IT-Forensik · Linux

systemd-Units und -Services forensisch analysieren – Persistenzmechanismen moderner Linux-Systeme

systemd verwaltet auf modernen Linux-Systemen Dienste, Mount-Punkte, Geräte und weitere Ressourcen über sogenannte Units. Diese Unit-Dateien können auch dazu genutzt werden, Programme dauerhaft und automatisiert beim Systemstart auszuführen.

Demande sans engagement

Für forensische Zwecke sind insbesondere Service-Units relevant, die außerhalb der regulären Systemkonfiguration angelegt wurden, da sie einen verbreiteten Persistenzmechanismus für unautorisierte Software darstellen können.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Wir werten sämtliche installierten systemd-Units systematisch aus, identifizieren untypische oder nachträglich hinzugefügte Service-Definitionen und ordnen diese den zugehörigen ausführbaren Dateien und Prozessen zu.

Domaines d'application typiques

•Aufdeckung unautorisierter Persistenzmechanismen
•Untersuchung nachträglich installierter Dienste
•Analyse von Malware-Persistenz über systemd
•Rekonstruktion der Systemkonfigurationshistorie
•Incident Response auf Linux-Systemen
•Expertises judiciaires et extrajudiciaires

So läuft eine systemd-Units-Analyse ab

Nach der Sicherung werden sämtliche vorhandenen systemd-Unit-Dateien systematisch erfasst und mit bekannten Standardkonfigurationen der jeweiligen Distribution verglichen. Auffällige oder untypische Units werden gesondert untersucht und den zugehörigen ausführbaren Dateien zugeordnet.

Warum ist die systemd-Units-Analyse forensisch relevant?

systemd-Service-Units gehören zu den verbreitetsten Mechanismen, um Schadsoftware dauerhaft und mit Systemstart automatisch auszuführen. Ihre systematische Prüfung ist deshalb ein zentraler Bestandteil vieler Incident-Response-Untersuchungen.

Da systemd-Konfigurationen komplex und über mehrere Verzeichnisse verteilt sein können, erfordert eine vollständige Erfassung Kenntnis der jeweiligen Suchpfade und Priorisierungsregeln.

Foire aux questions

Wo werden systemd-Unit-Dateien gespeichert?+
Unter anderem in systemweiten und benutzerspezifischen Verzeichnissen, deren genaue Priorisierung von der jeweiligen Distribution abhängt.
Können Angreifer eigene systemd-Units anlegen?+
Ja, mit ausreichenden Berechtigungen können eigene Service-Units erstellt werden, um Schadsoftware dauerhaft auszuführen.
Wie werden untypische Units identifiziert?+
Durch Abgleich mit bekannten Standardkonfigurationen der jeweiligen Distribution sowie durch Prüfung von Erstellungszeitpunkt und referenzierten ausführbaren Dateien.

🔗 Sujets connexes

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „systemd-Units und -Services forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Nous contacter dès maintenant