Informatyka śledcza · Linux

Analiza kryminalistyczna zmiennych środowiskowych powłoki – ocena kontekstu konfiguracyjnego poszczególnych sesji

Zmienne środowiskowe wpływają na działanie powłok i programów, na przykład poprzez określenie ścieżek, ustawienia bibliotek lub konfigurację serwerów proxy. Mogą być ustawione zarówno w skali całego systemu, jak i dla konkretnego użytkownika lub sesji.

Wysyłaj zapytanie bez zobowiązań

Niektóre zmienne środowiskowe, na przykład te związane z dołączaniem bibliotek, są regularnie celowo wykorzystywane w złych zamiarach w celu manipulowania działaniem programów lub obejścia mechanizmów zabezpieczających.

Dlaczego LanCologne?

Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy posiadają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy w technicznym wyjaśnianiu złożonych spraw związanych z technologiami cyfrowymi.

Badanie przeprowadza się zasadniczo wyłącznie na kopii kryminalistycznej, obrazie kryminalistycznym lub źródle danych zarejestrowanym w sposób technicznie równoważny i zapewniający bezpieczeństwo dowodowe. Oryginalny dowód pozostaje niezmieniony i jest przechowywany w sposób zapewniający bezpieczeństwo dowodowe.

Nasze usługi

Analizujemy istotne zmienne środowiskowe na podstawie istniejących plików konfiguracyjnych oraz, o ile są dostępne, informacji procesowych z działających systemów i sprawdzamy, czy występują oznaki celowej manipulacji.

Typowe obszary zastosowań

•Wykrywanie sfałszowanych ustawień bibliotek lub ścieżek
•Analiza zmian konfiguracji związanych z konkretnymi sesjami
•Analiza konfiguracji serwerów proxy i sieci w poszczególnych sesjach
•Uzupełnienie analiz procesowych i analiz trwałości
•Reagowanie na incydenty w systemach Linux
•Ekspertyzy sądowe i pozasądowe

Tak przebiega proces klasyfikacji zmiennych środowiskowych

Po utworzeniu kopii zapasowej pliki konfiguracyjne systemu oraz pliki konfiguracyjne poszczególnych użytkowników są sprawdzane pod kątem ustawionych zmiennych środowiskowych. W przypadku uruchomionych systemów dodatkowo rejestrowane są zmienne środowiskowe poszczególnych sesji poszczególnych procesów za pośrednictwem katalogu /proc i sprawdzane pod kątem nietypowych lub mających znaczenie dla bezpieczeństwa ustawień.

Dlaczego ta klasyfikacja ma znaczenie z punktu widzenia kryminalistyki?

Niektóre zmienne środowiskowe mogą być celowo wykorzystywane do manipulowania programami lub omijania mechanizmów zabezpieczających, dlatego w przypadku odpowiednich podejrzeń są one poddawane odrębnej kontroli.

Również niepozorne zmienne środowiskowe, takie jak ustawienia serwera proxy, mogą dostarczyć cennych wskazówek dotyczących rzeczywistej komunikacji sieciowej w ramach sesji i dlatego są uwzględniane w ogólnej ocenie.

Najczęściej zadawane pytania

Które zmienne środowiskowe mają szczególne znaczenie w kontekście kryminalistycznym?+
Między innymi te, które dotyczą integracji bibliotek, ścieżki wyszukiwania plików wykonywalnych lub ustawień sieciowych i proxy.
Czy zmienne środowiskowe są zapisywane na stałe?+
Tylko o ile zostały one ustawione w plikach konfiguracyjnych. Zmienne dotyczące wyłącznie danej sesji mogą być analizowane wyłącznie w działających systemach za pośrednictwem pamięci procesowej.
Czy zmienne środowiskowe mogą ominąć mechanizmy zabezpieczające?+
Tak, niektóre zmienne można wykorzystać w określony sposób, na przykład do skłonienia programów do korzystania ze sfałszowanych bibliotek.

🔗 Powiązane tematy

LanCologne – Kryminalistyka systemów Linux w Kolonii

Potrzebują Państwo profesjonalnej ekspertyzy kryminalistycznej dotyczącej „klasyfikacji zmiennych środowiskowych powłoki z punktu widzenia kryminalistyki"? Firma LanCologne wspiera Państwa w zabezpieczaniu dowodów cyfrowych w sposób zgodny z wymogami sądowymi oraz w przejrzystej analizie istotnych artefaktów systemu Linux.

Skontaktuj się z nami już teraz