Die Datei unter Quarantäne stellen
Teil des Abschnitts Untersuchung eines Sicherheitsvorfalls der Cybersecurity-Journey von Coddy. Lektion 7 von 20.
Das Stoppen eines Prozesses lässt seine Datei an ihrem Platz. Wenn jemand diese Datei erneut startet, kann das Programm zurückkehren.
Quarantäne bewahrt eine Datei zur Untersuchung auf und verhindert gleichzeitig, dass sie neu gestartet wird. Auf dem Übungscomputer:
seclab artifact demo-helper quarantineDu solltest Folgendes sehen:
demo-helper: quarantined; already running processes keep running.Beachte den Hinweis: Ein bereits laufender Prozess läuft weiter. Die Quarantäne blockiert den nächsten Start, sie stoppt nicht den aktuellen Prozess. Stoppe ihn ebenfalls:
seclab process demo-helper stopDu solltest Folgendes sehen:
demo-helper: stopped.Prüfe den Zustand der Datei:
seclab inspect artifacts demo-helperAchte auf diese Zeilen:
demo-helper:
Quarantined: yesBei „Quarantined“ steht „yes“. Die Datei und ihr Inhalt können weiterhin untersucht werden, aber solange sie in Quarantäne bleibt, kann sie nicht mehr gestartet werden.
Aufgabe
EinfachTicket von Sam, IT-Leiter
Die beiden unerwünschten Programme auf design-laptop und support-laptop wurden gestoppt. Verhindere, dass ihre Dateien erneut gestartet werden, und halte die Dateien gleichzeitig für Untersuchungen verfügbar. Lass beide genehmigten Backup-Programme weiterlaufen und ihre Dateien nutzbar. Checkout muss verfügbar bleiben.
Probier es selbst
Alle Lektionen in Untersuchung eines Sicherheitsvorfalls
1Den Beweisen folgen
Programme ausführenÜbergeordnete ProzesseDatei-FingerabdrückeBeweise sichernEin weiterer Bericht4Die Wiederherstellung nachweisen
Normalbetrieb prüfenAuf erneutes Auftreten achtenErgebnisse dokumentierenWieder in Betrieb nehmenDer Lagerraum2Die Bereinigung dauerhaft machen
Das Programm beendenDie Datei unter Quarantäne stellenAutostart-EinträgeDen Neustart testenDas zurückkehrende Programm