Salve as evidências
Parte da seção Investigando uma violação de segurança do Journey de Cybersecurity da Coddy. Lição 4 de 20.
Parar um programa muda o que você consegue ver. Antes de limpar um computador, salve as evidências que explicam o que estava acontecendo.
Neste laboratório, preserve salva um instantâneo dos arquivos, processos, entradas de inicialização, conexões e registros do computador. Ele mantém o estado em execução como estava naquele momento:
seclab preserve practice-laptopVocê deverá ver:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4O longo valor SHA-256 identifica esse instantâneo salvo. Leia as evidências salvas para verificar se a cópia existe:
seclab inspect evidenceProcure estas linhas:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Preservar evidências não interrompe um ataque. Isso salva um registro para que você possa agir sem perder a imagem original. Ler registros não adianta o relógio do laboratório; fazer uma alteração, sim. Em chamados posteriores, talvez você precise salvar evidências e então agir prontamente.
Desafio
FácilSolicitação de Sam, responsável por TI
Salve as evidências de design-laptop enquanto o helper ainda estiver em execução. Sam precisa dos registros originais do processo e da conexão antes de aprovar a limpeza. Verifique se as evidências existem e mantenha o backup aprovado e o serviço de checkout da Lumen funcionando.
Experimente você mesmo
Todas as lições de Investigando uma violação de segurança
1Siga as evidências
Executando programasProcessos paiImpressões digitais de arquivosSalve as evidênciasOutro relatório