Guarda las pruebas
Parte de la sección Investigación de una brecha de seguridad del Journey de Cybersecurity de Coddy. Lección 4 de 20.
Detener un programa cambia lo que puedes ver. Antes de limpiar una computadora, guarda las pruebas que explican qué estaba ocurriendo.
En este laboratorio, preserve guarda una instantánea de los archivos, procesos, entradas de inicio, conexiones y registros de la computadora. Conserva el estado en ejecución tal como estaba en ese momento:
seclab preserve practice-laptopDeberías ver:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4El largo valor SHA-256 identifica esta instantánea guardada. Lee las pruebas guardadas para comprobar que existe una copia:
seclab inspect evidenceBusca estas líneas:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Conservar las pruebas no detiene un ataque. Guarda un registro para que puedas actuar sin perder la imagen original. Leer registros no adelanta el reloj del laboratorio; hacer un cambio sí. Es posible que en tickets posteriores tengas que guardar pruebas y después actuar rápidamente.
Desafío
FácilTicket de Sam, responsable de TI
Guarda las pruebas de design-laptop mientras el asistente sigue ejecutándose. Sam necesita los registros originales del proceso y de la conexión antes de aprobar la limpieza. Comprueba que las pruebas existan y mantén funcionando la copia de seguridad aprobada y el servicio de pago de Lumen.
Pruébalo tú mismo
Todas las lecciones de Investigación de una brecha de seguridad
1Sigue las pruebas
Ejecución de programasProcesos padreHuellas digitales de archivosGuarda las pruebasOtro informe2Haz que la limpieza perdure
Detén el programaPon el archivo en cuarentenaEntradas de inicioPrueba el reinicioEl programa que regresa