IT-Forensik · Linux

systemd-Units und -Services forensisch analysieren – Persistenzmechanismen moderner Linux-Systeme

systemd verwaltet auf modernen Linux-Systemen Dienste, Mount-Punkte, Geräte und weitere Ressourcen über sogenannte Units. Diese Unit-Dateien können auch dazu genutzt werden, Programme dauerhaft und automatisiert beim Systemstart auszuführen.

Unverbindlich anfragen

Für forensische Zwecke sind insbesondere Service-Units relevant, die außerhalb der regulären Systemkonfiguration angelegt wurden, da sie einen verbreiteten Persistenzmechanismus für unautorisierte Software darstellen können.

Warum LanCologne?

Seit der Gründung beschäftigt sich LanCologne schwerpunktmäßig mit der professionellen IT-Forensik. Unsere Mitarbeiter verfügen über jahrzehntelange Erfahrung im Bereich der Informationstechnologie und unterstützen Unternehmen, Rechtsanwälte, Privatpersonen sowie regelmäßig auch Gerichte bei der technischen Aufklärung komplexer digitaler Sachverhalte.

Die Untersuchung erfolgt grundsätzlich ausschließlich auf einer forensischen Kopie beziehungsweise einem forensischen Abbild oder einer technisch gleichwertig beweissicher erfassten Datenquelle. Das Originalbeweismittel bleibt unverändert und wird beweissicher verwahrt.

Unsere Leistungen

Wir werten sämtliche installierten systemd-Units systematisch aus, identifizieren untypische oder nachträglich hinzugefügte Service-Definitionen und ordnen diese den zugehörigen ausführbaren Dateien und Prozessen zu.

Typische Einsatzgebiete

•Aufdeckung unautorisierter Persistenzmechanismen
•Untersuchung nachträglich installierter Dienste
•Analyse von Malware-Persistenz über systemd
•Rekonstruktion der Systemkonfigurationshistorie
•Incident Response auf Linux-Systemen
•Gerichtliche und außergerichtliche Gutachten

So läuft eine systemd-Units-Analyse ab

Nach der Sicherung werden sämtliche vorhandenen systemd-Unit-Dateien systematisch erfasst und mit bekannten Standardkonfigurationen der jeweiligen Distribution verglichen. Auffällige oder untypische Units werden gesondert untersucht und den zugehörigen ausführbaren Dateien zugeordnet.

Warum ist die systemd-Units-Analyse forensisch relevant?

systemd-Service-Units gehören zu den verbreitetsten Mechanismen, um Schadsoftware dauerhaft und mit Systemstart automatisch auszuführen. Ihre systematische Prüfung ist deshalb ein zentraler Bestandteil vieler Incident-Response-Untersuchungen.

Da systemd-Konfigurationen komplex und über mehrere Verzeichnisse verteilt sein können, erfordert eine vollständige Erfassung Kenntnis der jeweiligen Suchpfade und Priorisierungsregeln.

Häufige Fragen

Wo werden systemd-Unit-Dateien gespeichert?+
Unter anderem in systemweiten und benutzerspezifischen Verzeichnissen, deren genaue Priorisierung von der jeweiligen Distribution abhängt.
Können Angreifer eigene systemd-Units anlegen?+
Ja, mit ausreichenden Berechtigungen können eigene Service-Units erstellt werden, um Schadsoftware dauerhaft auszuführen.
Wie werden untypische Units identifiziert?+
Durch Abgleich mit bekannten Standardkonfigurationen der jeweiligen Distribution sowie durch Prüfung von Erstellungszeitpunkt und referenzierten ausführbaren Dateien.

🔗 Verwandte Themen

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „systemd-Units und -Services forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Jetzt Kontakt aufnehmen