Impressões digitais de arquivos
Parte da seção Investigando uma violação de segurança do Journey de Cybersecurity da Coddy. Lição 3 de 20.
Um arquivo pode manter o mesmo nome mesmo depois que alguém altera seu conteúdo. Uma impressão digital permite comparar o conteúdo em vez de confiar no nome.
O Lumen usa SHA-256 para calcular uma impressão digital. Você não precisa calculá-la por conta própria. Inspecione o arquivo usado pelo auxiliar de prática:
seclab inspect artifacts demo-helperVocê deverá ver:
demo-helper:
Machine: practice-laptop
Path: /opt/lumen/demo-helper
Contents: destination=parcel-cache.test
source=training-records.csv
Last changed: 2026-11-01 08:57:00
Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
Quarantined: no
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7SHA-256 é a impressão digital atual do arquivo. Expected SHA-256 é a impressão digital da versão aprovada. Esses dois valores são diferentes, então este arquivo foi alterado. O conteúdo dele também indica um destino externo.
Uma impressão digital diferente é um motivo para investigar, não uma prova de ataque. Uma atualização normal também a altera. Compare o registro de alterações, o conteúdo do arquivo e as conexões do programa antes de decidir.
Registre o ID do arquivo, em vez de copiar sua longa impressão digital:
seclab answer file demo-helperVocê deverá ver:
Recorded your answer to file.
Desafio
FácilChamado de Sam, líder de TI
Verifique o arquivo por trás da conexão design-laptop. Compare seu conteúdo e sua impressão digital com a referência aprovada e, em seguida, registre o ID do arquivo como file. Mantenha o arquivo disponível para a coleta de evidências e deixe o backup aprovado em execução.
Experimente você mesmo
Todas as lições de Investigando uma violação de segurança
1Siga as evidências
Executando programasProcessos paiImpressões digitais de arquivosSalve as evidênciasOutro relatório