Entrées de démarrage

Certains programmes sont configurés pour démarrer au redémarrage d’un ordinateur. Un attaquant peut s’en servir pour relancer un programme indésirable. C’est une forme de persistance : un moyen de rester sur un ordinateur après la première intrusion.

Inspectez l’entrée de démarrage de l’ordinateur d’entraînement :

seclab inspect startups demo-start

Vous devriez voir :

demo-start:
  Process: demo-helper
  Location: /etc/lumen/startup/demo-start
  Enabled: yes

Elle indique demo-helper et Enabled: yes. Désactivez cette entrée :

seclab startup demo-start disable

Vous devriez voir :

demo-start: disabled. Running processes are unchanged.

Vérifiez à nouveau :

seclab inspect startups demo-start

Repérez ces lignes :

demo-start:
  Enabled: no

L’entrée est désactivée, mais un processus en cours d’exécution reste inchangé. Le nettoyage doit traiter à la fois le programme qui s’exécute actuellement et le paramètre qui pourrait le relancer. Laissez activées les entrées de démarrage nécessaires aux tâches approuvées.