親プロセス
CoddyのCybersecurityジャーニー「侵害の調査」セクションの一部。レッスン 2/20。
不要なプログラムを見つけることは、始まりにすぎません。それがどのように起動したのかも知りたいところです。親プロセスとは、別のプログラムを起動したプログラムのことです。
この練習用の記録で親プロセスを確認しましょう。
seclab inspect processes demo-helper次の行を探してください。
demo-helper:
Parent process: demo-browserここでは、demo-browser が demo-helper を起動しました。結論を出す前に、ブラウザーの記録を確認しましょう。
seclab inspect processes demo-browser次のように表示されます。
demo-browser:
Machine: practice-laptop
User: maya
File: demo-browser
Parent process: -
Running: yes
Command: /opt/lumen/demo-browser承認済みのブラウザーが、安全でないダウンロードを起動することがあります。それは、ブラウザー自体を削除する必要があるという意味ではありません。このつながりを手がかりに、次に調査すべきもの、つまりその人が開いたものやダウンロードしたものを見つけられます。
調査結果を記録するときは、親プロセスの名前を使いましょう。
seclab answer parent demo-browser次のように表示されます。
Recorded your answer to parent.
チャレンジ
簡単IT責任者Samからのチケット
design-laptopの調査を続けてください。parcel-cacheに接続しているヘルパーを起動したプログラムを特定し、その名前をparentとして記録してください。両方のプログラムを今は実行したままにして、証拠に両者の関係が示されるようにし、承認済みのバックアップも機能する状態に保ってください。
自分で試してみよう
ターミナル