🏗️ Linux rebuilds

Hola Amigos.

Estamos consientes que, en el mundo de la ciberseguridad, existe un momento crítico en la vida de todo administrador o analista: el instante en el que te das cuenta de que algo no está bien, un proceso extraño, un consumo de CPU inusual o un archivo que no debería estar ahí.

En ese punto, la pregunta no es "¿qué hago ahora?", sino "¿qué fue exactamente lo que pasó?". Linux, por su propia naturaleza transparente, no es solo un sistema operativo; es una caja negra que registra cada movimiento, si sabes dónde mirar.

El sistema como testigo silencioso

A diferencia de otros entornos donde los eventos se ocultan tras bases de datos propietarias, en Linux la verdad reside en el texto plano, la capacidad de reconstruir una línea de tiempo depende de tu habilidad para interrogar al sistema.

Antes de intentar analizar incidentes complejos, necesitas entender cómo respira el sistema, cada vez que un usuario inicia sesión, cada vez que un servicio falla o un comando se ejecuta con privilegios de administrador, Linux escribe una nota sobre ello.

Tu trabajo es unir esos puntos.

"El mapa del pasado"

Todo lo que sucede en el corazón del sistema termina en un solo lugar: /var/log/ este es el epicentro de cualquier investigación.

• auth.log / secure: Aquí es donde se registran los intentos de acceso, un analista experimentado no solo busca inicios de sesión exitosos; busca los mil intentos fallidos que precedieron al éxito, aquí se revelan las fuerzas brutas y los escalamientos de privilegios.

• syslog / messages: El diario general del sistema, si un atacante intentó cargar un módulo extraño en el kernel o si un servicio inusual se activó de madrugada, este log tendrá el rastro.

• btmp / wtmp: Estos archivos no son legibles por humanos directamente, pero herramientas como last o lastb te permiten saber quién ha estado conectado y desde dónde, es la lista de pasajeros de tu servidor.

Reconstrucción

La reconstrucción no solo se trata de leer lo que ya pasó, sino de observar qué sigue pasando, el sistema actual es un reflejo de las acciones previas de un intruso.

Comandos como ps auxf nos permiten ver la jerarquía de los procesos, un proceso "huérfano" o que se hace pasar por un servicio legítimo como systemd es un indicio claro de manipulación, al mismo tiempo, revisar las conexiones de red activas con netstat o ss nos dice con quién está hablando el sistema en este preciso instante.

Si un proceso local está enviando datos a una IP en el extranjero de forma constante, ya tienes el final de la cuerda de la que debes tirar para desenredar el ovillo.

Entiende Primero

Muchos aspirantes a analistas saltan directamente a intentar usar herramientas complejas de investigación sin conocer primero cómo se ve un sistema saludable.

La clave para reconstruir lo que pasó no es tener un software mágico, sino conocer el estado base (baseline) de tu servidor. Si no sabes qué servicios deben estar corriendo normalmente, nunca notarás el que no debería estar ahí, DOMINAR la arquitectura interna de LINUX es el requisito indispensable para detectar cualquier desviación en la seguridad.

Ahora YA LO SABES, si quieres dejar de ser un espectador y convertirte en el arquitecto de tus propias investigaciones, entender Linux es el primer paso, el sistema siempre habla; solo tienes que aprender su lenguaje.

Únete al curso LINUX PARA CIBERSEGURIDAD - Mención en Informática Forense, no pierdas la oportunidad, estamos a punto de cerrar inscripciones, haz clic en el siguiente botón y REGÍSTRATE AHORA

Estamos muy cerca de presentar algo nuevo que te llevará al siguiente nivel en el análisis de sistemas. Mantente atento.

¡Nos vemos en una próxima!
Saludos
Equipo Hacker Mentor