Den Neustart testen

Eine Bereinigung kann abgeschlossen wirken, bis der Computer neu startet. Teste, ob das unerwünschte Programm gestoppt bleibt und die genehmigten Programme wieder laufen.

Angenommen, der Übungshelfer wurde bereits gestoppt, in Quarantäne verschoben und aus dem Autostart entfernt. Starte seinen Computer neu:

seclab host practice-laptop restart

Du solltest Folgendes sehen:

practice-laptop: restart.

Überprüfe den Helfer:

seclab inspect processes demo-helper

Achte auf diese Zeilen:

demo-helper:
  Running: no

Er bleibt gestoppt. Um ein weiteres Intervall zu beobachten, ohne eine neue Änderung vorzunehmen, verwende wait:

seclab wait

Du solltest Folgendes sehen:

Watching the next interval.

Lies dann die Verbindungsprotokolle:

seclab inspect connections demo-upload

Achte auf diese Zeilen:

demo-upload:
  Allowed: no
  Reason: process_stopped

Die Route ist blockiert, weil der Quellprozess gestoppt ist. Ein Neustart ist ein nützlicher Beleg dafür, dass die Bereinigung Bestand hatte. Überprüfe aber auch, ob die genehmigten Aufgaben des Computers weiterhin ausgeführt werden.