CyberArk : enquête sur une session privilégiée

Une table de la base de production a été vidée samedi à 23:40. Seuls des comptes gérés par CyberArk y ont accès. Travaillez depuis ~/enquete (jeton d'API dans $JETON).

1. Activités du compte root de srv-db01 : curl -s "https://pvwa.acme.test/PasswordVault/API/Accounts/27_4/Activities" -H "Authorization: $JETON" → qui a récupéré l'accès samedi soir ? → answer utilisateur <login>
2. Sessions enregistrées : curl -s "https://pvwa.acme.test/PasswordVault/API/Recordings?Search=srv-db01" -H "Authorization: $JETON" → identifiant de l'enregistrement couvrant 23:40 → answer enregistrement <id>
3. Commandes de la session : curl -s "https://pvwa.acme.test/PasswordVault/API/Recordings/<id>/activities" -H "Authorization: $JETON" → commande destructrice → answer commande "<commande>"
4. La connexion est-elle passée par le PSM ou le mot de passe a-t-il été affiché ? → answer mode <psm|affichage>. Mesure pour les prochaines fois → answer mesure <double-controle|mot-de-passe-plus-long|desactiver-audit>