Проследить распространение
Часть раздела Предотвращение распространения атаки путешествия по Cybersecurity на Coddy. Урок 13 из 20.
Изоляция первого компьютера не остановит программу, которая уже добралась до другого компьютера. На каждом затронутом компьютере могут быть собственные процесс и соединение.
Прочитайте источник и процесс в записи о соединении:
seclab inspect connections demo-uploadНайдите следующие строки:
demo-upload:
Source: practice-laptop
Process: demo-helperЭти поля показывают, где сейчас происходит эта активность. Старой ссылки на другой компьютер недостаточно, чтобы изолировать текущий источник.
Следуйте за новыми данными, куда бы они ни вели. Если на другом компьютере запущена собственная копия, разберитесь и с ней. Оставьте исходный компьютер изолированным, пока расследуете ситуацию со вторым.
Задание
ЛегкоЗаявка от Сэма, руководителя ИТ-отдела
Новая запись показывает, что программа добралась до print-relay, прежде чем west-laptop был изолирован. Найди внешнее соединение ретранслятора и останови отвечающий за него процесс до того, как следующая загрузка завершится успешно. Оставь west-laptop изолированным, а checkout — работающим. Запиши второй затронутый компьютер как host.
Попробуйте сами
Все уроки раздела Предотвращение распространения атаки
2Закройте нежелательный маршрут
Правила назначенияПорядок правилПравила исходящего трафикаРазрешите необходимые действияДва нежелательных маршрута3Изоляция нескольких компьютеров
Изолировать компьютерРаскрытый парольПроследить распространениеОбеспечить работу клиентовДва активных компьютера