Eine weitere Kopie finden
Teil des Abschnitts Untersuchung eines Sicherheitsvorfalls der Cybersecurity-Journey von Coddy. Lektion 13 von 20.
Das Umbenennen einer Datei ändert nicht, was in ihr enthalten ist. Ein unerwünschtes Programm kann auf einem anderen Computer unter einem anderen Namen erscheinen.
Untersuche den Fingerabdruck des Übungshelfers:
seclab inspect artifacts demo-helperAchte auf diese Zeilen:
demo-helper:
Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7Untersuche nun eine Kopie mit einem anderen Namen:
seclab inspect artifacts spare-toolAchte auf diese Zeilen:
spare-tool:
Expected SHA-256: -
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7Die aktuellen SHA-256-Werte stimmen überein, weil der Dateiinhalt identisch ist. So kannst du eine weitere Kopie finden, ohne dich auf ihren Namen verlassen zu müssen.
Ein übereinstimmender Fingerabdruck weist auf denselben Inhalt hin. Du musst trotzdem prüfen, wo diese Kopie ausgeführt wird und ob sie einen eigenen Starteintrag hat. Einen Computer zu bereinigen, bereinigt nicht auch einen anderen.
Aufgabe
EinfachTicket von Sam, IT-Leiter
Eine Datei von roastery-pc wurde unter einem anderen Namen auf label-server kopiert. Finde die passende Datei anhand ihres aktuellen Fingerabdrucks und speichere ihre ID als copy. Stoppe ihren Prozess, bevor der Upload erfolgreich ist, stelle die Datei unter Quarantäne und deaktiviere ihren Starteintrag. Sorge dafür, dass der Kassenbetrieb weiter funktioniert.
Probier es selbst
Alle Lektionen in Untersuchung eines Sicherheitsvorfalls
1Den Beweisen folgen
Programme ausführenÜbergeordnete ProzesseDatei-FingerabdrückeBeweise sichernEin weiterer Bericht4Die Wiederherstellung nachweisen
Normalbetrieb prüfenAuf erneutes Auftreten achtenErgebnisse dokumentierenWieder in Betrieb nehmenDer Lagerraum2Die Bereinigung dauerhaft machen
Das Programm beendenDie Datei unter Quarantäne stellenAutostart-EinträgeDen Neustart testenDas zurückkehrende Programm3Ermitteln, was passiert ist
Eine Zeitleiste erstellenSind Daten abgeflossen?Eine weitere Kopie findenEin sicheres Programm wiederherstellenBericht des Auftragnehmers