Записи автозагрузки

Некоторые программы настроены на запуск при перезагрузке компьютера. Злоумышленник может воспользоваться этим, чтобы снова запустить нежелательную программу. Это один из видов закрепления: способ оставаться на компьютере после первого проникновения.

Проверьте запись автозапуска на учебном компьютере:

seclab inspect startups demo-start

Вы должны увидеть:

demo-start:
  Process: demo-helper
  Location: /etc/lumen/startup/demo-start
  Enabled: yes

В ней указана программа demo-helper и написано Enabled: yes. Отключите эту запись:

seclab startup demo-start disable

Вы должны увидеть:

demo-start: disabled. Running processes are unchanged.

Проверьте ещё раз:

seclab inspect startups demo-start

Найдите следующие строки:

demo-start:
  Enabled: no

Запись отключена, но работающий процесс не изменился. При очистке нужно учесть и программу, которая работает сейчас, и настройку, которая может запустить её снова. Не отключайте записи автозапуска, необходимые для одобренных задач.