ИнфоБез

LINUX FORENSICS #5 — PERSISTENCE Systemd: systemctl --type=service --state=running systemctl list-unit-files --state=enabled systemctl list-timers --all Cron: crontab -l sudo crontab -l find /etc/cron* -type f -ls 2>/dev/null SSH-ключи: find /home /root -name authorized_keys -ls 2>/dev/null Ищем: неизвестные systemd-сервисы; новые timers; подозрительные cron-задачи; неизвестные SSH-ключи. Для найденного объекта:…

LINUX FORENSICS #4 — ЛОГИ Systemd: journalctl --since "24 hours ago" Ошибки: journalctl -p warning..alert SSH: journalctl -u ssh journalctl -u sshd Debian/Ubuntu: grep -Ei 'failed|accepted|invalid' /var/log/auth.log RHEL/CentOS: grep -Ei 'failed|accepted|invalid' /var/log/secure Ищем: успешные/неудачные входы; неизвестные аккаунты; sudo ; необычные IP; события непосредственно перед и после инцидента. Время — один из…

LINUX FORENSICS #3 — СЕТЬ Открытые порты: ss -tulpn Активные соединения: ss -ntp Интерфейсы: ip addr Маршруты: ip route DNS: cat /etc/resolv.conf Главное при анализе соединения: IP → порт → PID → процесс → пользователь Неизвестный внешний IP сам по себе не является IOC. Сначала выясняем, какой процесс и зачем установил соединение .

LINUX FORENSICS #2 — ПРОЦЕССЫ Все запущенные процессы: ps auxf С сортировкой по времени запуска: ps -eo pid,ppid,user,lstart,cmd --sort=lstart Для конкретного PID: cat /proc/1234/status tr '\0' ' ' < /proc/1234/cmdline readlink -f /proc/1234/exe ls -la /proc/1234/fd Ищем: неизвестные процессы; запуск из /tmp , /var/tmp ; неожиданные python , perl , bash ; процессы от root ; подозрительные цепочки PPID → PID . Всегда…

LINUX FORENSICS #1 — СИСТЕМА Первичный сбор информации: date -u hostname uname -a cat /etc/os-release uptime Кто сейчас в системе: who w История входов: last -a lastlog Что смотрим: имя и ОС; время; uptime; активных пользователей; историю входов; подозрительные IP. Сначала фиксируем состояние системы, потом начинаем искать аномалии.

Как работают и для чего используются техники защиты от утечек данных (DLP)? DLP ( Data Loss Prevention ) — это системы, предназначенные для предотвращения утечек данных. Эти инструменты отслеживают и блокируют перемещение конфиденциальной информации за пределы сети организации, например, через электронную почту, USB-устройства или веб-приложения. Пример : Компания может использовать DLP-систему для того, чтобы…

Как работают атаки на систему авторизации OAuth 2.0 и как их предотвратить? OAuth 2.0 — это протокол авторизации, который позволяет приложениям получать ограниченный доступ к пользовательским данным без раскрытия паролей. Однако неправильная настройка или уязвимости в его реализации могут привести к серьезным атакам. Пример атаки: В атаке token hijacking злоумышленник может перехватить токен доступа, который…

Oxygen Forensics — ведущий поставщик программного обеспечения и решений в области цифровой криминалистики, специализирующийся на извлечении, анализе и расследовании данных с мобильных устройств. Компания основана в 2007 году, штаб-квартира находится в США ( с офисами по всему миру ), и её инструменты используются правоохранительными органами, правительственными агентствами, корпоративными службами безопасности и…

Системы обнаружения вторжений (IDS) : • Правило-ориентированные IDS (RIDS) сравнивают трафик сети с предопределенными наборами правил и сценариев атак. Если трафик соответствует одному из этих правил, система генерирует предупреждение или событие. RIDS хорошо подходят для обнаружения известных атак и угроз, но могут не обнаруживать новые или необычные атаки. • Системы обнаружения аномалий (NIDS) анализируют трафик…

Как защититься от атак на цепочку поставок (Supply Chain Attacks)? Атаки на цепочку поставок происходят, когда злоумышленники заражают программное обеспечение на стадии его разработки или поставки. Это может включать как подмену кода в ПО, так и вмешательство в процесс обновления программного обеспечения. Пример : В 2020 году был зафиксирован инцидент с атакой на компанию SolarWinds, когда злоумышленники…