Топ-10 артефактов Linux для расследования инцидентов
Лада Антипова из команды киберкриминалистов Angara SOC подготовила новый материал о полезных инструментах при расследовании хакерских атак. Материал с удовольствием опубликовали коллеги из Positive Technologies на своих ресурсах, поэтому мы можем сделать его доступным и для нашей аудитории.
Несмотря на то, что Windows остается самой распространенной ОС, о чем знают в том числе атакующие, оставлять без внимания другие системы нельзя, а уж тем более Linux (ладно-ладно, GNU/Linux). Сегодня российские компании все чаще пользуются Linux из соображений импортозамещения, но эта ОС по-прежнему более распространена именно как серверное решение.
А теперь представьте ситуацию: вы работаете на Linux-машине, и вдруг что-то явно идет не так. Уровень нагрузки на процессор резко вырос, начались обращения на неизвестные ресурсы или пользователь www-data неожиданно оказался в группе wheel. Что делать?
Составляем список команд
У вас есть два пути: либо работать с живой системой, либо делать так называемый пост-анализ. Начнем с первого. Я приведу свой список избранных и наиболее часто используемых команд. Универсального порядка здесь нет: вы, как ИБ-специалист, расставляете приоритеты самостоятельно.
Итак, команды:
Помимо базовых команд на просмотр текстовых файлов (а все мы знаем, что в Linux, по сути, все есть файл) типа cat ~/.bash_history, можно использовать более продвинутые варианты:
tail -n 15 /var/log/ по умолчанию выводит 10 строк, но при помощи параметра n их количество можно изменять.
tail -f -s 5 /var/log/ используется для отслеживания появления новых строк. Это аналог команды watch для тех же журналов. Может быть полезна для отслеживания определенных событий в реальном времени.
Читать далееИсточник: Хабрахабр
Похожие новости
- Павел Сабуров: Как новичок на Ozon за месяц обогнал опытных продавцов мебели
- Absolute Zero Reasoner: ИИ научился программированию без входных данных — и это может поменять всё
- Мой начальник хочет no-code в проде. Я против — и готов уйти
- [Перевод] Как я «случайно» получил root-доступ к платёжному терминалу
- Программируя с использованием AI ты продаешь душу дьяволу
- Spark_news: Более 20% стартапов-«единорогов» с оценкой выше $1 млрд могут обанкротиться — Accel
- Наше расследование: ищем отечественные микросхемы в «отечественных» счетчиках электроэнергии. Часть 4 и снова блогер…
- Чудо-курсы с обещанием быстрых результатов: 200 лет рекламы, которая не меняется
- DarkGaboon: яд кибергадюки в цифровых жилах российских компаний
- Агентная экономика. Дайджест за неделю