Analiza unui sistem Linux piratat

 

Analiza unui sistem Linux compromis (piratat) implică mai mulți pași sistematici pentru a înțelege amploarea incidentului, a identifica vectorul de atac și a remedia vulnerabilitățile. Mai jos sunt pașii esențiali:

---

1. Izolarea sistemului

• Scop: Prevenirea răspândirii amenințării către alte sisteme.
• Măsuri:
  • Deconectează sistemul de la rețea (cablu fizic sau dezactivare rețea).
  • Evită oprirea sistemului dacă dorești să efectuezi o analiză forensică completă, deoarece repornirea poate elimina dovezi volatile.

---

2. Capturarea datelor volatile

• Instrumente utile: volatility, liME, sau scripturi de colectare de memorie.
• Colectează date despre:
  • Procesorul curent: ps aux sau top.
  • Conexiuni de rețea: netstat -anp sau ss -anp.
  • Porturi deschise: lsof -i sau nmap.
  • Utilizatori conectați: who, w, last.

---

3. Verificarea modificărilor în sistem

• Analiza fișierelor suspecte:
  • Verifică fișierele recent modificate: find / -mtime -1 -print.
  • Analizează modificările în directoarele critice: /etc, /var/log, /home.
• Integritate: Utilizează unelte ca tripwire sau aide pentru a compara starea actuală cu o referință.

---

4. Examinarea jurnalelor (logs)

• Jurnalele sistemului oferă informații cruciale:
  • Autentificare: /var/log/auth.log sau /var/log/secure.
  • Kernel: /var/log/kern.log.
  • Conexiuni SSH: /var/log/secure (Red Hat) sau /var/log/auth.log (Debian).
  • Mesaje generale: /var/log/messages.
  • Verifică semne de activități anormale, cum ar fi logări neașteptate, erori de permisiuni sau executarea comenzilor suspecte.

---

5. Detectarea rootkit-urilor și malware-ului

• Instrumente utile:
  • chkrootkit: Detectează rootkit-uri comune.
  • rkhunter: Scanare pentru semne de compromitere.
  • Lynis: Audit de securitate pentru Linux.
• Verifică scripturile cron (crontab -l) pentru sarcini planificate suspecte.

---

6. Analiza binarelor suspecte

• Identifică binarele suspecte prin:
  • Comparație hash: Verifică hash-ul fișierelor din /bin, /usr/bin, etc. cu versiunile oficiale.
  • Analiză sandbox: Încarcă binarele suspecte în VirusTotal sau Cuckoo Sandbox pentru analiză statică și dinamică.

---

7. Verificarea conexiunilor de rețea suspecte

• Identifică procesele care mențin conexiuni neobișnuite:
  • netstat -anp sau ss -tunap.
  • Analizează traficul de rețea cu tcpdump sau wireshark.

---

8. Identificarea vectorului de atac

• Audit de vulnerabilitate:
  • Verifică patch-urile lipsă: apt list --upgradable sau yum check-update.
  • Inspectează setările SSH: /etc/ssh/sshd_config.
  • Analizează aplicațiile web găzduite și configurările acestora.

---

9. Restaurarea și remedierea

1. Restaurarea din backup: Dacă ai un backup curat și sigur, restaurează-l.
2. Actualizarea sistemului: Aplică toate patch-urile de securitate disponibile (apt update && apt upgrade sau yum update).
3. Schimbarea credențialelor: Resetează parolele pentru toate conturile, inclusiv cele de SSH.
4. Configurare strictă:
   • Dezactivează autentificarea prin parolă, folosind doar chei SSH.
   • Activează firewall-ul (ufw, firewalld) și configurează reguli stricte.

---

10. Analiză post-mortem și prevenție

• Raport detaliat: Documentează ce s-a întâmplat, cum a fost detectată compromiterea și ce măsuri au fost luate.
• Prevenție:
  • Activează monitorizarea constantă (fail2ban, auditd).
  • Utilizează soluții IDS/IPS (ex: Snort, Suricata).
  • Efectuează audituri periodice de securitate.