Coloque o arquivo em quarentena

Interromper um processo mantém o arquivo no lugar. Se alguém iniciar esse arquivo novamente, o programa poderá voltar.

Colocar em quarentena mantém um arquivo disponível para investigação e, ao mesmo tempo, impede que ele seja iniciado novamente. No computador de prática:

seclab artifact demo-helper quarantine

Você deverá ver:

demo-helper: quarantined; already running processes keep running.

Observe o aviso: um processo que já está em execução continua rodando. A quarentena bloqueia a próxima inicialização; ela não interrompe o processo atual. Interrompa-o também:

seclab process demo-helper stop

Você deverá ver:

demo-helper: stopped.

Verifique o estado do arquivo:

seclab inspect artifacts demo-helper

Procure estas linhas:

demo-helper:
  Quarantined: yes

Quarantined indica yes. O arquivo e seu conteúdo continuam disponíveis para inspeção, mas ele não poderá mais ser iniciado enquanto permanecer em quarentena.