再起動をテストする
CoddyのCybersecurityジャーニー「侵害の調査」セクションの一部。レッスン 9/20。
クリーンアップは、コンピューターを再起動するまでは完了したように見えることがあります。不要なプログラムが停止したままで、承認されたプログラムが再び動作することを確認しましょう。
練習用ヘルパーはすでに停止され、隔離され、スタートアップから削除されているとします。そのコンピューターを再起動します。
seclab host practice-laptop restart次のように表示されます。
practice-laptop: restart.ヘルパーを確認します。
seclab inspect processes demo-helper次の行を探します。
demo-helper:
Running: no停止したままです。新たな変更を加えずに、もう一つの区間を監視するには、wait を使います。
seclab wait次のように表示されます。
Watching the next interval.次に、接続記録を確認します。
seclab inspect connections demo-upload次の行を探します。
demo-upload:
Allowed: no
Reason: process_stopped送信元プロセスが停止しているため、経路はブロックされています。再起動すればクリーンアップが維持されたことを確認できますが、コンピューターで承認された作業も引き続き実行されることを確認してください。
チャレンジ
簡単ITリードのSamからのチケット
再起動後、クリーンアップ済みのsupport-laptopをテストしてください。次の接続試行が行われたときも、不要なプログラムが停止したままでなければなりません。そのファイルは隔離したままにし、スタートアップ項目は無効のままにしてください。承認済みのバックアップが引き続き機能すること、また古い接続を通じて新たな顧客データが外部に送信されないことを確認してください。
自分で試してみよう
ターミナル