Rivalry2

HTML Diff

0 added 0 removed

Original 2026-01-01

Modified 2026-03-10

1 В<a>предыдущей части статьи</a>мы сформировали общий чек-лист проверки, сняли образ HDD-диска и сделали дамп оперативной памяти (RAM). Теперь давайте продолжим.

2 <h2>Сетевой трафик на анализ</h2>

3 Касательно снятия дампа сетевого трафика, в ходу несколько утилит, прежде всего, это консольная<a>tcpdump</a>, классика жанра<a>Wireshark</a>и опенсорсный фреймворк<a>XPLICO</a>, хотя последний больше используется всё-таки для последующего анализа данных, чем для их первоначального сбора.

4 Начнём сtcpdump, базовый вызов команды выглядит следующим образом:

5 А вот некоторые наиболее важные опции:

6 -i интерфейс // задаёт интерфейс, с которого необходимо анализировать трафик -n // отключает преобразование IP в доменные имена -e // включает вывод данных канального уровня (например, MAC-адреса) -v // вывод дополнительной информации (TTL, опции IP) -w имя_файла // задаёт имя файла, в который сохранять собранную информацию (дамп) -r имя_файла // чтение (загрузка) дампа из заданного файла -q // переводит tcpdump в "бесшумный режим", в котором пакет анализируется на транспортном уровне (протоколы TCP, UDP, ICMP), а не на сетевом (протокол IP)Дампим весь входящий трафик из сети интернет на наш сервер:

7 tcpdump -s 0 -i eth0 -n -nn -ttt dst host <ip-адрес нашего хоста> -w forensic_cap.pcapПример создания дампа сетевого трафика по протоколам ftp или ssh на интерфейсе eth0:

8 tcpdump -s 0 port ftp or ssh -i eth0 -w forensic_cap.pcapДампим вообще всё, что есть в сети на интерфейсе eth0:

9 tcpdump -w forensic_cap -i eth0Ещё одна очень весьма годная утилита для наших целей - это<a>TCPflow</a>. По сути, более продвинутый вариант tcpdump, поддерживающий ещё большее количество параметров фильтра и возможность восстанавливать "сломанные" пакеты.

10 Если tcpflow по умолчанию нет в системе, то для начала устанавливаем её:

11 apt install tcpflow // для Debian-based дистрибутивов yum install tcpflow // для RedHat-based дистрибутивовДалее базовый синтаксис команды выглядит так:

12 tcpflow [опции] [выражение] [хост]А вот описание опций:

13 -c: только консольная печать (не создавать файлы) -d: уровень отладки; по умолчанию 1 -e: выводить каждый поток чередующимися цветами (синий = клиент-сервер; красный = сервер-клиент; зеленый = неизвестно) -i: сетевой интерфейс для прослушивания -r: чтение пакетов из выходного файла tcpdump -s: удалить непечатаемые символы (изменить на ".")Пример сбора данных из внешней сети до нашего целевого сервера:

14 tcpflow -ce host <ip-адрес нашего хоста>Собираем весь HTTP-трафик в нашей сети:

15 Дамп данных сетевого потока в локальную папку:

16 mkdir tcpflowdata cd tcpflowdata tcpflow host <ip-адрес целевой машины>Теперь в директории /tcpflowdata будут складываться файлы с содержанием сетевых подключений. Всё, что потом нам останется сделать, - подкинуть их для анализа в WireShark, XPLICO или какой-либо другой, к примеру, облачный<a>парсер</a>.

17 <h2>Монтируем образы в исследовательскую систему</h2>

18 Итак, мы создали образы содержимого жёстких дисков и оперативной памяти. Теперь нам нужно их смонтировать на нашей исследовательской машине для начала изучения и поиска артефактов. С образом HDD всё просто, полученный в результате работыddилиdcflddвыходной файл можно легко<a>подмонтировать</a>как новое устройство.

19 Общий синтаксис команды<a>mount</a>будет выглядеть следующий образом:

20 mount -o,ro,noatime,loop,offset= <смещение по началу партации в байтах> <имя файла образа> <точка монтирования>К примеру, чтобы смонтировать ранее снятый дамп HDD, нужно выполнить команду:

21 mount -o,ro,loop forensic_disk_image.dd /mnt/temp/Образ RAM будем открывать с помощью<a>Volatility Framework</a>.

22 Полученный<a>pcap</a>-файл, содержащий информацию о сетевых подключениях, как уже упоминал выше, можно вручную открывать вWiresharkилиXPLICO. Но я предпочитаю пользоваться сервисами с полуавтоматическим парсингом, как то<a>PacketTotal</a>,<a>Pcap Analyzer</a>или платный<a>CloudShark</a>.

23 <h2>Анализ образа жёсткого диска</h2>

24 Поиск файлов с установленными битами SUID and SGID:

25 find / -perm -4000 -type f -xdev -print > suid.txt find / -perm -2000 -type f -xdev -print > sgid.txtСписок последних модифицированных/открытых/созданных файлов в системе:

26 find / -mtime 5 -xdev > modified.txt find / -atime 5 -xdev > accessed.txt find / -ctime 5 -xdev > created.txtВывод списка модифицированных файлов после первичной инсталляции системы, изменённые менеджером пакетов:1.Команда для RPM-based дистрибутивов:

27 2.Команда для Debian-based дистров с помощью debsums:

28 Поиск и просмотр скрытых файлов и директорий:

29 find . -type f -exec ls -i {} \; | sort -nРучной просмотр заданий Cron Jobs:

30 less /etc/cron.hourly less /etc/cron.daily less /etc/cron.weekly less /etc/cron.monthlyНа этом всё! Всем удачи и хорошего настроения!