Übergeordnete Prozesse
Teil des Abschnitts Untersuchung eines Sicherheitsvorfalls der Cybersecurity-Journey von Coddy. Lektion 2 von 20.
Ein unerwünschtes Programm zu finden, ist erst der Anfang. Du möchtest auch wissen, wie es gestartet wurde. Ein übergeordneter Prozess ist das Programm, das ein anderes Programm gestartet hat.
Sieh dir den übergeordneten Prozess in diesem Übungsprotokoll an:
seclab inspect processes demo-helperSuche nach diesen Zeilen:
demo-helper:
Parent process: demo-browserHier hat demo-browser demo-helper gestartet. Lies den Browser-Eintrag, bevor du eine Schlussfolgerung ziehst:
seclab inspect processes demo-browserDu solltest Folgendes sehen:
demo-browser:
Machine: practice-laptop
User: maya
File: demo-browser
Parent process: -
Running: yes
Command: /opt/lumen/demo-browserEin zugelassener Browser kann einen unsicheren Download starten. Das bedeutet nicht, dass der Browser selbst entfernt werden muss. Der Zusammenhang gibt dir einen Anhaltspunkt für die nächste Untersuchung: Was die Person geöffnet oder heruntergeladen hat.
Verwende den Prozessnamen des übergeordneten Prozesses, wenn du deinen Befund festhältst:
seclab answer parent demo-browserDu solltest Folgendes sehen:
Recorded your answer to parent.
Aufgabe
EinfachTicket von Sam, IT-Leiter
Setze die Untersuchung des Design-Laptops fort. Ermittle das Programm, das den Helfer gestartet hat, der parcel-cache kontaktiert, und trage seinen Namen als parent ein. Lass vorerst beide Programme laufen, damit die Beweise ihre Beziehung weiterhin zeigen, und sorge dafür, dass das genehmigte Backup funktioniert.
Probier es selbst
Alle Lektionen in Untersuchung eines Sicherheitsvorfalls
1Den Beweisen folgen
Programme ausführenÜbergeordnete ProzesseDatei-FingerabdrückeBeweise sichernEin weiterer Bericht4Die Wiederherstellung nachweisen
Normalbetrieb prüfenAuf erneutes Auftreten achtenErgebnisse dokumentierenWieder in Betrieb nehmenDer Lagerraum2Die Bereinigung dauerhaft machen
Das Programm beendenDie Datei unter Quarantäne stellenAutostart-EinträgeDen Neustart testenDas zurückkehrende Programm