Informática Forense · Linux

Análise forense das variáveis de ambiente do Shell – Avaliação do contexto de configuração de sessões individuais

As variáveis de ambiente influenciam o comportamento dos shells e dos programas, por exemplo, através de especificações de caminho, definições de bibliotecas ou configurações de proxy. Podem ser definidas tanto a nível do sistema como de forma específica para cada utilizador ou sessão.

Pedido de informação sem compromisso

Certas variáveis de ambiente, como as relacionadas com a integração de bibliotecas, são regularmente alvo de uso indevido, com o objetivo de manipular o comportamento dos programas ou contornar mecanismos de segurança.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Analisamos as variáveis ambientais relevantes a partir dos ficheiros de configuração existentes e, sempre que disponíveis, a partir das informações de processo dos sistemas em funcionamento, e verificamos se existem indícios de manipulação deliberada.

Áreas de aplicação típicas

•Detecção de configurações de biblioteca ou de percursos que tenham sido manipuladas
•Análise das alterações de configuração específicas de cada sessão
•Análise das configurações de proxy e de rede de sessões individuais
•Complementação das análises de processos e de persistência
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que se realiza a classificação das variáveis de ambiente

Após a criação da cópia de segurança, os ficheiros de configuração do sistema e específicos do utilizador são verificados quanto às variáveis de ambiente definidas. Nos sistemas em execução, são também registadas, através de /proc, as variáveis de ambiente específicas da sessão de cada processo, sendo analisadas quanto a definições atípicas ou relevantes para a segurança.

Por que razão esta classificação é relevante do ponto de vista forense?

Certas variáveis de ambiente podem ser utilizadas de forma específica para manipular programas ou contornar mecanismos de segurança, razão pela qual são verificadas separadamente caso haja suspeitas nesse sentido.

Mesmo variáveis ambientais discretas, como as definições de proxy, podem fornecer indicações valiosas sobre a comunicação de rede efetiva de uma sessão e, por isso, são incluídas na avaliação global.

Perguntas frequentes

Que variáveis de ambiente são particularmente relevantes do ponto de vista forense?+
Entre outras, as que dizem respeito à integração de bibliotecas, ao caminho de pesquisa para ficheiros executáveis ou às definições de rede e de proxy.
As variáveis de ambiente são guardadas de forma permanente?+
Apenas na medida em que estejam definidas nos ficheiros de configuração. As variáveis estritamente específicas da sessão só podem ser avaliadas em sistemas em execução, através da memória do processo.
As variáveis de ambiente podem contornar os mecanismos de segurança?+
Sim, determinadas variáveis podem ser utilizadas de forma específica para, por exemplo, induzir programas a utilizar bibliotecas manipuladas.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma análise forense profissional sobre a „classificação forense das variáveis de ambiente do Shell"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na análise transparente de artefactos Linux relevantes.

Entre em contacto connosco agora