Voci di avvio
Fa parte della sezione Indagare su una violazione del percorso Cybersecurity di Coddy. Lezione 8 di 20.
Alcuni programmi sono configurati per avviarsi al riavvio di un computer. Un aggressore può sfruttare questa possibilità per riavviare un programma indesiderato. Questa è una forma di persistenza: un modo per rimanere su un computer dopo la prima intrusione.
Esamina la voce di avvio del computer di esercitazione:
seclab inspect startups demo-startDovresti vedere:
demo-start:
Process: demo-helper
Location: /etc/lumen/startup/demo-start
Enabled: yesIndica demo-helper e riporta Enabled: yes. Disabilita questa voce:
seclab startup demo-start disableDovresti vedere:
demo-start: disabled. Running processes are unchanged.Controlla di nuovo:
seclab inspect startups demo-startCerca queste righe:
demo-start:
Enabled: noLa voce è disabilitata, ma un processo in esecuzione non cambia. Per la pulizia occorre intervenire sia sul programma attualmente in esecuzione sia sull'impostazione che potrebbe riavviarlo. Mantieni abilitate le voci di avvio per le attività approvate.
Sfida
FacileTicket di Sam, responsabile IT
Esamina le voci di avvio su design-laptop e support-laptop. Disabilita le voci che avvierebbero di nuovo i due programmi indesiderati. Mantieni abilitate le voci di avvio del browser e del backup, così il normale funzionamento riprenderà dopo un riavvio. Entrambi i backup approvati devono continuare a funzionare anche adesso.
Provalo tu
Tutte le lezioni di Indagare su una violazione
2Fai durare la pulizia
Arresta il programmaMetti il file in quarantenaVoci di avvioVerifica il riavvioIl programma che ritorna