IT-Forensik · Linux

systemd-Units und -Services forensisch analysieren – Persistenzmechanismen moderner Linux-Systeme

systemd verwaltet auf modernen Linux-Systemen Dienste, Mount-Punkte, Geräte und weitere Ressourcen über sogenannte Units. Diese Unit-Dateien können auch dazu genutzt werden, Programme dauerhaft und automatisiert beim Systemstart auszuführen.

Pedido de informação sem compromisso

Für forensische Zwecke sind insbesondere Service-Units relevant, die außerhalb der regulären Systemkonfiguration angelegt wurden, da sie einen verbreiteten Persistenzmechanismus für unautorisierte Software darstellen können.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Wir werten sämtliche installierten systemd-Units systematisch aus, identifizieren untypische oder nachträglich hinzugefügte Service-Definitionen und ordnen diese den zugehörigen ausführbaren Dateien und Prozessen zu.

Áreas de aplicação típicas

•Aufdeckung unautorisierter Persistenzmechanismen
•Untersuchung nachträglich installierter Dienste
•Analyse von Malware-Persistenz über systemd
•Rekonstruktion der Systemkonfigurationshistorie
•Incident Response auf Linux-Systemen
•Pareceres judiciais e extrajudiciais

So läuft eine systemd-Units-Analyse ab

Nach der Sicherung werden sämtliche vorhandenen systemd-Unit-Dateien systematisch erfasst und mit bekannten Standardkonfigurationen der jeweiligen Distribution verglichen. Auffällige oder untypische Units werden gesondert untersucht und den zugehörigen ausführbaren Dateien zugeordnet.

Warum ist die systemd-Units-Analyse forensisch relevant?

systemd-Service-Units gehören zu den verbreitetsten Mechanismen, um Schadsoftware dauerhaft und mit Systemstart automatisch auszuführen. Ihre systematische Prüfung ist deshalb ein zentraler Bestandteil vieler Incident-Response-Untersuchungen.

Da systemd-Konfigurationen komplex und über mehrere Verzeichnisse verteilt sein können, erfordert eine vollständige Erfassung Kenntnis der jeweiligen Suchpfade und Priorisierungsregeln.

Perguntas frequentes

Wo werden systemd-Unit-Dateien gespeichert?+
Unter anderem in systemweiten und benutzerspezifischen Verzeichnissen, deren genaue Priorisierung von der jeweiligen Distribution abhängt.
Können Angreifer eigene systemd-Units anlegen?+
Ja, mit ausreichenden Berechtigungen können eigene Service-Units erstellt werden, um Schadsoftware dauerhaft auszuführen.
Wie werden untypische Units identifiziert?+
Durch Abgleich mit bekannten Standardkonfigurationen der jeweiligen Distribution sowie durch Prüfung von Erstellungszeitpunkt und referenzierten ausführbaren Dateien.

🔗 Temas relacionados

LanCologne – Linux-Forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „systemd-Units und -Services forensisch analysieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Entre em contacto connosco agora