Zapisz dowody
Część sekcji Badanie naruszenia bezpieczeństwa ścieżki Cybersecurity w Coddy. Lekcja 4 z 20.
Zatrzymanie programu zmienia to, co możesz zobaczyć. Zanim posprzątasz komputer, zapisz dowody wyjaśniające, co się działo.
W tym laboratorium polecenie preserve zapisuje migawkę plików, procesów, wpisów autostartu, połączeń i dzienników komputera. Zachowuje stan działania taki, jaki był w danym momencie:
seclab preserve practice-laptopPowinien pojawić się taki komunikat:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Długa wartość SHA-256 identyfikuje zapisaną migawkę. Odczytaj zapisane dowody, aby sprawdzić, czy kopia istnieje:
seclab inspect evidencePoszukaj tych wierszy:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Zachowanie dowodów nie zatrzymuje ataku. Zapisuje ono rejestr, dzięki czemu możesz podjąć działania bez utraty pierwotnego obrazu sytuacji. Odczytywanie rejestrów nie przesuwa zegara laboratorium; wprowadzenie zmiany już tak. W późniejszych zgłoszeniach może być konieczne zapisanie dowodów, a następnie szybkie działanie.
Wyzwanie
ŁatwyZgłoszenie od Sama, kierownika IT
Zapisz dowody z design-laptop, gdy pomocnik nadal działa. Sam potrzebuje oryginalnych zapisów procesu i połączeń przed zatwierdzeniem czyszczenia. Sprawdź, czy dowody istnieją, i zadbaj o to, by zatwierdzona kopia zapasowa oraz usługa realizacji zamówień Lumen nadal działały.
Spróbuj swoich sił
Wszystkie lekcje w sekcji Badanie naruszenia bezpieczeństwa
1Podążaj za dowodami
Uruchamianie programówProcesy nadrzędneOdciski plikówZapisz dowodyKolejny raport4Potwierdź przywrócenie sprawności
Sprawdź normalne działanieObserwuj, czy problem nie wracaZapisz ustaleniaPrzywróć do eksploatacjiMagazyn