IT-kriminalteknik · Linux

Forensisk analyse af proceslisten og /proc – vurdering af et systems tilstand under drift

Det virtuelle /proc-filsystem leverer under Linux kørselsoplysninger om processer, netværksforbindelser og systemtilstande. Det findes udelukkende i arbejdshukommelsen og er bundet til det kørende system.

Uforpligtende forespørgsel

Da oplysninger i /proc går tabt, når et system lukkes ned, er en retsmedicinsk analyse heraf kun mulig ved en live-indsamling fra et system, der stadig kører, eller via et separat sikkerhedskopieret hukommelsesbillede.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages som udgangspunkt udelukkende på en retsmedicinsk kopi, et retsmedicinsk aftryk eller en datakilde, der er registreret på en teknisk tilsvarende måde, der sikrer bevismaterialets integritet. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets integritet.

Vores tjenester

Vi indsamler relevante /proc-oplysninger fra kørende systemer, såsom proceslister, åbne filer og netværksforbindelser, og knytter disse til de tilhørende eksekverbare filer og persistensmekanismer.

Typiske anvendelsesområder

•Registrering af et systems aktuelle kørselstilstand
•Undersøgelse af aktive, men ikke vedvarende processer
•Korrelation mellem processer med netværksforbindelser
•Støtte til håndtering af hændelser i realtid
•Håndtering af sikkerhedshændelser på Linux-systemer
•Retslige og udenretslige ekspertudtalelser

Sådan foregår en /proc-analyse

Når systemet stadig kører, indsamles relevante /proc-oplysninger målrettet, herunder proceslisten, tilhørende kommandolinjer, åbne filer og netværksforbindelser. Disse oplysninger sammenlignes derefter med permanente artefakter, såsom konfigurationer for automatisk opstart, for at skelne mellem forventede og uventede processer.

Hvorfor er /proc-analysen relevant i forbindelse med kriminalteknisk efterforskning?

Visse angrebsteknikker efterlader ingen varige spor i filsystemet, men findes udelukkende i en kørende process arbejdshukommelse. Sådanne aktiviteter kan kun påvises via en live-overvågning.

Da /proc-data går tabt sammen med systemtilstanden, er beslutningen om, hvorvidt man skal foretage en live-indsamling eller ej, et af de vigtigste tidlige valg i en undersøgelse.

Ofte stillede spørgsmål

Bevares /proc-dataene efter en genstart?+
Nej, /proc findes udelukkende i det kørende systems arbejdshukommelse og går fuldstændigt tabt ved en genstart.
Hvilke oplysninger giver /proc om en proces?+
Blandt andet kommandolinjen, miljøvariabler, åbne filer, netværksforbindelser og den tilhørende programfils eksekveringssti.
Er det muligt at foretage en /proc-analyse i alle tilfælde?+
Kun for systemer, der stadig er i drift, eller hvis der på forhånd er blevet sikkerhedskopieret et systembillede, hvorfra man kan rekonstruere tilsvarende oplysninger.

🔗 Relaterede emner

LanCologne – Linux-forensik i Köln

Har du brug for en professionel retsmedicinsk undersøgelse af „procesliste og forensisk analyse af /proc"? LanCologne hjælper dig med at sikre digitale bevismidler på en måde, der holder i retten, samt med en gennemsigtig analyse af relevante Linux-artefakter.

Kontakt os nu