Seminar Incident Response: Linux-Server untersuchen und absichern

Auf einem möglicherweise kompromittierten Linux-System muss jede Untersuchung auch die Vertrauenswürdigkeit der verwendeten Werkzeuge berücksichtigen. Das Seminar entwickelt eine geordnete Vorgehensweise von der ersten Bestandsaufnahme bis zur Entscheidung über einen Neuaufbau. Es berücksichtigt Unterschiede bei Protokollierung und Diensteverwaltung und macht die Grenzen einer rein lokalen Sicht deutlich.

Untersucht werden ein verdächtiger Zugang und nachfolgende Veränderungen auf einem vorbereiteten Server. Die Analyse verbindet Anmeldeinformationen, laufende Prozesse, offene Verbindungen und ausgewählte Konfigurationsartefakte. Ziel ist eine begrenzte, nachvollziehbare Ursachen- und Reichweitenanalyse, aus der passende Eindämmungsmaßnahmen und ein vertrauenswürdiger Wiederanlauf abgeleitet werden können.

Lernziele

• Einen Linux-Server mit dokumentierter Reihenfolge untersuchen.
• Flüchtige Daten und dauerhaft gespeicherte Protokolle gezielt erfassen.
• Auffällige Zugänge, Prozesse und Persistenzmechanismen im Kontext bewerten.
• Serverisolation und Geheimniswechsel mit Dienstabhängigkeiten abstimmen.
• Bereinigung, Neuaufbau und Nachkontrolle anhand konkreter Kriterien vergleichen.

Inhaltsverzeichnis

1. Auftrag, Systemkontext und Sicherung
2. Anmeldungen und Rechteänderungen
3. Prozesse und Netzwerkverbindungen
4. Persistenz und Dateisystemspuren
5. Eindämmung und Wiederanlauf
6. Befund und Wirksamkeitskontrolle

Seminarinhalte

Auftrag, Systemkontext und Sicherung

• Dienste, Schnittstellen und Administrationswege des Servers erfassen.
• Systemzeit, flüchtige Daten und verfügbare Logquellen priorisieren.
• Eingriffe protokollieren und mit vertrauenswürdigen Arbeitsmitteln arbeiten.

Anmeldungen und Rechteänderungen

• SSH-, Authentifizierungs- und sudo-Spuren zeitlich zuordnen.
• Benutzer, Gruppen und autorisierte Schlüssel auf Veränderungen prüfen.
• Lokale Hinweise mit zentral gespeicherten Protokollen abgleichen.

Prozesse und Netzwerkverbindungen

• Prozessbeziehungen, offene Dateien und Verbindungen im Zusammenhang untersuchen.
• Ungewöhnliche Ausführungskontexte und Dienste anhand einer Sollkonfiguration bewerten.
• Aussagegrenzen lokaler Werkzeuge auf einem kompromittierten System benennen.

Persistenz und Dateisystemspuren

• systemd-Einheiten, Zeitsteuerungen und ausgewählte Startkonfigurationen prüfen.
• Dateieigenschaften und Paketinformationen mit vertrauenswürdigen Vergleichsdaten abgleichen.
• Zeitstempel und Shell-Verläufe als ergänzende, veränderbare Hinweise behandeln.

Eindämmung und Wiederanlauf

• Netzbeschränkung, Zugangssperre und Schlüsselwechsel aufeinander abstimmen.
• Beweissicherung und Betriebsanforderungen bei der Wahl der Maßnahmen berücksichtigen.
• Neuaufbau aus geprüften Quellen mit Konfigurations- und Datenprüfung planen.

Befund und Wirksamkeitskontrolle

• Die vermutete Ereignisfolge mit Belegen und offenen Fragen dokumentieren.
• Eindämmung aus einer unabhängigen Sicht kontrollieren.
• Zusätzliche Protokollierung und Beobachtung für den Wiederanlauf festlegen.

Praxisübungen

Praxisfall: Verdächtiger SSH-Zugang mit neu angelegtem Hintergrunddienst

1. Systemkontext und freigegebenen Untersuchungsumfang im Labor erfassen.
2. Flüchtige Informationen und verfügbare Authentifizierungsprotokolle dokumentiert sichern.
3. Konten, Schlüssel, Prozesse und systemd-Konfigurationen auf zusammenhängende Änderungen prüfen.
4. Eine passende Eindämmungsmaßnahme umsetzen und den Zugang unabhängig kontrollieren.
5. Einen Neuaufbauplan mit zu übernehmenden Daten, Geheimniswechsel und Prüfkriterien erstellen.

Schulungsumgebung

Isolierte Linux-Server mit vorbereiteten Spuren, zentrale Protokollkopien und vertrauenswürdige Vergleichskonfigurationen; praktische Arbeit überwiegend an der Kommandozeile.

Passendes Intensivseminar

Der Schwerpunkt wird auch gebündelt angeboten: Incident Response Intensiv: Forensik, Windows, Linux und Netzwerke.