拡散を追跡する

最初のコンピューターを封じ込めても、すでに別のコンピューターに到達したプログラムは停止しません。影響を受けた各コンピューターには、それぞれ独自のプロセスと接続がある場合があります。

接続記録でソースとプロセスを確認します。

seclab inspect connections demo-upload

次の行を探します。

demo-upload:
  Source: practice-laptop
  Process: demo-helper

これらのフィールドから、このアクティビティが現在どこで発生しているかがわかります。別のコンピューターへの古いリンクだけでは、現在のソースを封じ込めるには不十分です。

新しい証拠が示す先を追ってください。別のコンピューターでもコピーが実行中なら、そのコピーにも対処してください。2台目のコンピューターを調査している間も、最初のコンピューターは封じ込めたままにしてください。