Informatique légale · Linux

Analyse forensic de la liste des processus et du répertoire /proc – Évaluation de l'état d'exécution d'un système

Sous Linux, le système de fichiers virtuel /proc fournit des informations en temps réel sur les processus, les connexions réseau et l'état du système. Il n'existe que dans la mémoire vive et est lié au système en cours d'exécution.

Demande sans engagement

Étant donné que les informations du répertoire /proc sont perdues lors de l'arrêt d'un système, leur analyse médico-légale n'est possible qu'à partir d'une capture en direct d'un système encore en cours d'exécution ou via une image mémoire sauvegardée séparément.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Pour les systèmes en cours d'exécution, nous collectons les informations pertinentes du répertoire /proc, telles que les listes de processus, les fichiers ouverts et les connexions réseau, puis nous les associons aux fichiers exécutables et aux mécanismes de persistance correspondants.

Domaines d'application typiques

•Enregistrement de l'état actuel d'exécution d'un système
•Analyse des processus actifs, mais non persistants
•Corrélation des processus avec les connexions réseau
•Assistance dans la gestion des incidents en temps réel
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse /proc

Lorsque le système est encore en cours d'exécution, les informations pertinentes du répertoire /proc sont collectées de manière ciblée, notamment la liste des processus, les lignes de commande associées, les fichiers ouverts et les connexions réseau. Ces informations sont ensuite comparées à des artefacts persistants, tels que les configurations de démarrage automatique, afin de distinguer les processus attendus de ceux qui ne le sont pas.

En quoi l'analyse de /proc présente-t-elle un intérêt sur le plan de la criminalistique ?

Certaines techniques d'attaque ne laissent aucune trace permanente sur le système de fichiers, mais existent exclusivement dans la mémoire vive d'un processus en cours d'exécution. De telles activités ne peuvent être détectées que par une surveillance en temps réel.

Étant donné que les données /proc sont perdues avec l'état du système, le choix de procéder ou non à une collecte en temps réel constitue l'une des premières décisions cruciales d'une enquête.

Foire aux questions

Les données de /proc sont-elles conservées après un redémarrage ?+
Non, /proc n'existe que dans la mémoire vive du système en cours d'exécution et est entièrement perdu lors d'un redémarrage.
Quelles informations /proc fournit-il sur un processus ?+
Notamment la ligne de commande, les variables d'environnement, les fichiers ouverts, les connexions réseau et le chemin d'exécution du fichier programme correspondant.
Une analyse /proc est-elle possible dans tous les cas ?+
Uniquement pour les systèmes encore en service ou si une image mémoire a été sauvegardée au préalable, à partir de laquelle il est possible de reconstituer des informations comparables.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle portant sur „ l'analyse judiciaire de la liste des processus et du répertoire /proc " ? LanCologne vous accompagne dans la sauvegarde conforme aux exigences judiciaires des preuves numériques ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant