Processos pai
Parte da seção Investigando uma violação de segurança do Journey de Cybersecurity da Coddy. Lição 2 de 20.
Encontrar um programa indesejado é apenas o começo. Você também quer saber como ele foi iniciado. Um processo pai é o programa que iniciou outro programa.
Veja o processo pai neste registro de prática:
seclab inspect processes demo-helperProcure estas linhas:
demo-helper:
Parent process: demo-browserAqui, demo-browser iniciou demo-helper. Leia o registro do navegador antes de tirar uma conclusão:
seclab inspect processes demo-browserVocê deverá ver:
demo-browser:
Machine: practice-laptop
User: maya
File: demo-browser
Parent process: -
Running: yes
Command: /opt/lumen/demo-browserUm navegador aprovado pode iniciar um download inseguro. Isso não significa que o próprio navegador precise ser removido. Essa relação dá a você um caminho para investigar a seguir: o que a pessoa abriu ou baixou.
Use o nome do processo pai ao registrar sua descoberta:
seclab answer parent demo-browserVocê deverá ver:
Recorded your answer to parent.
Desafio
FácilTicket de Sam, líder de TI
Continue a investigação do design-laptop. Identifique o programa que iniciou o auxiliar que está se comunicando com parcel-cache e registre o nome dele como parent. Por enquanto, mantenha os dois programas em execução para que as evidências ainda mostrem a relação entre eles e mantenha o backup aprovado funcionando.
Experimente você mesmo
Todas as lições de Investigando uma violação de segurança
1Siga as evidências
Executando programasProcessos paiImpressões digitais de arquivosSalve as evidênciasOutro relatório