😈 Подозрительные процессы в Linux: как найти неизвестную службу, сетевое соединение и ...
😈 Подозрительные процессы в Linux: как найти неизвестную службу, сетевое соединение и автозапуск Сервер внезапно начал нагружать процессор, появились неизвестные сетевые соединения, а после перезагрузки снова запускается подозрительный процесс? Это не обязательно взлом, но повод проверить систему. Что проверяем в первую очередь: ◦ Запущенные процессы: команды ps aux, top и htop помогут обнаружить необычную нагрузку, а /proc/PID/exe покажет реальный путь к исполняемому файлу; ◦ Сетевые подключения: через ss -lntup можно найти открытые порты и связанные с ними процессы. Неизвестное исходящее соединение тоже стоит проверить; ◦ Службы systemd: команды systemctl status и systemctl cat позволяют изучить неизвестные службы, их конфигурации и команды запуска; ◦ Механизмы автозапуска: проверяем crontab -l, системные cron-задания и systemctl list-timers --all. Злоумышленники могут использовать расписания для закрепления в системе; ◦ SSH и учётные записи: ищем неизвестных пользователей, дополнительные аккаунты с UID 0 и посторонние ключи в authorized_keys; ◦ Системные журналы: через journalctl сопоставляем события: необычный SSH-вход, создание службы и последующее сетевое соединение могут указывать на связанную активность. Высокая нагрузка CPU или неизвестный процесс ещё не доказывают компрометацию. Перед удалением файлов и перезагрузкой сервера необходимо сохранить журналы и другие следы возможного инцидента — В статье разобраны команды, примеры их использования и последовательность первичного расследования для для начинающих специалистов Blue Team без установки дополнительных инструментов 👇 🗣️ Ссылка на чтиво 🧑💻 Этичный хакер
Канал в каталоге Максиметера
2 401 подписчиков · IT и технологии