Salva le prove
Fa parte della sezione Indagare su una violazione del percorso Cybersecurity di Coddy. Lezione 4 di 20.
Arrestare un programma cambia ciò che puoi vedere. Prima di ripulire un computer, salva le prove che spiegano cosa stava succedendo.
In questo laboratorio, preserve salva un’istantanea dei file, dei processi, delle voci di avvio, delle connessioni e dei log del computer. Conserva lo stato in esecuzione così com’era in quel momento:
seclab preserve practice-laptopDovresti vedere:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Il lungo valore SHA-256 identifica questa istantanea salvata. Leggi le prove salvate per verificare che la copia esista:
seclab inspect evidenceCerca queste righe:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Conservare le prove non ferma un attacco. Salva una registrazione così puoi intervenire senza perdere il quadro originale. Leggere le registrazioni non fa avanzare l’orologio del laboratorio; apportare una modifica sì. I ticket successivi potrebbero richiederti di salvare le prove e poi intervenire tempestivamente.
Sfida
FacileTicket di Sam, responsabile IT
Salva le prove da design-laptop mentre il processo helper è ancora in esecuzione. Sam ha bisogno dei record originali del processo e della connessione prima di approvare la pulizia. Verifica che le prove esistano e mantieni funzionanti il backup approvato e il servizio di checkout di Lumen.
Provalo tu
Tutte le lezioni di Indagare su una violazione
1Segui le prove
Esecuzione dei programmiProcessi genitoreImpronte digitali dei fileSalva le proveUn altro rapporto