Informática Forense · Linux

Analisar forensicamente a lista de processos e o diretório /proc – Avaliar o estado de funcionamento de um sistema

O sistema de ficheiros virtual /proc fornece, no Linux, informações em tempo real sobre processos, ligações de rede e estados do sistema. Existe exclusivamente na memória principal e está ligado ao sistema em execução.

Pedido de informação sem compromisso

Uma vez que as informações de /proc se perdem quando o sistema é desligado, a sua análise forense só é possível através de uma recolha em tempo real de um sistema ainda em funcionamento ou através de uma imagem de memória guardada separadamente.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Nos sistemas em execução, recolhemos informações relevantes do diretório /proc, tais como listas de processos, ficheiros abertos e ligações de rede, e associamo-las aos ficheiros executáveis e mecanismos de persistência correspondentes.

Áreas de aplicação típicas

•Registo do estado atual de execução de um sistema
•Análise de processos ativos, mas não persistentes
•Correlação de processos com ligações de rede
•Apoio na resposta a incidentes em tempo real
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que se realiza uma análise do /proc

Num sistema ainda em funcionamento, são recolhidas de forma seletiva informações relevantes do diretório /proc, incluindo a lista de processos, as linhas de comando associadas, os ficheiros abertos e as ligações de rede. Estas informações são posteriormente comparadas com artefactos persistentes, como as configurações de arranque automático, para distinguir entre processos esperados e inesperados.

Por que razão a análise do /proc é relevante do ponto de vista forense?

Certas técnicas de ataque não deixam vestígios permanentes no sistema de ficheiros, existindo exclusivamente na memória de um processo em execução. Essas atividades só podem ser detetadas através de uma monitorização em tempo real.

Uma vez que os dados de /proc se perdem juntamente com o estado do sistema, a decisão a favor ou contra uma recolha em tempo real constitui uma das primeiras escolhas cruciais numa investigação.

Perguntas frequentes

Os dados de /proc permanecem após um reinício?+
Não, o /proc existe exclusivamente na memória do sistema em execução e perde-se totalmente quando o sistema é reiniciado.
Que informações fornece o /proc sobre um processo?+
Entre outros, a linha de comandos, as variáveis de ambiente, os ficheiros abertos, as ligações de rede e o caminho de execução do ficheiro do programa em questão.
É possível realizar uma análise do /proc em todos os casos?+
Apenas no caso de sistemas ainda em funcionamento ou se tiver sido previamente guardada uma imagem de memória a partir da qual seja possível reconstruir informações comparáveis.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma investigação forense profissional sobre „Lista de processos e análise forense do /proc"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na avaliação compreensível de artefactos relevantes do Linux.

Entre em contacto connosco agora