Investigação Forense de Logs do Linux

Visão Geral

Sistemas Linux mantêm logs extensos que servem como fontes primárias de evidências em investigações forenses. Diferente dos Logs de Eventos do Windows, os logs do Linux são tipicamente arquivos de texto simples armazenados em /var/log/ e arquivos binários de journal gerenciados pelo systemd-journald. Logs forenses chave incluem auth.log (eventos de autenticação, uso de sudo, sessões SSH), syslog (mensagens de todo o sistema), kern.log (eventos do kernel) e logs específicos de aplicativos. O framework de Auditoria do Linux (auditd) fornece logging detalhado de eventos de segurança comparável aos Logs de Eventos de Segurança do Windows. A análise forense desses logs permite que investigadores reconstruam sessões de usuários, identifiquem acesso não autorizado, detectem escalonamento de privilégios, rastreiem movimento lateral e estabeleçam linhas do tempo abrangentes de eventos.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de investigação forense de logs do Linux.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes de segurança ou atividades de auditoria agendadas.
• Ao validar controles de segurança através de testes práticos.

Pré-requisitos

• Familiaridade com conceitos e ferramentas de forense digital.
• Acesso a um ambiente de teste ou laboratório para execução segura.
• Python 3.8+ com as dependências necessárias instaladas.
• Autorização apropriada para quaisquer atividades de teste.

Arquivos de Log Chave e Localizações

Técnicas de Análise

Análise de Logs de Autenticação

# Find all successful SSH logins
grep "Accepted" /var/log/auth.log

# Find failed SSH login attempts
grep "Failed password" /var/log/auth.log

# Extract unique source IPs from failed logins
grep "Failed password" /var/log/auth.log | grep -oP '\d+\.\d+\.\d+\.\d+' | sort -u

# Find sudo command execution
grep "sudo:" /var/log/auth.log | grep "COMMAND"

# Detect brute force patterns (>10 failures from same IP)
grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -20

# Find account creation events
grep "useradd\|adduser" /var/log/auth.log

# Detect SSH key authentication
grep "Accepted publickey" /var/log/auth.log

Análise do Journal do Systemd

# Export journal in JSON format for forensic processing
journalctl --output=json --no-pager > journal_export.json

# Filter by time range
journalctl --since "2025-02-01" --until "2025-02-15" --output=json > timerange.json

# Filter by unit/service
journalctl -u sshd --output=json > sshd_journal.json

# Show kernel messages (USB events, module loads)
journalctl -k --output=json > kernel_journal.json

# Filter by priority (0=emerg to 7=debug)
journalctl -p err --output=json > errors.json

# Boot-specific logs
journalctl -b 0 --output=json > current_boot.json
journalctl --list-boots  # List all recorded boot sessions

Análise do Framework de Auditoria do Linux

# Search audit log for specific event types
ausearch -m USER_AUTH --start today

# Search for file access events
ausearch -f /etc/shadow

# Search for process execution
ausearch -m EXECVE --start "02/01/2025" --end "02/28/2025"

# Generate report of login events
aureport --login --start "02/01/2025"

# Generate summary of failed authentications
aureport --auth --failed

# Search for specific user activity
ausearch -ua 1001  # By UID
ausearch -ua username  # By username

Investigação de Tarefas Cron

# Verificar crontab do sistema
cat /etc/crontab

# Verificar crontabs de usuários
ls -la /var/spool/cron/crontabs/

# Revisar logs de execução do cron

…