Mettre le fichier en quarantaine
Fait partie de la section Enquêter sur une faille de sécurité du Journey Cybersecurity de Coddy. Leçon 7 sur 20.
Arrêter un processus laisse son fichier en place. Si quelqu’un lance à nouveau ce fichier, le programme peut revenir.
La mise en quarantaine conserve un fichier pour enquête tout en empêchant de nouveaux lancements à partir de celui-ci. Sur l’ordinateur de pratique :
seclab artifact demo-helper quarantineVous devriez voir :
demo-helper: quarantined; already running processes keep running.Remarquez l’avertissement : un processus déjà en cours d’exécution continue de fonctionner. La mise en quarantaine bloque le prochain lancement ; elle n’arrête pas le processus en cours. Arrêtez-le également :
seclab process demo-helper stopVous devriez voir :
demo-helper: stopped.Vérifiez l’état du fichier :
seclab inspect artifacts demo-helperRepérez les lignes suivantes :
demo-helper:
Quarantined: yesLa valeur de Quarantined est yes. Le fichier et son contenu restent disponibles pour inspection, mais il ne peut plus être lancé tant qu’il reste en quarantaine.
Défi
FacileTicket de Sam, responsable informatique
Les deux programmes indésirables sur design-laptop et support-laptop sont arrêtés. Empêchez leurs fichiers de se lancer à nouveau tout en les gardant disponibles pour enquête. Laissez les deux programmes de sauvegarde approuvés en cours d’exécution et leurs fichiers utilisables. Le passage en caisse doit rester disponible.
Essayez vous-même
Toutes les leçons de Enquêter sur une faille de sécurité
1Suivre les indices
Exécuter des programmesProcessus parentsEmpreintes de fichiersConserver les preuvesUn autre rapport4Vérifier le rétablissement
Vérifier le fonctionnement normalSurveiller le retourConsigner les conclusionsRemettre en serviceLa réserve2Faire durer le nettoyage
Arrêter le programmeMettre le fichier en quarantaineEntrées de démarrageTester le redémarrageLe programme qui revient