Processi genitore
Fa parte della sezione Indagare su una violazione del percorso Cybersecurity di Coddy. Lezione 2 di 20.
Trovare un programma indesiderato è solo l'inizio. Vuoi anche sapere come è stato avviato. Un processo padre è il programma che ne ha avviato un altro.
Osserva il processo padre in questo registro di esercitazione:
seclab inspect processes demo-helperCerca queste righe:
demo-helper:
Parent process: demo-browserIn questo caso, demo-browser ha avviato demo-helper. Leggi il registro del browser prima di trarre una conclusione:
seclab inspect processes demo-browserDovresti vedere:
demo-browser:
Machine: practice-laptop
User: maya
File: demo-browser
Parent process: -
Running: yes
Command: /opt/lumen/demo-browserUn browser approvato può avviare un download non sicuro. Questo non significa che il browser stesso debba essere rimosso. Il collegamento ti indica cosa investigare dopo: che cosa ha aperto o scaricato la persona.
Quando registri il risultato, usa il nome del processo padre:
seclab answer parent demo-browserDovresti vedere:
Recorded your answer to parent.
Sfida
FacileTicket di Sam, responsabile IT
Continua l'indagine sul laptop di design. Identifica il programma che ha avviato l'helper che contatta parcel-cache e registra il suo nome come parent. Per ora lascia in esecuzione entrambi i programmi, così che le prove mostrino ancora la loro relazione, e mantieni operativo il backup approvato.
Provalo tu
Tutte le lezioni di Indagare su una violazione
1Segui le prove
Esecuzione dei programmiProcessi genitoreImpronte digitali dei fileSalva le proveUn altro rapporto