Encontre outra cópia
Parte da seção Investigando uma violação de segurança do Journey de Cybersecurity da Coddy. Lição 13 de 20.
Renomear um arquivo não altera o que há dentro dele. Um programa indesejado pode aparecer em outro computador com um nome diferente.
Inspecione a impressão digital do auxiliar de prática:
seclab inspect artifacts demo-helperProcure estas linhas:
demo-helper:
Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7Agora inspecione uma cópia com nome diferente:
seclab inspect artifacts spare-toolProcure estas linhas:
spare-tool:
Expected SHA-256: -
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7Os valores SHA-256 atuais coincidem porque o conteúdo dos arquivos é idêntico. Isso permite encontrar outra cópia sem depender do nome dela.
Uma impressão digital coincidente identifica o mesmo conteúdo. Você ainda precisa verificar onde essa cópia está em execução e se ela tem uma entrada de inicialização própria. Limpar um computador não limpa outro.
Desafio
FácilChamado de Sam, líder de TI
Um arquivo de roastery-pc foi copiado para label-server com outro nome. Encontre o arquivo correspondente pela impressão digital atual e registre seu ID como copy. Interrompa o processo antes que o upload seja concluído, coloque o arquivo em quarentena e desative sua entrada de inicialização. Mantenha o checkout funcionando.
Experimente você mesmo
Todas as lições de Investigando uma violação de segurança
3Descubra o que aconteceu
Monte uma linha do tempoOs dados saíram?Encontre outra cópiaRestaure um programa seguroO relatório do contratado