Ders 6.10: Kapanış 1: ilk girişten kalıcılığa adli zaman çizelgesi
Tek bir olay, bu kursun ilk yarısının her tekniği. Northwind'in CI çalıştırıcısı her otuz dakikada bir bilinmeyen bir adrese bağlantı açtı. Girişi giriş kayıtlarından belirliyor, neyin çalıştırıldığını denetim izinden tam olarak okuyor, değişen dosyaları durum değişikliği zamanına göre buluyor, zaman damgası oynanmış kalıcılığı açığa çıkarıyor, kanıtı toplayıp özetliyor ve her satırı yeniden denetlenebilen bir raporu mühürlüyorsun.
24 dk
Bu derste öğreneceklerin
- İlk erişimi giriş kayıtlarından belirlemek
- Komutları execve denetim kayıtlarından yeniden kurmak
- Bir zaman penceresindeki değişiklikleri ctime ile bulmak
- Zaman damgası oynamayı ve kalıcılığı kanıtlamak
- Toplamak, özetlemek ve raporlamak
Temel terimler
- İlk erişim
- Saldırganın ilk nasıl girdiği; burada sızmış bir anahtarla geçerli bir hesap.
- Ayrıcalık yükseltme
- Hesabın haklarından root'a geçmek; burada docker grubu üzerinden.
- Kalıcılık
- Saldırganı geri getiren şey: burada bir root cron işi.
- Kök neden
- Olayı mümkün kılan ve değişmesi gereken koşul.
← Çekirdek modülleri ve taint bayrağı · Tüm dersler · Kapsayıcı imaj imzalarını doğrulamak →