El sitio web de compras en línea de una empresa dejó de funcionar poco después de la medianoche del 30 de enero de 2023. Cuando un analista de seguridad revisó el servidor de la base de datos, el analista notó el siguiente código utilizado para hacer copias de seguridad de los datos: ¿Cuál de las siguientes acciones debería realizar el analista a continuación?

La acción más relevante es verificar si hay administradores de bases de datos (DBA) recientemente despedidos. El código rm -rf / es un comando destructivo que elimina recursivamente todos los archivos del sistema de archivos raíz, lo que indica una acción intencional y maliciosa, probablemente por alguien con acceso privilegiado y conocimiento del sistema. Un DBA descontento o despedido es un sospechoso principal en este escenario. Revisar los registros de WAF en busca de inyección de comandos es menos probable porque el comando rm -rf / no es una inyección SQL típica y parece ejecutarse directamente en el servidor, no a través de una vulnerabilidad de aplicación web. Escanear el servidor en busca de malware es una buena práctica general, pero el comando específico sugiere una acción humana directa, no una infección de malware. Buscar notas de ransomware en el servidor web es incorrecto porque el comando rm -rf / borra datos, no los cifra para pedir un rescate, y la acción ocurrió en el servidor de la base de datos, no necesariamente en el servidor web.