI/CD;
- DevOps и развёртывание;
- аудит и проверки безопасности.
Если вам нужна разработка или есть вопросы по реализации проекта — пишите мне в Telegram
Всегда рад обсудить задачу и помочь найти решение.
Также подписывайтесь на мой Telegram-канал IT POLICE, где я пишу о Python, backend-разработке, технологиях и кибербезопасности.