Autostart-Einträge

Einige Programme sind so eingerichtet, dass sie starten, wenn ein Computer neu gestartet wird. Ein Angreifer kann das nutzen, um ein unerwünschtes Programm wieder zu starten. Dies ist eine Form der Persistenz: eine Möglichkeit, nach dem ersten Eindringen auf einem Computer zu bleiben.

Untersuche den Starteintrag des Übungscomputers:

seclab inspect startups demo-start

Du solltest Folgendes sehen:

demo-start:
  Process: demo-helper
  Location: /etc/lumen/startup/demo-start
  Enabled: yes

Der Eintrag nennt demo-helper und zeigt Enabled: yes an. Deaktiviere diesen Eintrag:

seclab startup demo-start disable

Du solltest Folgendes sehen:

demo-start: disabled. Running processes are unchanged.

Überprüfe ihn erneut:

seclab inspect startups demo-start

Achte auf diese Zeilen:

demo-start:
  Enabled: no

Der Eintrag ist deaktiviert, aber ein laufender Prozess bleibt unverändert. Bei der Bereinigung müssen sowohl das Programm, das jetzt läuft, als auch die Einstellung, durch die es erneut gestartet werden könnte, berücksichtigt werden. Lasse Starteinträge für genehmigte Aufgaben aktiviert.