タイムラインを作成する

タイムラインは、インシデントがどのように展開したかを説明するのに役立ちます。イベントを時系列順に読み、クリーンアップ前に起きたことと、その後に起きたことを分けましょう。

練習用コンピューターのログには、転送の前にプログラムが起動したことが示されています。

seclab logs

次の行を探してください。

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

プロセスの記録から、demo-helper とその親プロセスである demo-browser の関係が分かります。これらの記録を合わせると、ブラウザーがヘルパーを起動し、その後、ヘルパーの接続によってファイルが転送されたという簡潔な説明ができます。

推測を事実として扱わないでください。記録に接続しか示されていない場合、データが外部に送信されたとは主張できません。この例の開始プロセスを記録しましょう。

seclab answer first demo-browser

次のように表示されます。

Recorded your answer to first.

以前の証拠は、コンピューター名に evidence を続けた名前の保存ファイルとして、後のチケットに引き継がれます。これにより、クリーンアップ後も元の記録を利用できます。