Conserver les preuves
Fait partie de la section Enquêter sur une faille de sécurité du Journey Cybersecurity de Coddy. Leçon 4 sur 20.
Arrêter un programme change ce que vous pouvez voir. Avant de nettoyer un ordinateur, enregistrez les éléments qui expliquent ce qui se passait.
Dans ce laboratoire, preserve enregistre un instantané des fichiers, des processus, des entrées de démarrage, des connexions et des journaux de l’ordinateur. Il conserve l’état d’exécution tel qu’il était à ce moment-là :
seclab preserve practice-laptopVous devriez voir :
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4La longue valeur SHA-256 identifie cet instantané enregistré. Consultez les éléments enregistrés pour vérifier que la copie existe :
seclab inspect evidenceRecherchez ces lignes :
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4La conservation des éléments ne met pas fin à une attaque. Elle enregistre une trace pour que vous puissiez agir sans perdre l’état initial. La lecture des enregistrements ne fait pas avancer l’horloge du laboratoire ; effectuer une modification, si. Les tickets suivants pourraient vous demander d’enregistrer des éléments, puis d’agir rapidement.
Défi
FacileTicket de Sam, responsable informatique
Enregistre les preuves de design-laptop pendant que l’assistant fonctionne encore. Sam a besoin des enregistrements d’origine du processus et des connexions avant d’approuver le nettoyage. Vérifie que les preuves existent et veille à ce que la sauvegarde approuvée et le service de paiement de Lumen continuent de fonctionner.
Essayez vous-même
Toutes les leçons de Enquêter sur une faille de sécurité
1Suivre les indices
Exécuter des programmesProcessus parentsEmpreintes de fichiersConserver les preuvesUn autre rapport4Vérifier le rétablissement
Vérifier le fonctionnement normalSurveiller le retourConsigner les conclusionsRemettre en serviceLa réserve