証拠を保存する

プログラムを停止すると、確認できる内容が変わります。コンピューターをクリーンアップする前に、何が起きていたかを説明する証拠を保存しましょう。

このラボでは、preserveを使うと、コンピューターのファイル、プロセス、スタートアップ項目、接続、ログのスナップショットが保存されます。その時点での実行状態が維持されます。

seclab preserve practice-laptop

次のように表示されます。

Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4

長いSHA-256値は、保存されたスナップショットを識別します。保存された証拠を読み取り、コピーが存在することを確認しましょう。

seclab inspect evidence

次の行を探してください。

practice-laptop:
  SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4

証拠を保存しても、攻撃が止まるわけではありません。元の状況を失わずに対処できるよう、記録を保存します。記録を読むだけならラボの時計は進みませんが、変更を加えると進みます。後のチケットでは、証拠を保存したうえで速やかに対処する必要があるかもしれません。