Lưu bằng chứng
Thuộc phần Điều tra vụ xâm nhập trong hành trình Cybersecurity của Coddy. Bài học 4 trên 20.
Việc dừng một chương trình sẽ làm thay đổi những gì bạn có thể quan sát. Trước khi dọn dẹp máy tính, hãy lưu bằng chứng giúp giải thích những gì đã xảy ra.
Trong bài thực hành này, preserve lưu ảnh chụp nhanh các tệp, tiến trình, mục khởi động, kết nối và nhật ký trên máy tính. Lệnh này lưu lại trạng thái đang chạy tại thời điểm đó:
seclab preserve practice-laptopBạn sẽ thấy:
Preserved evidence for practice-laptop. SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Giá trị SHA-256 dài này giúp nhận diện ảnh chụp nhanh đã lưu. Hãy đọc bằng chứng đã lưu để kiểm tra bản sao có tồn tại:
seclab inspect evidenceTìm những dòng sau:
practice-laptop:
SHA-256: 6df009810bd29a3bb0c95acdd17e343245ff236e94ca684396b71b562a3476b4Lưu bằng chứng không ngăn chặn cuộc tấn công. Việc này lưu lại hồ sơ để bạn có thể hành động mà không làm mất hiện trạng ban đầu. Đọc hồ sơ không làm thời gian trong bài thực hành trôi qua, nhưng thay đổi thì có. Các phiếu yêu cầu sau này có thể cần bạn lưu bằng chứng rồi nhanh chóng hành động.
Thử thách
DễPhiếu yêu cầu từ Sam, trưởng nhóm CNTT
Lưu bằng chứng từ design-laptop khi helper vẫn đang chạy. Sam cần hồ sơ gốc về tiến trình và kết nối trước khi phê duyệt việc dọn dẹp. Kiểm tra để đảm bảo bằng chứng tồn tại, đồng thời duy trì hoạt động của bản sao lưu đã được phê duyệt và dịch vụ thanh toán của Lumen.
Tự làm thử
Tự kiểm traBài học này có một bài trắc nghiệm ngắn. Bắt đầu bài học để trả lời và theo dõi tiến độ.
Tất cả bài học trong Điều tra vụ xâm nhập
2Giữ cho việc dọn dẹp có hiệu quả lâu dài
Dừng chương trìnhCách ly tệpMục khởi độngKiểm tra khởi động lạiChương trình quay trở lại