IT forenzika · Linux

Forenzní analýza proměnných prostředí shellu – vyhodnocení kontextu konfigurace jednotlivých relací

Proměnné prostředí ovlivňují chování shellů a programů, například prostřednictvím nastavení cest, knihoven nebo proxy. Mohou být nastaveny jak na systémové úrovni, tak specificky pro uživatele nebo relaci.

Nezávazná poptávka

Určité proměnné prostředí, například ty související s integrací knihoven, jsou pravidelně cíleně zneužívány k manipulaci s chováním programů nebo k obcházení bezpečnostních mechanismů.

Proč LanCologne?

Od svého založení se společnost LanCologne zaměřuje především na profesionální IT forenziku. Naši zaměstnanci mají desítky let zkušeností v oblasti informačních technologií a pomáhají firmám, advokátům, soukromým osobám a pravidelně také soudům při technickém objasňování složitých digitálních případů.

Vyšetřování se zásadně provádí výhradně na forenzní kopii, forenzním obrazu nebo technicky rovnocenném zdroji dat, který byl zaznamenán způsobem zajišťujícím důkazní hodnotu. Původní důkazní materiál zůstává nezměněn a je uchováván způsobem zajišťujícím důkazní hodnotu.

Naše služby

Vyhodnocujeme relevantní proměnné prostředí z existujících konfiguračních souborů a, jsou-li k dispozici, z informací o procesech běžících systémů a prověřujeme, zda neexistují známky cílené manipulace.

Typické oblasti použití

•Odhalení zmanipulovaných nastavení knihoven nebo cest
•Analýza změn konfigurace specifických pro jednotlivá zasedání
•Analýza konfigurací proxy a sítě jednotlivých relací
•Doplnění analýz procesů a perzistence
•Reakce na incidenty v systémech Linux
•Soudní a mimosoudní posudky

Takto probíhá přiřazování proměnných prostředí

Po zálohování se provádí kontrola systémových a uživatelských konfiguračních souborů z hlediska nastavených proměnných prostředí. U běžících systémů se navíc prostřednictvím adresáře /proc zaznamenávají proměnné prostředí jednotlivých procesů specifické pro danou relaci a prověřují se z hlediska neobvyklých nebo bezpečnostně relevantních nastavení.

Proč je toto zařazení z forenzního hlediska důležité?

Určité proměnné prostředí lze cíleně využít k manipulaci s programy nebo k obcházení bezpečnostních mechanismů, a proto jsou v případě podezření samostatně prověřovány.

I nenápadné proměnné prostředí, jako jsou nastavení proxy, mohou poskytnout cenné informace o skutečné síťové komunikaci dané relace, a proto jsou zahrnuty do celkového hodnocení.

Často kladené otázky

Které proměnné prostředí mají z forenzního hlediska zvláštní význam?+
Mimo jiné ty, které se týkají integrace knihoven, vyhledávací cesty pro spustitelné soubory nebo nastavení sítě a proxy.
Jsou proměnné prostředí trvale uloženy?+
Pouze pokud jsou nastaveny v konfiguračních souborech. Proměnné specifické pouze pro danou relaci lze vyhodnotit pouze u běžících systémů prostřednictvím paměti procesu.
Mohou proměnné prostředí obejít bezpečnostní mechanismy?+
Ano, určité proměnné lze cíleně využít například k tomu, aby se programy přiměly používat zmanipulované knihovny.

🔗 Související témata

LanCologne – Forenzní analýza Linuxu v Kolíně nad Rýnem

Potřebujete profesionální forenzní vyšetřování týkající se „forenzní analýzy proměnných prostředí shellu"? Společnost LanCologne vám pomůže s pořízením digitálních důkazů splňujících soudní požadavky a s transparentním vyhodnocením relevantních artefaktů systému Linux.

Kontaktujte nás hned teď