타임라인 만들기
Coddy Cybersecurity 여정의 침해 사고 조사 섹션에 포함된 레슨. 20개 중 11번째.
타임라인은 사고가 어떻게 전개되었는지 설명하는 데 도움이 됩니다. 이벤트를 시간순으로 읽고, 정리 작업 전에 일어난 일과 그 후에 일어난 일을 구분하세요.
실습 컴퓨터의 로그에는 전송 전에 프로그램이 시작된 것으로 표시되어 있습니다.
seclab logs다음 줄을 찾으세요.
2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv프로세스 기록은 demo-helper와 해당 프로세스의 부모인 demo-browser를 연결합니다. 두 기록을 함께 보면 간단한 설명을 뒷받침할 수 있습니다. 브라우저가 도우미 프로그램을 실행한 다음, 도우미 프로그램의 연결을 통해 파일이 전송되었습니다.
추측을 발견 사실로 바꾸지 마세요. 기록에 연결만 표시되어 있다면 데이터가 외부로 나갔다고 주장할 수 없습니다. 이 예시의 시작 프로세스를 기록하세요.
seclab answer first demo-browser다음과 같이 표시되어야 합니다.
Recorded your answer to first.이전 증거는 컴퓨터 이름 뒤에 evidence를 붙인 이름의 저장 파일로 나중 티켓에 전달됩니다. 이렇게 하면 정리 작업 후에도 원본 기록을 사용할 수 있습니다.
챌린지
쉬움Sam IT 책임자의 티켓
로스터리 사고 타임라인의 시작 부분을 준비하세요. 저장된 증거와 로그를 사용해 원치 않는 도우미를 실행한 부모 프로세스를 식별하세요. 해당 부모 프로세스를 first로 기록하세요. 조사하는 동안 정리된 도우미는 중지된 상태로 두고 승인된 백업은 계속 작동하도록 하세요.
직접 해보기
터미널