ファイルを隔離する

プロセスを停止しても、ファイルはそのまま残ります。そのファイルを再び起動すると、プログラムが再び実行される可能性があります。

隔離すると、調査のためにファイルを保持しながら、そのファイルから新たに起動できないようにします。練習用コンピューターで次を実行してください。

seclab artifact demo-helper quarantine

次のように表示されます。

demo-helper: quarantined; already running processes keep running.

警告に注目してください。すでに実行中のプロセスはそのまま実行されます。隔離によって次回の起動はブロックされますが、現在実行中のプロセスは停止しません。プロセスも停止しましょう。

seclab process demo-helper stop

次のように表示されます。

demo-helper: stopped.

ファイルの状態を確認しましょう。

seclab inspect artifacts demo-helper

次の行を探してください。

demo-helper:
  Quarantined: yes

「Quarantined」は「yes」となっています。ファイルとその内容は引き続き調査できますが、隔離されている間は起動できません。