Metti il file in quarantena
Fa parte della sezione Indagare su una violazione del percorso Cybersecurity di Coddy. Lezione 7 di 20.
Arrestare un processo lascia il suo file al suo posto. Se qualcuno avvia di nuovo quel file, il programma può ripartire.
La quarantena conserva un file per consentirne l’analisi, impedendone al contempo nuovi avvii. Sul computer di esercitazione:
seclab artifact demo-helper quarantineDovresti vedere:
demo-helper: quarantined; already running processes keep running.Nota l’avviso: un processo già in esecuzione continua a funzionare. La quarantena blocca l’avvio successivo; non arresta quello attualmente in esecuzione. Arresta anche quello:
seclab process demo-helper stopDovresti vedere:
demo-helper: stopped.Controlla lo stato del file:
seclab inspect artifacts demo-helperCerca queste righe:
demo-helper:
Quarantined: yesQuarantined indica yes. Il file e i suoi contenuti sono ancora disponibili per l’ispezione, ma non può più essere avviato finché rimane in quarantena.
Sfida
FacileTicket di Sam, responsabile IT
I due programmi indesiderati su design-laptop e support-laptop sono stati arrestati. Impedisci che i loro file vengano avviati di nuovo, mantenendo i file disponibili per le indagini. Lascia in esecuzione entrambi i programmi di backup approvati e mantieni utilizzabili i relativi file. Checkout deve rimanere disponibile.
Provalo tu
Tutte le lezioni di Indagare su una violazione
2Fai durare la pulizia
Arresta il programmaMetti il file in quarantenaVoci di avvioVerifica il riavvioIl programma che ritorna