Этичный Хакер
MAX ·
😈 Подозрительные процессы в Linux: как найти неизвестную службу, сетевое соединение и автозапуск
Сервер внезапно начал нагружать процессор, появились неизвестные сетевые соединения, а после перезагрузки снова запускается подозрительный процесс?
Это не обязательно взлом, но повод проверить систему. Что проверяем в первую очередь:
◦ Запущенные процессы: команды ps aux, top и htop помогут обнаружить необычную нагрузку, а /proc/PID/exe покажет реальный путь к исполняемому файлу;
◦ Сетевые подключения: через ss -lntup можно найти открытые порты и связанные с ними процессы. Неизвестное исходящее соединение тоже стоит проверить;
◦ Службы systemd: команды systemctl status и systemctl cat позволяют изучить неизвестные службы, их конфигурации и команды запуска;
◦ Механизмы автозапуска: проверяем crontab -l, системные cron-задания и systemctl list-timers --all. Злоумышленники могут использовать расписания для закрепления в системе;
◦ SSH и учётные записи: ищем неизвестных пользователей, дополнительные аккаунты с UID 0 и посторонние ключи в authorized_keys;
◦ Системные журналы: через journalctl сопоставляем события: необычный SSH-вход, создание службы и последующее сетевое соединение могут указывать на связанную активность.
Высокая нагрузка CPU или неизвестный процесс ещё не доказывают компрометацию. Перед удалением файлов и перезагрузкой сервера необходимо сохранить журналы и другие следы возможного инцидента
— В статье разобраны команды, примеры их использования и последовательность первичного расследования для для начинающих специалистов Blue Team без установки дополнительных инструментов 👇
🗣️ Ссылка на чтиво
🧑💻 Этичный хакер
