IT-forensik · Linux

Forensisk analys av systemd-timer – Utvärdering av ett modernt alternativ till den klassiska cron

systemd-timers erbjuder ett alternativ till Cron för att köra uppgifter enligt ett tidsschema och är nära kopplade till systemd-serviceenheter. I moderna distributioner används de i allt större utsträckning istället för klassiska Cron-konfigurationer.

Begär en icke-bindande offert

Eftersom timer-enheter alltid styr en tillhörande serviceenhet krävs det att båda konfigurationsfilerna granskas tillsammans för att kunna göra en fullständig forensisk utvärdering.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi registrerar alla befintliga systemd-timers och tillhörande serviceenheter, granskar deras körscheman och kopplar ihop misstänkta kombinationer med de körbara filer som de hänvisar till.

Typiska användningsområden

•Upptäckt av tidsstyrda mekanismer för persistens i moderna system
•Undersökning av automatiserade underhålls- och säkerhetskopieringstimer
•Analys av kombinationen av timer- och serviceenheter
•Jämförelse med traditionella Cron-konfigurationer
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en systemd-timer-analys till

Efter säkerhetskopieringen registreras alla timer-enheter och jämförs med respektive tillhörande serviceenheter. Exekveringsplaner och refererade körbara filer dokumenteras och kontrolleras med avseende på rimlighet i jämförelse med kända standardkonfigurationer för respektive distribution.

Varför är timeranalysen relevant ur ett kriminaltekniskt perspektiv?

Eftersom moderna distributioner i allt högre grad använder systemd-timers istället för Cron måste denna konfigurationskälla granskas lika systematiskt som klassisk Cron när man söker efter tidsstyrda mekanismer för persistens.

Om man endast betraktar timern eller serviceenheten isolerat kan man förbise relevanta samband, varför båda alltid utvärderas tillsammans.

Vanliga frågor

Vad är skillnaden mellan en timer och en serviceenhet?+
Timern anger när programmet ska köras, medan den tillhörande serviceenheten bestämmer vilket program som faktiskt ska köras.
Ersätter systemd-Timer Cron helt och hållet?+
Inte nödvändigtvis; många system använder fortfarande den klassiska Cron-funktionen parallellt, varför båda källorna kontrolleras.
Kan systemd-timers missbrukas för att upprätthålla tillstånd?+
Ja, precis som med Cron-jobb kan de användas för att köra skadlig programvara regelbundet eller efter en omstart.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell forensisk undersökning av „forensisk analys av Systemd-Timer"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu