ファイルの指紋

CoddyのCybersecurityジャーニー「侵害の調査」セクションの一部。レッスン 3/20。

誰かが内容を変更しても、ファイル名はそのままの場合があります。フィンガープリントを使うと、名前を信用するのではなく、内容を比較できます。

LumenはSHA-256を使ってフィンガープリントを計算します。自分で計算する必要はありません。練習用ヘルパーが使用するファイルを調べましょう。

seclab inspect artifacts demo-helper

次のように表示されます。

demo-helper:
  Machine: practice-laptop
  Path: /opt/lumen/demo-helper
  Contents: destination=parcel-cache.test
source=training-records.csv
  Last changed: 2026-11-01 08:57:00
  Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
  Quarantined: no
  SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7

SHA-256は、ファイルの現在のフィンガープリントです。Expected SHA-256は、承認済みバージョンのフィンガープリントです。この2つの値は異なるため、このファイルは変更されています。ファイルの内容には、外部の宛先も記載されています。

フィンガープリントが異なる場合は調査する理由になりますが、攻撃の証拠ではありません。通常の更新でも変わります。判断する前に、変更記録、ファイルの内容、プログラムの接続先を比較しましょう。

長いフィンガープリントをコピーするのではなく、ファイルのIDを記録しましょう。