Ders 6.21: Kapanış: ele geçirilmiş bir sunucunun triyajı

Triyaj, canlı bir Linux sunucusundaki bir olayın ilk saatidir: çalışmaması gereken neyin çalıştığını, nereyle konuştuğunu, neyi değiştirdiğini bul ve kanıtı yok etmeden sınırla. Bu kapanış kursun her bölümünü tek bir makinede kullanır. Northwind'in ödeme API sunucusu kimsenin açıklayamadığı bir dış bağlantı açtı. Silinmiş bir dosyadan çalışan kılık değiştirmiş bir süreci buluyor, onu ebeveyn hizmetine ve bağlantısına bağlıyor, çekirdeği ve paketleri denetliyor, PAM'de bir kimlik bilgisi tuzağı buluyor, örneği saklıyor, hizmeti donduruyor ve mühürlü bir triyaj raporu yazıyorsun.

24 dk

Bu derste öğreneceklerin

Silinmiş dosyalardan çalışan süreçleri bulmak
Bir süreci bağlantısına, ebeveynine ve cgroup'una bağlamak
Çekirdek taint'ini ve paket bütünlüğünü tek geçişte denetlemek
Bir PAM değişikliğini altın kopyaya karşı fark etmek
Kanıtı yok etmeden sınırlamak ve bir raporu mühürlemek

Temel terimler

Triyaj: Bir olayın ilk, hızlı değerlendirmesi: ne, nerede, ne kadar kötü, neyi sınırlamalı.
Arazideki araçlarla yaşamak: Araya karışmak için sistemin kendi araçlarını ve yerlerini (/dev/shm, çekirdek iş parçacığı adları) kullanmak.
Sınırlama: Kanıtı korurken hasarın yayılmasını durdurmak.
Delil zinciri: Kanıtın değiştirilmediğini gösteren kayıt: ne toplandı, ne zaman, hangi özetle.

← Gerçekten geri yükleyebileceğin yedekler · Tüm dersler · Kapanış: tek bir uyarıdan tam resme →