IT-forenzika · Linux

Forenzična analiza datotek /etc/passwd in /etc/shadow – podrobna preiskava osrednjih baz podatkov o računih

Datoteka /etc/passwd vsebuje osnovne podatke o računih, kot so uporabniško ime, UID, GID, domači imenik in privzeti lupinski program, medtem ko datoteka /etc/shadow ločeno in z večjo varnostjo hrani dejanske, heširane podatke o geslih ter podatke o poteku veljavnosti in spremembah.

Nezavezujoča poizvedba

Za forenzično analizo je zlasti pomembno, ali in kdaj so bili vnosi naknadno spremenjeni, na primer z dodajanjem računa z UID 0 ali s spremembo hash-vrednosti gesla brez očitnega utemeljenega razloga.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Sistematično analiziramo datoteki /etc/passwd in /etc/shadow, da bi odkrili nenavadne račune, zlasti tiste z UID 0 ali nepričakovanimi dodelitvami lupin, ter preučujemo razpoložljive podatke o časovnih žigih v zvezi z zgodovino sprememb.

Tipična področja uporabe

•Odkritje dodatnih računov s skrbniškimi pravicami (UID 0)
•Preiskava naknadnih sprememb hash-vrednosti gesel
•Analiza neobičajnih dodelitev imenikov »shell« ali »home«
•Rekonstrukcija zgodovine sprememb podatkov o računih
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza datotek /etc/passwd in /etc/shadow

Po varnostnem kopiranju se obe datoteki sistematično analizirata in preverita glede na račune z UID 0, nepričakovane dodelitve lupine ali netipične domače mape. Uporabijo se razpoložljivi časovni žigi in metapodatki datotečnega sistema, da se omeji čas sprememb posameznih vnosov.

Zakaj je ta analiza pomembna s forenzičnega vidika?

Dodatni račun z UID 0 ima enake pravice kot običajni uporabnik root in tako predstavlja enega najbolj kritičnih možnih mehanizmov za ohranjanje dostopa v primeru vdora v sistem.

Ker te datoteke vsebujejo ključne varnostne informacije, se njihova analiza vedno izvaja s posebno skrbnostjo in v povezavi z drugimi viri protokolov.

Pogosta vprašanja

Kaj pomeni drugi račun z UID 0?+
Ima enake administratorske pravice kot običajni root račun, ne glede na izbrano uporabniško ime, zato ga je treba obravnavati kot posebej kritičnega.
Ali je mogoče same hash-vrednosti gesel dešifrirati?+
Pri sodobnih postopkih hashiranja po trenutnem stanju tehnike dešifriranje ni resno mogoče. Forenzična analiza se osredotoča na časovne točke in vzorce sprememb.
Kako se prepozna naknadna manipulacija?+
Med drugim s primerjavo z časovnimi oznakami datotečnega sistema, stanji varnostnih kopij in drugimi viri dnevnikov, kot je Auditd.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza datotek /etc/passwd in /etc/shadow"? LanCologne vam nudi podporo pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj