Родительские процессы

Найти нежелательную программу — это только начало. Нужно также выяснить, как она запустилась. Родительский процесс — это программа, которая запустила другую программу.

Посмотрите на родительский процесс в этой тренировочной записи:

seclab inspect processes demo-helper

Найдите следующие строки:

demo-helper:
  Parent process: demo-browser

Здесь demo-browser запустил demo-helper. Прежде чем делать вывод, изучите запись браузера:

seclab inspect processes demo-browser

Вы должны увидеть:

demo-browser:
  Machine: practice-laptop
  User: maya
  File: demo-browser
  Parent process: -
  Running: yes
  Command: /opt/lumen/demo-browser

Одобренный браузер может запустить небезопасную загрузку. Это не значит, что сам браузер нужно удалить. Эта связь подсказывает, что исследовать дальше: что человек открыл или скачал.

Записывая результат, укажите имя родительского процесса:

seclab answer parent demo-browser

Вы должны увидеть:

Recorded your answer to parent.