Работа с systemd-journald (journalctl)

Working with systemd-journald (journalctl)

systemd-journald bilan ishlash (journalctl)

В современных дистрибутивах системные журналы хранятся в бинарном формате. Для их извлечения применяется утилита journalctl:

In modern distributions, system logs are kept in binary format. The journalctl utility is used to query them:

Zamonaviy tizimlarda loglar binar formatda saqlanadi. Ularni o'qish uchun journalctl buyrug'i qo'llaniladi:

# Просмотр логов конкретной службы (например, SSH) за последние 2 часа
journalctl -u ssh -S -2h

# Фильтрация логов по уровню критичности (ошибки и выше)
journalctl -p err..emerg -b

# Вывод логов службы в читаемом формате JSON
journalctl -u nginx --output=json-pretty

Анализ истории команд (.bash_history)

Command History Analysis (.bash_history)

Buyruqlar tarixi tahlili (.bash_history)

Подсистема аудита auditd

Audit Subsystem (auditd)

Audit tizimi (auditd)

Подсистема auditd фиксирует системные вызовы на уровне ядра, что делает её более защищенной от модификаций пользователем.

The auditd subsystem records system calls at the kernel level, which makes it more secure against user tampering.

auditd tizim chaqiriqlarini to'g'ridan-to'g'ri yadro darajasida yozib boradi va foydalanuvchilar undagi ma'lumotlarni osonlikcha o'chira olishmaydi.

# Проверить сводный отчет по событиям безопасности
aureport --summary

# Найти события выполнения команд конкретным пользователем с UID 1001
ausearch -ua 1001 -i

Основные векторы проверки автозапуска

Key Autostart Locations to Check

Avtostartning asosiy tekshirish nuqtalari

1. Планировщики задач (Cron)

1. Task Schedulers (Cron)

1. Vazifalar rejalashtiruvchisi (Cron)

Проверяйте как общесистемные cron-файлы, так и личные задачи пользователей:

Check both global system cron files and user-specific tasks:

Tizim bo'yicha umumiy va foydalanuvchilarning shaxsiy rejalashtirilgan vazifalarini tekshiring:

# Просмотреть cron-задачи для всех пользователей в системе
for user in $(cut -f1 -d: /etc/passwd); do echo "=== $user ==="; crontab -u $user -l 2>/dev/null; done

2. Автозапуск через инициализацию Systemd

2. Autostart via Systemd

2. Systemd orqali avtomatik ishga tushish

# Найти файлы служб, измененные за последние 3 дня
find /etc/systemd/system/ -name "*.service" -mtime -3

# Вывести все активные таймеры systemd (замена cron)
systemctl list-timers --all

3. Авторизация по SSH и профили оболочек

3. SSH Authorization & Shell Profiles

3. SSH avtorizatsiyasi va qobiq profillari

• Ключи авторизации: Проверьте файлы ~/.ssh/authorized_keys всех пользователей.
• Authorization keys: Check ~/.ssh/authorized_keys files for all users.
• Avtorizatsiya kalitlari: Barcha foydalanuvchilarning ~/.ssh/authorized_keys fayllarini tekshiring.
• Скрипты профиля: Проверьте дописки кода в конце файлов /etc/profile, ~/.bashrc, ~/.profile.
• Profile scripts: Inspect code additions at the end of /etc/profile, ~/.bashrc, ~/.profile.
• Profil skriptlari: /etc/profile, ~/.bashrc, ~/.profile fayllarining oxiriga shubhali kod yozilganligini tekshiring.

Использование сканеров руткитов

Rootkit Scanners

Rutkit skanerlari

Утилиты rkhunter и chkrootkit помогают выявлять LKM-модули ядра и признаки подмены исполняемых файлов:

The rkhunter and chkrootkit tools help detect LKM kernel modules and modified system binaries:

rkhunter va chkrootkit tizimda yashirilgan yadro modullari (LKM) hamda o'zgartirilgan binar fayllarni aniqlashga yordam beradi:

# Запуск проверки системы на наличие руткитов
sudo rkhunter --check --sk
sudo chkrootkit

# 1. Показать разметку и смещение разделов на диске
mmls disk.img

# 2. Вывести список удаленных файлов в разделе со смещением 2048
fls -r -p -d -o 2048 disk.img

# 3. Восстановить файл из образа по его номеру Inode (например, 14502)
icat -o 2048 disk.img 14502 > /tmp/recovered_file.php

Снятие и анализ дампов оперативной памяти

Live Memory Acquisition & Analysis

Operativ xotira nusxasini olish va tahlil qilish

Сбор данных с помощью модуля LiME

Acquisition with LiME Module

LiME moduli orqali xotira tasvirini yozish

# Сборка модуля и запуск копирования памяти в Raw формате
git clone https://github.com/504ensicsLabs/LiME.git && cd LiME/src && make
sudo insmod lime-$(uname -r).ko "path=/tmp/ram.lime format=raw"
sudo rmmod lime

Анализ дампа в Volatility 3

RAM Dump Analysis in Volatility 3

Volatility 3 yordamida RAM tahlili

Установите Volatility 3 из официального репозитория GitHub и запустите следующие команды:

Install Volatility 3 from the official GitHub repository and run these commands:

Volatility 3 dasturini rasmiy GitHub sahifasidan o'rnating va quyidagi buyruqlarni ishga tushiring:

# Показать дерево запущенных процессов в дампе памяти
python3 vol.py -f ram.lime linux.pstree.PsTree

# Показать открытые сетевые сокеты в памяти
python3 vol.py -f ram.lime linux.netstat.NetStat

# Сделать дамп исполняемого файла вредоносного процесса (например, PID 812)
python3 vol.py -f ram.lime -o /tmp/dump linux.pslist.PsList --pid 812 --dump

#!/bin/bash
# collect_evidence.sh - Скрипт быстрого сбора форензик-данных (Triage / Live Response)
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

if [ "$EUID" -ne 0 ]; then
    echo "[!] Ошибка: запуск от имени root необходим."
    exit 1
fi

TIMESTAMP=$(date +%Y%m%d_%H%M%S)
OUT_DIR="/tmp/triage_$(hostname)_${TIMESTAMP}"
mkdir -p "$OUT_DIR"

run_cmd() {
    eval "$1" > "${OUT_DIR}/$2" 2>&1
}

echo "[*] Сбор системной информации..."
run_cmd "uname -a; uptime; date" "system_info.txt"
run_cmd "ip addr; ip route" "net_config.txt"
run_cmd "ss -tulnp" "net_listening_ports.txt"
run_cmd "ss -anp" "net_all_connections.txt"
run_cmd "ps auxwwf" "process_list.txt"
run_cmd "lsof -nP" "process_open_files.txt"
run_cmd "systemctl list-units --type=service --all" "systemd_services.txt"
run_cmd "ls -laR /etc/cron*" "cron_jobs.txt"

echo "[*] Копирование журналов..."
mkdir -p "$OUT_DIR/logs"
for log in auth.log secure syslog messages; do
    [ -f "/var/log/$log" ] && cp "/var/log/$log" "$OUT_DIR/logs/"
done
run_cmd "journalctl -n 5000 --no-pager" "logs/journalctl_tail.txt"

# Архивирование
tar -czf "/tmp/triage_$(hostname)_${TIMESTAMP}.tar.gz" -C "/tmp" "$(basename "$OUT_DIR")"
rm -rf "$OUT_DIR"
echo "[+] Сбор завершен. Файл: /tmp/triage_$(hostname)_${TIMESTAMP}.tar.gz"