Crea una cronologia
Fa parte della sezione Indagare su una violazione del percorso Cybersecurity di Coddy. Lezione 11 di 20.
Una cronologia ti aiuta a spiegare come si è svolto un incidente. Leggi gli eventi in ordine cronologico e distingui ciò che è accaduto prima della pulizia da ciò che è accaduto dopo.
I log del computer di pratica mostrano un programma avviato prima di un trasferimento:
seclab logsCerca queste righe:
2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csvIl record del processo collega demo-helper al suo processo padre, demo-browser. Nel loro insieme, i record supportano una breve spiegazione: il browser ha avviato l'helper, poi la connessione dell'helper ha trasferito un file.
Non trasformare un'ipotesi in un accertamento. Se i record mostrano solo una connessione, non puoi affermare che siano usciti dei dati. Registra il processo iniziale per questo esempio:
seclab answer first demo-browserDovresti vedere:
Recorded your answer to first.Le prove precedenti vengono riportate nei ticket successivi come file salvato, il cui nome è evidence seguito dal nome del computer. In questo modo il record originale resta disponibile dopo la pulizia.
Sfida
FacileTicket di Sam, responsabile IT
Prepara l'inizio della cronologia dell'incidente della torrefazione. Usa le prove salvate e i log per identificare il processo genitore che ha avviato il processo ausiliario indesiderato. Registra quel processo genitore come first. Durante le indagini, mantieni arrestato il processo ausiliario ripulito e funzionante il backup approvato.
Provalo tu
Tutte le lezioni di Indagare su una violazione
3Ricostruire cosa è successo
Crea una cronologiaSono usciti dei dati?Trova un'altra copiaRipristina un programma sicuroIl rapporto del collaboratore esterno