Seminar Dissect – Linux- und Unix-Forensik

Der Kurs behandelt die strukturierte Untersuchung von Linux- und Unix-Systemen mit Dissect. Authentifizierung, Benutzeraktivität, Dienste, Protokolle, Shell-Spuren, Paketdaten und Persistenzmechanismen werden aus unterschiedlichen Distributionen in einen einheitlichen Analyseablauf überführt.

Inhaltsverzeichnis

1. Systemaufnahme und Distributionskontext
2. Benutzer, Gruppen und Identitäten
3. Authentifizierung und Remotezugriff
4. Systemprotokolle, Journal und Audit
5. Shell-Historien und Befehlsausführung
6. Persistenz durch Cron, systemd und Startskripte
7. Pakete, Dienste und Anwendungsartefakte
8. Netzwerk- und Dateisystemspuren
9. Timeline, Befund und Übergabe

Lernziele

• Linux- und Unix-Targets sicher erkennen und ihre Datenqualität bewerten
• Benutzer-, Authentifizierungs-, Dienst- und Protokollartefakte gezielt auswerten
• Shell-, Cron-, systemd- und Paketspuren auf Ausführung und Persistenz prüfen
• Zeit- und Identitätsbezüge über mehrere Artefaktquellen korrelieren
• Eine reproduzierbare Hosttimeline mit belastbaren Befunden erstellen

Seminarinhalte

1. Systemaufnahme und Distributionskontext

1. Schritt 1: Target öffnen und erkannte Betriebssysteminformationen kontrollieren.
2. Schritt 2: Distribution, Version, Kernel, Hostname, Zeitzone und installierte Rollen erfassen.
3. Schritt 3: Dateisysteme, Mountpunkte und zusätzliche Datenträger inventarisieren.
4. Schritt 4: Fehlende oder unvollständige Artefaktgruppen im Fallprotokoll kennzeichnen.

2. Benutzer, Gruppen und Identitäten

1. Schritt 1: Lokale Benutzer- und Gruppendaten strukturiert abfragen.
2. Schritt 2: System-, Dienst- und interaktive Konten voneinander unterscheiden.
3. Schritt 3: Home-Verzeichnisse, Shell-Zuordnung und auffällige Kontoänderungen prüfen.
4. Schritt 4: Identitäten mit Datei-, Prozess- und Anmeldeartefakten verknüpfen.

3. Authentifizierung und Remotezugriff

1. Schritt 1: Authentifizierungs-, SSH-, sudo- und PAM-bezogene Spuren auswählen.
2. Schritt 2: Erfolgreiche und fehlgeschlagene Zugriffe nach Konto, Quelle und Zeit gruppieren.
3. Schritt 3: Schlüssel-, Konfigurations- und bekannte-Host-Artefakte fallbezogen untersuchen.
4. Schritt 4: Administrative Aktivität von möglichem Kontomissbrauch anhand zusätzlicher Quellen abgrenzen.

4. Systemprotokolle, Journal und Audit

1. Schritt 1: Verfügbare Syslog-, Journal- und Auditquellen inventarisieren.
2. Schritt 2: Zeitfenster und Komponenten für die Untersuchungsfrage eingrenzen.
3. Schritt 3: Prozess-, Benutzer-, Netzwerk- und Dienstereignisse normalisieren.
4. Schritt 4: Loglücken, Rotation, Manipulationshinweise und Zeitabweichungen dokumentieren.

5. Shell-Historien und Befehlsausführung

1. Schritt 1: Historien unterschiedlicher Shells und Benutzerprofile erfassen.
2. Schritt 2: Zeitinformationen, Sitzungsbezug und mögliche Historienlücken bewerten.
3. Schritt 3: Befehle mit Dateiänderungen, Netzwerkzugriffen und Privilegienwechseln korrelieren.
4. Schritt 4: Historieneinträge nicht isoliert, sondern nur mit bestätigenden Artefakten bewerten.

6. Persistenz durch Cron, systemd und Startskripte

1. Schritt 1: Benutzer- und System-Crontabs sowie periodische Jobs untersuchen.
2. Schritt 2: systemd-Einheiten, Timer, Overrides und Aktivierungszustände prüfen.
3. Schritt 3: Init-, Profil- und Startskripte nach unerwarteten Aufrufen durchsuchen.
4. Schritt 4: Verdächtige Einträge mit Besitzer, Erstellungszeit, Paketbezug und Ausführungsspuren verbinden.

7. Pakete, Dienste und Anwendungsartefakte

1. Schritt 1: Installierte Pakete, Repositories und Änderungszeitpunkte erfassen.
2. Schritt 2: Aktivierte Dienste und deren Konfiguration mit der erwarteten Systemrolle vergleichen.
3. Schritt 3: Web-, Datenbank- oder Containerartefakte nach dem jeweiligen Vorfallkontext ergänzen.
4. Schritt 4: Manuell abgelegte Binärdateien von paketverwalteten Komponenten unterscheiden.

8. Netzwerk- und Dateisystemspuren

1. Schritt 1: Netzwerkkonfiguration, Namensauflösung und bekannte Verbindungen auswerten.
2. Schritt 2: Verdächtige Pfade, temporäre Bereiche und ungewöhnliche Berechtigungen priorisieren.
3. Schritt 3: Dateimetadaten und relevante Inhalte kontrolliert extrahieren.
4. Schritt 4: Netzwerk-, Konto- und Dateispuren in einer gemeinsamen Hypothese verbinden.

9. Timeline, Befund und Übergabe

1. Schritt 1: Ausgewählte Record-Streams in eine fokussierte Hosttimeline überführen.
2. Schritt 2: Zeitzone, Zeitdrift und Artefaktsemantik vor der Korrelation prüfen.
3. Schritt 3: Befunde mit Abfrage, Quelle, Filter und Interpretation dokumentieren.
4. Schritt 4: Bestätigte Aktivität, offene Fragen und weitere Erhebungsbedarfe priorisieren.

Praxisübungen

• Triage eines Linux-Targets mit Benutzer-, Dienst- und Authentifizierungsartefakten
• Rekonstruktion einer privilegierten SSH-Sitzung aus mehreren Protokollquellen
• Analyse einer Persistenzkette über Shell, systemd und Dateisystem
• Erstellung einer validierten Linux-Hosttimeline und Befundübersicht

Zielgruppe

DFIR-Analysten, Incident Responder, SOC-Analysten und Linux- oder Unix-Administratoren

Voraussetzungen

Sichere Linux-Kommandozeilenkenntnisse, Grundverständnis von Diensten, Berechtigungen und Protokollen sowie Grundlagen digitaler Forensik