接続を追う
CoddyのCybersecurityジャーニー「被害の拡大を防ぐ」セクションの一部。レッスン 1/20。
前のセクションでは、不要なプログラムを削除しました。次に、それらのプログラムが他のコンピューターに接続するために使う経路を調べます。先ほどのクリーンアップとアカウント保護は引き続き有効です。
接続記録には、送信元、宛先、ポートが記録されています。この練習例では次のようになります。
seclab inspect connections demo-upload次のように表示されます。
demo-upload:
Source: practice-laptop
Destination: parcel-cache
Port: 443
Process: demo-helper
Credential: -
Group: -
Ip: -
Allowed: yes
Reason: allowed
Rule: 1送信元はpractice-laptopです。宛先はparcel-cacheで、ポート443は接続先のサービスです。プロセス欄には、どのプログラムが接続を開始したかが示されます。
ポート443は一般に安全なウェブ通信に使われますが、だからといって、そのポートへの接続がすべて安全とは限りません。接続しているのは誰か、どこに接続しようとしているのか、その動作が承認されているかを確認してください。
マシン名を使って宛先を記録します。
seclab answer destination parcel-cache次のように表示されます。
Recorded your answer to destination.
チャレンジ
簡単Sam（IT責任者）からのチケット
新たに登録された dispatch-pc が、Lumen のアーカイブだけでなく外部サーバーにも接続しています。外部接続の宛先、ポート、プロセスを特定してください。それらを destination、port、process として記録してください。調査中も、承認済みの dispatch バックアップとチェックアウトが正常に動作するようにしてください。
自分で試してみよう
ターミナル