Encuentra otra copia
Parte de la sección Investigación de una brecha de seguridad del Journey de Cybersecurity de Coddy. Lección 13 de 20.
Cambiar el nombre de un archivo no cambia lo que contiene. Un programa no deseado puede aparecer en otro equipo con un nombre diferente.
Inspecciona la huella digital del asistente de práctica:
seclab inspect artifacts demo-helperBusca estas líneas:
demo-helper:
Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7Ahora inspecciona una copia con otro nombre:
seclab inspect artifacts spare-toolBusca estas líneas:
spare-tool:
Expected SHA-256: -
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7Los valores actuales de SHA-256 coinciden porque el contenido de los archivos es idéntico. Eso te permite encontrar otra copia sin depender de su nombre.
Una huella digital coincidente identifica el mismo contenido. Aun así, debes comprobar dónde se está ejecutando esa copia y si tiene su propia entrada de inicio. Limpiar un equipo no limpia otro.
Desafío
FácilTicket de Sam, responsable de TI
Se copió un archivo de roastery-pc a label-server con otro nombre. Encuentra el archivo coincidente por su huella digital actual y registra su ID como copy. Detén su proceso antes de que se complete la carga, pon el archivo en cuarentena y deshabilita su entrada de inicio. Mantén el proceso de compra funcionando.
Pruébalo tú mismo
Todas las lecciones de Investigación de una brecha de seguridad
2Haz que la limpieza perdure
Detén el programaPon el archivo en cuarentenaEntradas de inicioPrueba el reinicioEl programa que regresa3Averigua qué ocurrió
Crea una cronología¿Se filtraron datos?Encuentra otra copiaRestaura un programa seguroEl informe del contratista