Procesos padre
Parte de la sección Investigación de una brecha de seguridad del Journey de Cybersecurity de Coddy. Lección 2 de 20.
Encontrar un programa no deseado es solo el comienzo. También quieres saber cómo se inició. Un proceso padre es el programa que inició otro programa.
Observa el proceso padre en este registro de práctica:
seclab inspect processes demo-helperBusca estas líneas:
demo-helper:
Parent process: demo-browserAquí, demo-browser inició demo-helper. Lee el registro del navegador antes de sacar una conclusión:
seclab inspect processes demo-browserDeberías ver:
demo-browser:
Machine: practice-laptop
User: maya
File: demo-browser
Parent process: -
Running: yes
Command: /opt/lumen/demo-browserUn navegador aprobado puede iniciar una descarga insegura. Eso no significa que haya que eliminar el propio navegador. El enlace te da un punto de partida para investigar lo siguiente: qué abrió o descargó la persona.
Usa el nombre del proceso padre cuando registres tu hallazgo:
seclab answer parent demo-browserDeberías ver:
Recorded your answer to parent.
Desafío
FácilSolicitud de Sam, responsable de TI
Continúa la investigación del portátil de diseño. Identifica el programa que inició el asistente que se comunica con parcel-cache y registra su nombre como parent. Mantén ambos programas en ejecución por ahora para que las pruebas sigan mostrando su relación, y mantén funcionando la copia de seguridad aprobada.
Pruébalo tú mismo
Todas las lecciones de Investigación de una brecha de seguridad
1Sigue las pruebas
Ejecución de programasProcesos padreHuellas digitales de archivosGuarda las pruebasOtro informe2Haz que la limpieza perdure
Detén el programaPon el archivo en cuarentenaEntradas de inicioPrueba el reinicioEl programa que regresa