Сохраните улики
Часть раздела Расследование утечки данных путешествия по Cybersecurity на Coddy. Урок 4 из 20.
Остановка программы меняет то, что вы можете видеть. Прежде чем очистить компьютер, сохраните свидетельства, объясняющие, что происходило.
В этой лабораторной работе команда preserve сохраняет снимок файлов, процессов, записей автозапуска, соединений и журналов компьютера. Она сохраняет состояние системы на тот момент:
seclab preserve practice-laptopВы должны увидеть:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Длинное значение SHA-256 идентифицирует этот сохранённый снимок. Прочитайте сохранённые свидетельства, чтобы проверить, что копия существует:
seclab inspect evidenceНайдите эти строки:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Сохранение свидетельств не останавливает атаку. Оно сохраняет запись, чтобы вы могли действовать, не теряя исходной картины происходящего. Чтение записей не продвигает часы лабораторной работы; внесение изменений — продвигает. В последующих заданиях может потребоваться сохранить свидетельства, а затем быстро приступить к действиям.
Задание
ЛегкоЗаявка от Сэма, руководителя ИТ-отдела
Сохраните свидетельства с design-laptop, пока вспомогательная программа ещё работает. Сэму нужны записи об исходном процессе и соединениях до одобрения очистки. Убедитесь, что свидетельства существуют, и обеспечьте работу одобренной резервной копии и службы оформления заказов Lumen.
Попробуйте сами
Все уроки раздела Расследование утечки данных
1Следуйте за уликами
Запуск программРодительские процессыОтпечатки файловСохраните уликиЕщё один отчёт4Подтвердите восстановление
Проверьте штатную работуСледите за повторениемЗапишите результатыВерните в эксплуатациюКладовая2Сохраняем результат очистки
Остановить программуПоместить файл в карантинЗаписи автозагрузкиПроверить перезапускВозвращающаяся программа