IT-forenzika · Linux

Prepoznavanje spletnih lupin na sistemu Linux-Servern – forenzična identifikacija zlonamernih skriptov Server

Spletni shell je skript, ki ga napadalec namesti na ogrožen spletni strežnik in ki prek običajnega spletnega zahtevka omogoča izvajanje poljubnih ukazov na napravi Server ter s tem vzpostavi trajen oddaljeni dostop.

Nezavezujoča poizvedba

Spletne lupine so pogosto namerno oblikovane tako, da se vizualno vklopijo v obstoječe, legitimne datoteke aplikacij, zato njihovo prepoznavanje zahteva poglobljeno poznavanje tipičnih vzorcev in načinov delovanja.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Sistematično preiskujemo datotečne sisteme spletnih strežnikov v iskanju znanih in neznanih vzorcev spletnih lupin, podrobno preverjamo sumljive datoteke ter na podlagi obstoječih dnevnikov rekonstruiramo zgodovino njihove uporabe.

Tipična področja uporabe

•Prepoznavanje shranjenih spletnih lupin na okuženih napravah Servern
•Rekonstrukcija prvotnega načina vdora
•Dokaz o ukazih, izvedenih prek spletnega lupine
•Ocena obsega škode po odkritju spletnega lupina
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka preiskava spletnega lupine

Po varnostnem kopiranju se datotečni sistem spletnega strežnika sistematično pregleda za znanimi podpisom spletnih lupin ter za sumljivimi, strukturno nenavadnimi vzorci skriptov. Najdene spletne lupine se podrobno analizirajo, njihova uporaba pa se časovno rekonstruira na podlagi dnevnikov spletnega strežnika.

Zakaj je odkrivanje spletnih lupin forenzično pomembno?

Neodkrit spletni shell napadalcu omogoča trajen dostop do sistema, ki ga je pogosto težko odkriti, zato je njegovo temeljito odkrivanje ključni pogoj za popolno odstranitev.

Analiza ukazov, ki so bili dejansko izvedeni prek spletnega lupina, poleg tega prinaša pomembne namige o dejanskem obsegu incidenta, na primer v zvezi z morebitnim iztekom podatkov.

Pogosta vprašanja

Kako se običajno prepoznajo spletni shelli?+
S kombinacijo prepoznavanja znanih vzorcev na podlagi podpisov in ročne analize strukturno nenavadnih, zamaskiranih datotek skript.
Kako se spletni shell znajde na napravi Server?+
Pogosto prek izkoriščene ranljivosti v spletni aplikaciji, na primer nezavarovane funkcije za nalaganje datotek.
Ali je mogoče uporabo spletnega šela naknadno v celoti rekonstruirati?+
Glede na razpoložljive zapise je mogoča obsežna, čeprav ne vedno popolna rekonstrukcija.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Prepoznavanje spletnih lupin v sistemu Linux-Servern"? LanCologne vam nudi podporo pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj