Processus parents
Fait partie de la section Enquêter sur une faille de sécurité du Journey Cybersecurity de Coddy. Leçon 2 sur 20.
Repérer un programme indésirable n’est que le début. Vous voulez aussi savoir comment il a été lancé. Un processus parent est le programme qui en a lancé un autre.
Examinez le parent dans cet enregistrement d’exercice :
seclab inspect processes demo-helperRecherchez ces lignes :
demo-helper:
Parent process: demo-browserIci, demo-browser a lancé demo-helper. Lisez l’enregistrement du navigateur avant de tirer une conclusion :
seclab inspect processes demo-browserVous devriez voir :
demo-browser:
Machine: practice-laptop
User: maya
File: demo-browser
Parent process: -
Running: yes
Command: /opt/lumen/demo-browserUn navigateur approuvé peut lancer un téléchargement dangereux. Cela ne signifie pas que le navigateur lui-même doit être supprimé. Ce lien vous indique où poursuivre l’enquête : ce que la personne a ouvert ou téléchargé.
Utilisez le nom du processus parent lorsque vous consignez votre constat :
seclab answer parent demo-browserVous devriez voir :
Recorded your answer to parent.
Défi
FacileTicket de Sam, responsable informatique
Poursuis l’enquête sur design-laptop. Identifie le programme qui a lancé l’assistant qui contacte parcel-cache et consigne son nom sous parent. Pour l’instant, laisse les deux programmes en cours d’exécution afin que les preuves montrent toujours leur relation, et veille à ce que la sauvegarde approuvée continue de fonctionner.
Essayez vous-même
Toutes les leçons de Enquêter sur une faille de sécurité
1Suivre les indices
Exécuter des programmesProcessus parentsEmpreintes de fichiersConserver les preuvesUn autre rapport4Vérifier le rétablissement
Vérifier le fonctionnement normalSurveiller le retourConsigner les conclusionsRemettre en serviceLa réserve