Entradas de inicio
Parte de la sección Investigación de una brecha de seguridad del Journey de Cybersecurity de Coddy. Lección 8 de 20.
Algunos programas están configurados para iniciarse cuando se reinicia una computadora. Un atacante puede usar esto para volver a iniciar un programa no deseado. Esta es una forma de persistencia: una manera de permanecer en una computadora después de la intrusión inicial.
Inspecciona la entrada de inicio de la computadora de práctica:
seclab inspect startups demo-startDeberías ver:
demo-start:
Process: demo-helper
Location: /etc/lumen/startup/demo-start
Enabled: yesIndica demo-helper y dice Enabled: yes. Desactiva esa entrada:
seclab startup demo-start disableDeberías ver:
demo-start: disabled. Running processes are unchanged.Vuelve a comprobarlo:
seclab inspect startups demo-startBusca estas líneas:
demo-start:
Enabled: noLa entrada está desactivada, pero el proceso en ejecución no ha cambiado. La limpieza debe ocuparse tanto del programa que se está ejecutando ahora como de la configuración que podría volver a iniciarlo. Mantén habilitadas las entradas de inicio de las tareas aprobadas.
Desafío
FácilTicket de Sam, responsable de TI
Revisa las entradas de inicio en design-laptop y support-laptop. Desactiva las entradas que volverían a iniciar los dos programas no deseados. Mantén activadas las entradas de inicio del navegador y de las copias de seguridad para que el trabajo normal pueda reanudarse después de reiniciar. Ambas copias de seguridad aprobadas deben seguir funcionando ahora.
Pruébalo tú mismo
Todas las lecciones de Investigación de una brecha de seguridad
2Haz que la limpieza perdure
Detén el programaPon el archivo en cuarentenaEntradas de inicioPrueba el reinicioEl programa que regresa