https://xinux.net/index.php?action=history&feed=atom&title=Glimpse_Forensik%3A_Live-Response 2026-08-23T20:16:24Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=Glimpse_Forensik:_Live-Response&diff=72688&oldid=prev 2026-08-14T05:45:07Z

<p><span dir="auto"><span class="autocomment">Vorbereitung</span></span></p> <table class="diff diff-contentalign-left diff-editfont-monospace" data-mw="interface"> <col class="diff-marker" /> <col class="diff-content" /> <col class="diff-marker" /> <col class="diff-content" /> <tr class="diff-title" lang="de"> <td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td> <td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">Version vom 14. August 2026, 05:45 Uhr</td> </tr><tr><td colspan="2" class="diff-lineno" id="mw-diff-left-l20" >Zeile 20:</td> <td colspan="2" class="diff-lineno">Zeile 20:</td></tr> <tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>;Alles mitprotokollieren – Ausgabe und Zeitpunkt gehören zusammen</div></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>;Alles mitprotokollieren – Ausgabe und Zeitpunkt gehören zusammen</div></td></tr> <tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>*script -t 2&gt; /tmp/live.timing /tmp/live.log</div></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>*script -t 2&gt; /tmp/live.timing /tmp/live.log</div></td></tr> <tr><td colspan="2"> </td><td class='diff-marker'>+</td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins style="font-weight: bold; text-decoration: none;">script zeichnet die komplette Terminalsitzung auf – alles, was du tippst, und alles, was ausgegeben wird, landet in der Datei /tmp/live.log. Ab dem Aufruf bis zum exit.</ins></div></td></tr> <tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"></td></tr> <tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>;Systemzeit festhalten, lokal und in UTC</div></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>;Systemzeit festhalten, lokal und in UTC</div></td></tr> </table>

Thomas.will https://xinux.net/index.php?title=Glimpse_Forensik:_Live-Response&diff=72687&oldid=prev 2026-08-14T05:41:55Z

<p>Die Seite wurde neu angelegt: „= Forensik: Live-Response = Ein kompromittiertes System liefert die meisten Spuren, solange es läuft. Prozesse, offene Netzwerkverbindungen und gelöschte Bi…“</p> <p><b>Neue Seite</b></p><div>= Forensik: Live-Response =<br /> <br /> Ein kompromittiertes System liefert die meisten Spuren, solange es läuft. Prozesse, offene<br /> Netzwerkverbindungen und gelöschte Binaries existieren nur im laufenden Betrieb – ein<br /> Neustart oder das Ziehen des Steckers vernichtet sie unwiderruflich.<br /> <br /> '''Merksatz:''' Der Stecker vernichtet mehr Beweise als der Angreifer.<br /> <br /> == Reihenfolge der Flüchtigkeit ==<br /> <br /> Nach RFC 3227 wird von flüchtig nach dauerhaft gesichert:<br /> <br /> * Arbeitsspeicher, Prozesse, Netzwerkverbindungen<br /> * Laufende Dateizugriffe, temporäre Dateisysteme<br /> * Festplatte<br /> * Backups, Logserver<br /> <br /> == Vorbereitung ==<br /> <br /> ;Alles mitprotokollieren – Ausgabe und Zeitpunkt gehören zusammen<br /> *script -t 2&gt; /tmp/live.timing /tmp/live.log<br /> <br /> ;Systemzeit festhalten, lokal und in UTC<br /> *date<br /> *date -u<br /> <br /> ;Uhrzeitabweichung zum Zeitserver notieren<br /> *chronyc tracking<br /> <br /> == Prozesse ==<br /> <br /> ;Prozessbaum ansehen – die Eltern-Kind-Beziehung verrät den Einstiegspunkt<br /> *ps auxf<br /> <br /> ;Auffälliger Prozess: gestartet von www-data, Elternprozess ist der Webserver<br /> *ps -eo pid,ppid,user,lstart,cmd<br /> <br /> == Netzwerkverbindungen ==<br /> <br /> ;Alle Verbindungen mit zugehörigem Prozess<br /> *ss -tunap<br /> <br /> ;Lauschende Dienste – hier taucht die Reverse Shell auf<br /> *ss -tlnp<br /> <br /> == Offene Dateien ==<br /> <br /> ;Welche Dateien hält der verdächtige Prozess offen<br /> *lsof -p PID<br /> <br /> ;Wer greift auf das Webverzeichnis zu<br /> *lsof +D /var/www<br /> <br /> == Gelöschte Binaries wiederfinden ==<br /> <br /> Ein gelöschtes Programm bleibt so lange auf der Platte, wie der Prozess läuft. Der Kernel<br /> hält den Verweis in /proc offen.<br /> <br /> ;Pfad des Programms – &quot;(deleted)&quot; ist der Treffer<br /> *ls -l /proc/PID/exe<br /> <br /> ;Kopie sichern, bevor der Prozess endet<br /> *cp /proc/PID/exe /mnt/beweise/binary.bin<br /> <br /> ;Hash bilden und notieren<br /> *sha256sum /mnt/beweise/binary.bin<br /> <br /> ;Arbeitsverzeichnis und Umgebung des Prozesses<br /> *ls -l /proc/PID/cwd<br /> *tr '\0' '\n' &lt; /proc/PID/environ<br /> <br /> == Was man nicht tun sollte ==<br /> <br /> * Das System neu starten oder ausschalten<br /> * Auf dem betroffenen System Pakete nachinstallieren<br /> * Beweise auf die betroffene Platte schreiben – immer auf einen externen Datenträger<br /> * Dateien öffnen oder kopieren, ohne die Zugriffszeiten vorher gesichert zu haben<br /> <br /> == Ausblick ==<br /> <br /> Die hier gesicherten Daten sind nur die Spitze. Die eigentliche Analyse folgt post mortem<br /> auf einem schreibgeschützten Abbild – mit Zeitachse, Persistenzmechanismen und der<br /> Korrelation zu den Alarmen aus Suricata und Wazuh.</div>

Thomas.will