Glimpse Forensik: Live-Response
Forensik: Live-Response
Ein kompromittiertes System liefert die meisten Spuren, solange es läuft. Prozesse, offene Netzwerkverbindungen und gelöschte Binaries existieren nur im laufenden Betrieb – ein Neustart oder das Ziehen des Steckers vernichtet sie unwiderruflich.
Merksatz: Der Stecker vernichtet mehr Beweise als der Angreifer.
Reihenfolge der Flüchtigkeit
Nach RFC 3227 wird von flüchtig nach dauerhaft gesichert:
- Arbeitsspeicher, Prozesse, Netzwerkverbindungen
- Laufende Dateizugriffe, temporäre Dateisysteme
- Festplatte
- Backups, Logserver
Vorbereitung
- Alles mitprotokollieren – Ausgabe und Zeitpunkt gehören zusammen
- script -t 2> /tmp/live.timing /tmp/live.log
script zeichnet die komplette Terminalsitzung auf – alles, was du tippst, und alles, was ausgegeben wird, landet in der Datei /tmp/live.log. Ab dem Aufruf bis zum exit.
- Systemzeit festhalten, lokal und in UTC
- date
- date -u
- Uhrzeitabweichung zum Zeitserver notieren
- chronyc tracking
Prozesse
- Prozessbaum ansehen – die Eltern-Kind-Beziehung verrät den Einstiegspunkt
- ps auxf
- Auffälliger Prozess
- gestartet von www-data, Elternprozess ist der Webserver
- ps -eo pid,ppid,user,lstart,cmd
Netzwerkverbindungen
- Alle Verbindungen mit zugehörigem Prozess
- ss -tunap
- Lauschende Dienste – hier taucht die Reverse Shell auf
- ss -tlnp
Offene Dateien
- Welche Dateien hält der verdächtige Prozess offen
- lsof -p PID
- Wer greift auf das Webverzeichnis zu
- lsof +D /var/www
Gelöschte Binaries wiederfinden
Ein gelöschtes Programm bleibt so lange auf der Platte, wie der Prozess läuft. Der Kernel hält den Verweis in /proc offen.
- Pfad des Programms – "(deleted)" ist der Treffer
- ls -l /proc/PID/exe
- Kopie sichern, bevor der Prozess endet
- cp /proc/PID/exe /mnt/beweise/binary.bin
- Hash bilden und notieren
- sha256sum /mnt/beweise/binary.bin
- Arbeitsverzeichnis und Umgebung des Prozesses
- ls -l /proc/PID/cwd
- tr '\0' '\n' < /proc/PID/environ
Was man nicht tun sollte
- Das System neu starten oder ausschalten
- Auf dem betroffenen System Pakete nachinstallieren
- Beweise auf die betroffene Platte schreiben – immer auf einen externen Datenträger
- Dateien öffnen oder kopieren, ohne die Zugriffszeiten vorher gesichert zu haben
Ausblick
Die hier gesicherten Daten sind nur die Spitze. Die eigentliche Analyse folgt post mortem auf einem schreibgeschützten Abbild – mit Zeitachse, Persistenzmechanismen und der Korrelation zu den Alarmen aus Suricata und Wazuh.