Beweise sichern
Teil des Abschnitts Untersuchung eines Sicherheitsvorfalls der Cybersecurity-Journey von Coddy. Lektion 4 von 20.
Das Beenden eines Programms verändert, was du sehen kannst. Bevor du einen Computer bereinigst, sichere die Beweise, die erklären, was passiert ist.
In diesem Labor speichert preserve eine Momentaufnahme der Dateien, Prozesse, Starteinträge, Verbindungen und Protokolle des Computers. Der laufende Zustand bleibt so erhalten, wie er in diesem Moment war:
seclab preserve practice-laptopDu solltest Folgendes sehen:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Der lange SHA-256-Wert identifiziert diese gespeicherte Momentaufnahme. Lies die gespeicherten Beweise, um zu prüfen, ob die Kopie existiert:
seclab inspect evidenceAchte auf diese Zeilen:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Das Sichern von Beweisen stoppt keinen Angriff. Es speichert einen Datensatz, damit du handeln kannst, ohne das ursprüngliche Bild zu verlieren. Das Lesen von Datensätzen lässt die Laboruhr nicht weiterlaufen; eine Änderung vorzunehmen schon. Bei späteren Tickets musst du möglicherweise Beweise sichern und anschließend zügig handeln.
Aufgabe
EinfachTicket von Sam, IT-Leiter
Sichere die Beweise von design-laptop, solange der Hilfsprozess noch läuft. Sam benötigt die ursprünglichen Prozess- und Verbindungsprotokolle, bevor er die Bereinigung genehmigt. Prüfe, ob die Beweise vorhanden sind, und sorge dafür, dass das genehmigte Backup und der Checkout-Service von Lumen weiterhin funktionieren.
Probier es selbst
Alle Lektionen in Untersuchung eines Sicherheitsvorfalls
1Den Beweisen folgen
Programme ausführenÜbergeordnete ProzesseDatei-FingerabdrückeBeweise sichernEin weiterer Bericht4Die Wiederherstellung nachweisen
Normalbetrieb prüfenAuf erneutes Auftreten achtenErgebnisse dokumentierenWieder in Betrieb nehmenDer Lagerraum2Die Bereinigung dauerhaft machen
Das Programm beendenDie Datei unter Quarantäne stellenAutostart-EinträgeDen Neustart testenDas zurückkehrende Programm