IT-forenzika · Linux

Forenzična analiza znanih gostiteljev in ključev SSH – rekonstrukcija odnosov zaupanja med sistemi

Datoteke SSH »Known Hosts« beležijo, s katerimi oddaljenimi sistemi je uporabnik ali sistem že vzpostavil zaupanja vredne povezave, medtem ko pooblaščeni in zasebni ključi omogočajo dejansko avtentifikacijo na podlagi ključev.

Nezavezujoča poizvedba

Te datoteke lahko zagotovijo forenzično pomembne namige o dejansko uporabljenih poteh povezav med sistemi, na primer pri preiskavi lateralnega gibanja znotraj ogroženega omrežja.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Analiziramo obstoječe vnose v seznamu »Known Hosts«, avtorizirane ključe in datoteke z zasebnimi ključi, na tej podlagi rekonstruiramo možne poti povezav med sistemi ter preverjamo, ali so bili naknadno dodani neavtorizirani ključi.

Tipična področja uporabe

•Rekonstrukcija stranskega gibanja med ogroženimi sistemi
•Odkrivanje nepooblaščeno dodanih SSH-ključev
•Preučevanje odnosov zaupanja med Servern
•Dokazovanje uporabljenih povezav v omrežjih
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza SSH-ključev in znanih gostiteljev

Po varnostnem kopiranju se sistematično zabeležijo datoteke znanih gostiteljev, pooblaščeni ključi ter datoteke z zasebnimi ključi. Pooblaščeni ključi se preverijo glede na čas nastanka in verodostojnost, medtem ko vnosi v datoteki znanih gostiteljev zagotavljajo možne cilje povezav za nadaljnjo preiskavo.

Zakaj je ta analiza pomembna s forenzičnega vidika?

Naknadno dodan avtorizirani ključ je pogost mehanizem za pridobitev trajnega dostopa do ogroženega sistema brez gesla, ne glede na poznejše spremembe gesla.

Vnosi v datoteki »Known-Hosts« lahko poleg tega ponujajo namige o drugih sistemih v istem omrežju, ki so morda prav tako prizadeti, in tako ciljno razširijo obseg preiskave.

Pogosta vprašanja

Kaj prikazuje datoteka »Known-Hosts«?+
Seznam oddaljenih sistemov, s katerimi je bil že vzpostavljen stik, skupaj z odtisi njihovih gostiteljskih ključev, s katerimi so bile vzpostavljene prejšnje povezave.
Kako se prepozna neavtoriziran SSH-ključ?+
S preverjanjem datuma nastanka, polja za komentarje in verodostojnosti v primerjavi z znanimi, zakonito uporabljenimi ključi.
Ali je mogoče zasebne ključe forenzično analizirati?+
Da, njihovo obstoj in uporabo je mogoče analizirati, vendar se pri tem ne zaobide njihova zaščita z geslom.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza SSH-znanih gostiteljev in ključev"? LanCologne vam nudi podporo pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj