Eine Zeitleiste erstellen
Teil des Abschnitts Untersuchung eines Sicherheitsvorfalls der Cybersecurity-Journey von Coddy. Lektion 11 von 20.
Eine Zeitleiste hilft dir zu erklären, wie sich ein Vorfall abgespielt hat. Lies die Ereignisse in zeitlicher Reihenfolge und unterscheide, was vor der Bereinigung und was danach geschah.
Die Protokolle des Übungscomputers zeigen, dass ein Programm vor einer Übertragung gestartet wurde:
seclab logsAchte auf diese Zeilen:
2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csvDer Prozesseintrag verknüpft demo-helper mit seinem übergeordneten Prozess, demo-browser. Zusammengenommen stützen die Einträge eine kurze Erklärung: Der Browser startete das Hilfsprogramm, dann übertrug die Verbindung des Hilfsprogramms eine Datei.
Mach aus einer Vermutung keine Feststellung. Wenn die Einträge nur eine Verbindung zeigen, kannst du nicht behaupten, dass Daten übertragen wurden. Erfasse für dieses Beispiel den startenden Prozess:
seclab answer first demo-browserDu solltest Folgendes sehen:
Recorded your answer to first.Frühere Belege werden als gespeicherte Datei mit dem Namen evidence, gefolgt vom Computernamen, in spätere Tickets übernommen. So bleibt der ursprüngliche Eintrag nach der Bereinigung verfügbar.
Aufgabe
EinfachTicket von Sam, IT-Leiter
Bereite den Anfang der Zeitleiste des Vorfalls in der Rösterei vor. Verwende die gespeicherten Beweise und Protokolle, um den übergeordneten Prozess zu ermitteln, der den unerwünschten Hilfsprozess gestartet hat. Halte diesen übergeordneten Prozess als first fest. Lass den bereinigten Hilfsprozess beendet und die genehmigte Sicherung funktionsfähig, während du nachforschst.
Probier es selbst
Alle Lektionen in Untersuchung eines Sicherheitsvorfalls
1Den Beweisen folgen
Programme ausführenÜbergeordnete ProzesseDatei-FingerabdrückeBeweise sichernEin weiterer Bericht4Die Wiederherstellung nachweisen
Normalbetrieb prüfenAuf erneutes Auftreten achtenErgebnisse dokumentierenWieder in Betrieb nehmenDer Lagerraum2Die Bereinigung dauerhaft machen
Das Programm beendenDie Datei unter Quarantäne stellenAutostart-EinträgeDen Neustart testenDas zurückkehrende Programm3Ermitteln, was passiert ist
Eine Zeitleiste erstellenSind Daten abgeflossen?Eine weitere Kopie findenEin sicheres Programm wiederherstellenBericht des Auftragnehmers