SI Investigação de Infecção no Ubuntu

De wikiti
Ir para navegação Ir para pesquisar


Investigação de Infecção

Preparação do Ambiente

Instalação de Ferramentas Necessárias

sudo apt install rkhunter chkrootkit clamav

Instalação do agente do SIEM

Backup de Dados

Passo 1: Faça um backup / snapshot

Verificação de Processos e Conexões Suspeitas

Analisar Processos em Execução

  • Passo 1: Liste todos os processos em execução e identifique atividades suspeitas.
  • Comandos:
ps aux
  • O que procurar:
    • Processos com nomes estranhos ou desconhecidos.
    • Processos repetitivos

Verificar Conexões de Rede

  • Passo 1: Análise de conexões de rede ativas.
  • Comandos:
netstat -tulnp 
ss -tulnp
  • O que procurar:
    • Conexões para IPs desconhecidos ou portas incomuns.

Identificar Processos Conectados a IPs Suspeitos

  • Passo 1: Use lsof para identificar processos que estão se conectando à IPs suspeitos.
  • Comando:
sudo lsof -i

Verificação de Arquivos e Diretórios Suspeitos

Procurar por Arquivos Modificados Recentemente

  • Passo 1: Localize arquivos modificados recentemente.
  • Comando:
find / -mtime -7 -type f
  • O que procurar:
    • Arquivos em diretórios como /tmp, /var/tmp, /dev/shm, e /root.

Verificar Arquivos Ocultos

  • Passo 1: Procure por arquivos ou diretórios ocultos.
  • Comando:
find / -name ".*" -type f

Verificar Arquivos de Inicialização

  • Passo 1: Verifique arquivos de inicialização e crontabs.
  • Comandos:
cat /etc/rc.local 
ls -la /etc/init.d/ 
crontab -l 
ls -la /var/spool/cron/crontabs/

Verificação de Usuários e Permissões

Verificar Usuários Suspeitos

  • Passo 1: Verifique se há usuários desconhecidos ou contas com privilégios elevados.
  • Comandos:
cat /etc/passwd 
cat /etc/shadow
  • O que procurar
    • Contas com UID 0 (root) ou shells estranhas.

Verificar Chaves SSH

  • Passo 1: Verifique chaves SSH não autorizadas.
  • Comandos:
cat ~/.ssh/authorized_keys 
cat /root/.ssh/authorized_keys

Verificação de Rootkits e Malwares

RKHunter

  • Passo 1: Execute o RKHunter para verificar rootkits.
  • Comando:
sudo rkhunter --check

Chkrootkit

  • Passo 1: Execute o Chkrootkit para verificar rootkits.
  • Comando:
sudo chkrootkit

ClamAV

  • Passo 1: Verifique a presença de malwares com o ClamAV.
  • Comando:
sudo clamscan -r /

Verificação de Logs

Analisar Logs do Sistema

  • Passo 1: Verifique logs importantes, como /var/log/auth.log e /var/log/syslog.
  • Comandos:
sudo cat /var/log/auth.log | grep "Failed" 
sudo cat /var/log/syslog | grep "error"

Verificar Logs de SSH

  • Passo 1: Analise logs de SSH para tentativas de login suspeitas.
  • Comando:
sudo cat /var/log/auth.log | grep "sshd"<pre>

== Verificação de rede ==

=== Analisar Logs de rede ===
*Passo 1: verificar com tcpdump
*Comandos:
<pre>sudo cat /var/log/auth.log | grep "Failed"
  • Exemplo Wireshark:
ip.src==192.168.6.51 && !(ip.dst >= 192.168.0.0 && ip.dst <= 192.168.255.255) && !(ip.dst >= 10.140.0.0 && ip.dst <= 10.140.255.255)
  • Exemplo tcpdump:
tcpdump -i any -w tcpdump.pcap

Verificação de vulnerabilidade

Analisar vulnerabilidades com OpenVAS (Open Vulnerability Assessment System)

CRIAR!!! Scanner de vulnerabilidades com Greenbone

Disponível em “https://wiki-ti.unesp.br/index.php?title=SI_Investigação_de_Infecção_no_Ubuntu&oldid=1012”