11、Linux系统恶意软件取证指南

Linux系统恶意软件取证指南

1. 引言

如果将实时系统分析比作手术，那么对受恶意软件影响的Linux系统进行取证检查就如同对计算机进行尸检。在受攻击主机的硬盘上的各个位置，包括文件、配置条目、系统日志记录和相关时间戳，都可能找到与特定恶意软件相关的痕迹证据。对Linux系统上的此类痕迹证据进行取证检查是分析恶意代码的重要组成部分，它能提供背景信息和额外细节，帮助我们解答有关恶意软件事件的重要问题，例如恶意软件是如何被放置在系统上的、它做了什么以及涉及哪些远程系统。

2. 调查注意事项

• 反取证技术 ：过去，在受攻击的Linux计算机的文件系统和配置脚本中发现恶意软件痕迹相对容易。但如今，攻击者采用反取证技术来隐藏其活动或使恶意文件与合法文件混为一谈。例如，入侵者可能会将恶意文件的inode更改时间（ctime）时间戳回溯到与合法系统文件相同的值，还会从合法服务中获取标识和其他特征并编译到木马版本中，使其尽可能与合法版本相似。因此，数字调查人员应警惕受攻击系统上的错误信息。
• 现代恶意软件特点 ：现代恶意软件旨在在受攻击主机上留下有限的痕迹，并将更多信息存储在内存而非磁盘上。采用有条不紊的取证检查方法，从各个角度仔细审视系统，能增加发现入侵者未能隐藏的痕迹的机会。

3. Linux取证分析概述

在获取受攻击系统的取证副本后，应采用一致的取证检查方法，以提取与恶意软件事件相关的最大信息量。

3.1 系统管理与取证的区别

Linux系统管理员通常知识渊博，当他们在系统上