احفظ الأدلة

يغيّر إيقاف البرنامج ما يمكنك رؤيته. قبل أن تنظّف جهاز كمبيوتر، احفظ الأدلة التي توضّح ما كان يحدث.

في هذا المختبر، يحفظ preserve لقطةً من ملفات الكمبيوتر وعملياته وإدخالات بدء التشغيل واتصالاته وسجلاته. ويحتفظ بحالة التشغيل كما كانت في تلك اللحظة:

seclab preserve practice-laptop

ينبغي أن ترى:

Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4

تحدّد قيمة SHA-256 الطويلة هذه اللقطة المحفوظة. اقرأ الأدلة المحفوظة للتحقق من وجود النسخة:

seclab inspect evidence

ابحث عن هذه الأسطر:

practice-laptop:
  SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4

لا يوقف حفظ الأدلة الهجوم. فهو يحفظ سجلًا كي تتمكن من اتخاذ إجراء دون فقدان الصورة الأصلية. لا تؤدي قراءة السجلات إلى تقديم ساعة المختبر؛ أما إجراء تغيير فيؤدي إلى ذلك. قد تتطلب منك التذاكر اللاحقة حفظ الأدلة ثم التصرف بسرعة.