IT-kriminalteknik · Linux

Prozessliste und /proc forensisch analysieren – Laufzeitzustand eines Systems auswerten

Das virtuelle /proc-Dateisystem stellt unter Linux Laufzeitinformationen zu Prozessen, Netzwerkverbindungen und Systemzuständen bereit. Es existiert ausschließlich im Arbeitsspeicher und ist an das laufende System gebunden.

Uforpligtende forespørgsel

Da /proc-Informationen mit dem Herunterfahren eines Systems verloren gehen, ist ihre forensische Auswertung nur bei einer Live-Erfassung eines noch laufenden Systems oder über ein separat gesichertes Speicherabbild möglich.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Wir erfassen bei laufenden Systemen relevante /proc-Informationen wie Prozesslisten, offene Dateien und Netzwerkverbindungen und ordnen diese den zugehörigen ausführbaren Dateien und Persistenzmechanismen zu.

Typiske anvendelsesområder

•Erfassung des aktuellen Laufzeitzustands eines Systems
•Untersuchung aktiver, aber nicht persistierter Prozesse
•Korrelation von Prozessen mit Netzwerkverbindungen
•Unterstützung bei Live-Incident-Response
•Incident Response auf Linux-Systemen
•Retslige og udenretslige ekspertudtalelser

So läuft eine /proc-Analyse ab

Bei einem noch laufenden System werden relevante /proc-Informationen gezielt erfasst, einschließlich Prozessliste, zugehöriger Kommandozeilen, offener Dateien und Netzwerkverbindungen. Diese Informationen werden anschließend mit persistenten Artefakten wie Autostart-Konfigurationen abgeglichen, um zwischen erwarteten und unerwarteten Prozessen zu unterscheiden.

Warum ist die /proc-Analyse forensisch relevant?

Bestimmte Angriffstechniken hinterlassen keine dauerhaften Spuren auf dem Dateisystem, sondern existieren ausschließlich im Arbeitsspeicher eines laufenden Prozesses. Solche Aktivitäten sind nur über eine Live-Erfassung nachweisbar.

Da /proc-Daten mit dem Systemzustand verloren gehen, ist die Entscheidung für oder gegen eine Live-Erfassung eine der wichtigsten frühen Weichenstellungen einer Untersuchung.

Ofte stillede spørgsmål

Bleiben /proc-Daten nach einem Neustart erhalten?+
Nein, /proc existiert ausschließlich im Arbeitsspeicher des laufenden Systems und geht bei einem Neustart vollständig verloren.
Welche Informationen liefert /proc zu einem Prozess?+
Unter anderem Kommandozeile, Umgebungsvariablen, offene Dateien, Netzwerkverbindungen und den Ausführungspfad der zugehörigen Programmdatei.
Ist eine /proc-Analyse bei jedem Fall möglich?+
Nur bei noch laufenden Systemen oder wenn zuvor ein Speicherabbild gesichert wurde, aus dem sich vergleichbare Informationen rekonstruieren lassen.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Prozessliste und /proc forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontakt os nu