Rivalry2

HTML Diff

0 added 0 removed

Original 2026-01-01

Modified 2026-03-10

1 Теги: информационная безопасность, линукс, безопасность linux-систем, администрирование linux, дампы, образы

2 Друзья, сегодня разберём некоторые инструменты для сбора артефактов со скомпрометированных Linux-систем и создадим дампы (образы) жёсткого диска, оперативной памяти, сетевого стека. В ход пойдут только самые известные, проверенные и простые для использования утилиты.

3 Ну, что погнали!

4 <h2>Общий чек-лист проверки</h2>

5 Собственно говоря, для поиска и сбора криминалистических доказательств мы для начала создадим образы (дампы) следующих объектов наших систем: -оперативная память(системные и пользовательские процессы, демоны, возможно, запущенный вредоносный код и т. д.); -жёсткий диск(посекторная копия HDD, включающая уделённые партиции, неразмеченные области диска, потёртые файлы, скрытые файлы и директории и т. д.); -сетевой стек(поднятые коннекты, открытые порты, "неизвестные" сервисы на портах, паразитный трафик).

6 В рамках самой операционной системы мы будем обращать особое внимание в первую очередь на: - список пользователей, группы, привилегии; - запущенные от имени root процессы; - задачи, запускаемые по расписанию (cron jobs); - файлы с установленным битом<a>SUID и SGID</a>; - состав файла<a>/etc/sudoers</a>; - скрытые файлы и директории; - файлы, открытые на чтение в системе; - сетевые интерфейсы, соединения, порты, таблицу маршрутизации; - логи iptables,<a>fail2ban</a>(Reports, Alarms, Alerts); - конфигурацию<a>/etc/ssh/sshd_config</a>; - логи демона Syslog на<a>типичные алерты</a>; - состояние<a>SELinux</a>; - список загруженных модулей ядра.

7 <h2>Снимаем образ HDD-диска</h2>

8 Посекторную копию жёсткого диска можно вполне снять, не прибегая к дополнительным утилитам. Мы будем использовать старую и проверенную в работе нативную тулзу<a>dd</a>. Она позволяет созвать точные копии "bit-by-bit" целых дисков, отдельных партиций и даже просто файлов.

9 Но первоначально запросим у системы полный список партиций с помощью команды<a>fdisk</a>:

10 Базовый синтаксис вызова dd выглядит так:

11 dd if=<source> of=<destination> bs=<byte size>К примеру, для создания копии HDD с размером кластера 512 байт:

12 dd if=/dev/sda1 of=/dev/sdb1 bs=512В процессе копирования HDD могут быть повреждённые сектора. Чтобы программа не запнулась об них, остановив свою работу, необходимо добавить дополнительный ключnoerror:

13 dd if=/dev/sda1 of=/dev/sdb1 bs=512 noerrorОднако мировые best practices рекомендуют нам использовать усовершенствованный вариант предыдущей утилиты под названием<a>dcfldd</a>. Эта тулза разработана в компьютерной судебной лаборатории<a>DCFL</a>(Defense Computer Forensics Laboratory) и имеет ряд опций, специально заточенных для снятия образа в целях криминалистического анализа. Так, под капотом уdcflddимеется встроенная возможность хеширования (hashing) копируемых данных и функция проверки целостности данных (аутентификации). Помимо этого, отображается прогресс создания дампа, действия заносятся в лог-файл, а контрольные суммы (<a>MD5</a>) сохраняются в отдельный файл.

14 Пример выполнения команды:

15 dcfldd if=/dev/sda1 hash=md5 of=/media/forensic_disk_image.dd bs=512 noerror<h2>Делаем дамп оперативной памяти (RAM)</h2>

16 Следующим шагом после снятия дампа HDD мы приступаем к формированию образа оперативной памяти. И, как в случае с жёстким диском, существует несколько способов решить эту задачу. Среди вариантов можно выбрать использование нативного модуля ядра с названием<a>Linux Memory Extractor</a>(LiME), скрипт<a>Linux Memory Grabber</a>, который не требует установки и который можно запускать, к примеру, с USB-носителя, и связку утилит<a>lmap и pmem</a>, являющихся частью пакетаRekall, которые я буду дальше использовать.

17 Пара слов о<a>Rekall</a>. Это отдельная ветка развития известного фреймворка<a>Volatility Framework</a>, написанная на Python и заточенная под особенности сбора данных из под LiveCD форензик-дистрибутивов.

18 Итак, чтобы подготовить тулзу к работе, переходим в каталог ../rekall/tools/linux/:

19 cd rekall/tools/linux/ makeГрузим драйвер ядраpmem.koв оперативную память:

20 Проверяем инициализацию драйвера следующей командой:

21 После этого драйвер создаёт файл-контейнер под наш будущий образ RAM:

22 Теперь с помощью всё той же утилитыddсоздаём сам образ оперативной памяти системы:

23 dd if=/dev/pmem of=forensic_RAM_image.rawНу и после завершения работы выгружаем драйвер:

24 Ну, вот дело сделано!

25 Но это ещё не всё, во второй части статьи поговорим про сетевой трафик, смонтируем образы в исследовательскую систему и выполним анализ образа жёсткого диска. Следите за новостями!