Playbook pour renifler les informations d’identification

Ce playbook fournit des étapes de rattrapage du système pour enquêter sur un incident impliquant des activités de reniflage d’informations d’identification effectuées via la table d’une sys_installation_exit instance ServiceNow.

Le playbook de reniflage d’informations d’identification fournit un champ de script pour traiter les connexions à la base de données (base de données), l’authentification unique (SSO) et LDAP (protocole LDAP (Lightweight Directory Access Protocol) à l’aide des enregistrements de la sys_installation_exit table. Ces champs de scripting privilégiés permettent d’écouter les demandes utilisateur et les paramètres des instances pendant la connexion, y compris les informations d’identification de l’utilisateur telles que le nom d’utilisateur et le mot de passe.

Un utilisateur malveillant peut créer un script pour écouter les demandes de l’utilisateur et les consigner sur l’instance. La sys_installation_exit table sur une instance définit les règles de traitement des activités de connexion et de déconnexion de tous les utilisateurs de cette instance.

• Configurer le playbook de reniflage d’informations d’identification
  Suivez les étapes suivantes pour configurer le playbook de reniflage d’informations d’identification.
• Utiliser le playbook de reniflage d’informations d’identification
  Utilisez ce playbook pour enquêter sur un incident impliquant des activités de reniflage d’informations d’identification effectuées via la sys_installation_exit table dans une instance ServiceNow. Les étapes suivantes vous donnent un aperçu des actions, des tâches et des flux secondaires disponibles dans le playbook de reniflage d’informations d’identification.