---
sourceDocument: Gestão de segurança do Xanadu
sourceDocumentLink: https://servicenow-prod.fluidtopics.net/r/pt-BR/xanadu/security-management

 Release :

    - xanadu

ft:locale :

    - pt-BR

ft:publication_title :

    - Gestão de segurança do Xanadu

ft:clusterId :

    - security

bundleId :

    - security

workflow :

    - Technology


---

# Usar o playbook Tentativa de acesso a contas desativadas

# Usar o playbook Tentativa de acesso a contas desativadas {#ariaid-title1}

* Versão de lançamento: Xanadu
* 
* Atualizado 1 de ago. de 2024
* 
* ![](https://www.servicenow.com/docs/portal-asset/ico-clock) 2 min. de leitura

Use este playbook quando um funcionário cuja conta foi encerrada, desabilitada ou separada tentar fazer login com suas credenciais. As etapas a seguir fornecem instruções passo a passo das ações, tarefas e subfluxos que estão disponíveis no playbook Tentativa de acesso a contas desativadas.

## Antes de Iniciar

Função necessária:

* sn_si.admin
* flow_designer
{#playbook-using-attempted-access-deactivated-accounts__ul_ub3_m35_xzb}

## Procedimento

1. Quando o playbook for acionado e começar a ser executado, na Ação 1, verifique se a tentativa de acesso às contas desativadas foi feita por um usuário ativo.
2. Na Ação 2, verifique se a tentativa de acesso às contas desativadas foi feita por um funcionário ativo.  
   Figura 1. Playbook de tentativa de acesso a contas desativadas
3. Se a tentativa de acesso às contas desativadas tiver sido feita por um funcionário ativo, execute as seguintes etapas:
   1. Na Ação 3, verifique se o usuário tinha um projeto ou caso de teste que fez com que o usuário se tornasse um funcionário inativo.
   2. Na Ação 4, se o usuário não tiver um projeto ou caso de teste que tenha feito com que ele se tornasse um funcionário inativo, trabalhe com a equipe de suporte de TI para corrigir o erro de configuração.  
      O fluxo termina.
   3. Na Ação 5, se o usuário tiver um projeto ou caso de teste que fez com que o usuário se tornasse um funcionário inativo, execute as seguintes etapas:  
      1. Na Ação 6, documente as descobertas até o momento.
      2. Na Ação 7, inicie uma análise pós-incidente.Na Ação 8, após a análise pós-incidente, o fluxo termina.

      {#playbook-using-attempted-access-deactivated-accounts__ol_npv_xwr_zzb}
   {#playbook-using-attempted-access-deactivated-accounts__substeps_jhy_v5r_zzb}
4. Na Ação 9, se a tentativa de acesso à conta desativada não tiver sido feita por um funcionário ativo, execute as seguintes etapas:
   1. Na Ação 10, verifique se o usuário teve logins bem-sucedidos.
   2. Na Ação 11, verifique quando o funcionário foi desligado.
   3. Na Ação 12, investigue os eventos no Splunk para examinar as atividades do usuário durante o período.
   4. Na Ação 13, com base na investigação até o momento, determine se o usuário exfiltrou algum dado.
   5. Na Ação 14, se o usuário não exfiltrar nenhum dado, execute as seguintes etapas:  
      1. Na Ação 15, trabalhe com a equipe de suporte de TI para encerrar todas as sessões ativas e desabilitar as contas.
      2. Na Ação 16, documente as descobertas até o momento.
      3. Na Ação 17, inicie uma análise pós-incidente.

      {#playbook-using-attempted-access-deactivated-accounts__ol_qk5_kyr_zzb}

      Na Ação 18, após a análise pós-incidente, o fluxo termina.  
      Figura 2. Como usar o playbook Tentativa de acesso a contas desativadas
   {#playbook-using-attempted-access-deactivated-accounts__substeps_kjw_2xr_zzb}
5. Na Ação 19, se o usuário exfiltrar quaisquer dados, execute as seguintes etapas:
   1. Na Ação 20, bloqueie o usuário mal-intencionado e destrua todas as sessões ativas.
   2. Na Ação 21, trabalhe com a equipe de suporte de TI para desabilitar todas as contas.
   3. Na Ação 22, certifique-se de que os recursos sejam restaurados ao estado normal e livres de qualquer atividade mal-intencionada.  
      Você pode recriar a imagem dos recursos, se necessário.
   4. Na Ação 23, remova a contenção e traga os sistemas de volta aos padrões operacionais.
   5. Na Ação 24, conclua a revisão pós-incidente antes de fechar a tarefa.
   {#playbook-using-attempted-access-deactivated-accounts__substeps_wtj_yyr_zzb}