Ułóż chronologię wydarzeń

Oś czasu pomaga wyjaśnić przebieg incydentu. Czytaj zdarzenia w kolejności chronologicznej i oddziel to, co wydarzyło się przed czyszczeniem, od tego, co wydarzyło się po nim.

Dzienniki komputera ćwiczeniowego pokazują program uruchomiony przed transferem:

seclab logs

Poszukaj tych wierszy:

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

Rekord procesu łączy demo-helper z procesem nadrzędnym, demo-browser. Razem rekordy pozwalają na krótkie wyjaśnienie: przeglądarka uruchomiła program pomocniczy, a następnie połączenie programu pomocniczego przesłało plik.

Nie przedstawiaj przypuszczenia jako ustalenia. Jeśli rekordy pokazują tylko połączenie, nie możesz twierdzić, że dane opuściły komputer. Zapisz proces uruchomiony jako pierwszy w tym przykładzie:

seclab answer first demo-browser

Powinien pojawić się komunikat:

Recorded your answer to first.

Wcześniejsze dowody są przenoszone do późniejszych zgłoszeń jako zapisany plik o nazwie evidence, po której następuje nazwa komputera. Dzięki temu oryginalny rekord pozostaje dostępny po czyszczeniu.