Linux Forensics

آموزش Linux Forensics؛ جرم‌یابی لینوکس

مدرس: علی سلطانی

در Linux Forensics، یک سرور لینوکسی را از زاویه شواهد باقی‌مانده از دسترسی، اجرای دستور، تغییر پیکربندی و ارتباط شبکه بررسی می‌کنیم. دوره با تدریس علی سلطانی برای تحلیلگرانی طراحی شده که باید میان لاگ‌های پراکنده، فایل‌های دست‌کاری‌شده و وضعیت زنده سیستم ارتباط برقرار کنند و درباره منشأ و دامنه رخداد پاسخ فنی بدهند.

ابتدا ساختار فایل‌سیستم، inode، لینک‌ها، زمان‌های mtime/ctime/atime و محدودیت جمع‌آوری Live مرور می‌شود. سپس ext4 و Journal، لاگ‌های احراز هویت، systemd-journald، auditd و داده‌های /proc در یک فرایند تحلیل منظم کنار هم قرار می‌گیرند. حذف یک فایل لزوماً به معنای ازبین‌رفتن تمام شواهد آن نیست؛ در مقابل، بازیابی هم به وضعیت فایل‌سیستم، بازنویسی بلوک‌ها و شرایط نگهداری وابسته است.

بخش عملی روی بررسی ورود SSH، تغییر authorized_keys، فعالیت sudo، زمان‌بندی cron، سرویس‌ها و Timerهای systemd، اجرای فایل از مسیرهای موقت و وضعیت پردازش و Socket متمرکز است. ابزارهایی مانند journalctl، ausearch، The Sleuth Kit، Plaso و ابزارهای استاندارد خط فرمان برای استخراج و همبستگی داده استفاده می‌شوند. نتیجه، یک پرونده مستند از حساب‌ها، آثار ماندگاری، مسیرهای فایل و ارتباطات مرتبط با رخداد است که تیم پاسخ بتواند بر اساس آن دامنه بررسی و اقدامات اصلاحی را تعیین کند.

مهارت‌هایی که در این دوره دنبال می‌کنید

• جمع‌آوری داده Live با ثبت آثار و محدودیت ابزار
• تفسیر inode، Timestamp و آثار فایل حذف‌شده
• بررسی لاگ SSH، sudo، journald و auditd
• کشف آثار ماندگاری در cron، systemd و پروفایل Shell
• همبستگی Process، File Descriptor و Socket
• بازسازی Timeline و گزارش دامنه نفوذ سرور

پیش‌نیازهای فنی

• تسلط به خط فرمان لینوکس و ساختار مسیرهای سیستم
• شناخت کاربر، گروه، Permission، Process و Service
• آشنایی با SSH، TCP/IP و لاگ‌های متنی
• آشنایی مقدماتی با Bash و عبارت‌های منظم

ابزارها و منابع فنی مسیر آموزش

• journalctl، ausearch و aureport
• The Sleuth Kit و Autopsy
• Plaso و ابزارهای ساخت Timeline
• stat، find، grep، awk، ss، lsof و readelf

برنامه آموزشی و سرفصل‌های تخصصی

1. Linux DFIR؛ جمع‌آوری Live و حفظ تمامیت شواهد

• تعیین دامنه Triage و ترتیب جمع‌آوری
• ثبت وضعیت Mount، زمان و نسخه سیستم
• جمع‌آوری لاگ و پیکربندی با حفظ Metadata
• خطر تغییر شواهد با اجرای ابزار روی میزبان

2. فایل‌سیستم و inode؛ Timestamp، Link و Metadata

• تفاوت mtime، ctime، atime و Birth Time
• شناخت inode، Directory Entry و Hard Link
• بررسی Permission، Ownership و Extended Attribute
• اثر Mount Option و Timezone بر تفسیر زمان

3. ext4 و Journal؛ تحلیل و محدودیت بازیابی

• شناخت Superblock، Block Group و Extent
• بررسی ساختار Journal و تراکنش فایل‌سیستم
• تحلیل آثار تغییر و حذف با The Sleuth Kit
• محدودیت بازیابی ناشی از بازنویسی، TRIM و رمزگذاری

4. احراز هویت؛ SSH، PAM، sudo و نشست کاربران

• تحلیل auth.log و secure در توزیع‌های مختلف
• بررسی Accepted/Failed Login و Source Address
• تحلیل wtmp، btmp، lastlog و محدودیت آن‌ها
• همبستگی sudo، su و تغییر سطح دسترسی

5. systemd-journald و لاگ‌های سرویس

• استخراج Journal در بازه زمانی و Unit مشخص
• بررسی Boot ID، PID و فیلدهای ساختاریافته
• تحلیل Rotation و Retention لاگ
• اتصال رویداد سرویس به پردازش و پیکربندی

6. auditd؛ تحلیل رویدادهای Syscall و File Access

• شناخت SYSCALL، EXECVE، PATH و CWD
• تفکیک uid، euid، auid و ses
• همبستگی Recordها با شناسه رویداد Audit
• جست‌وجو با ausearch و جمع‌بندی با aureport

7. آثار Shell، اجرای دستور و محیط کاربر

• بررسی Bash History و محدودیت ثبت زمان
• تحلیل پروفایل‌ها، Environment و مسیر PATH
• بررسی فایل‌های موقت و اسکریپت‌های کاربر
• مقایسه History با Audit و لاگ سرویس

8. Live Response؛ پردازش، /proc و فایل باز

• تحلیل cmdline، environ، maps و executable
• بررسی File Descriptor و فایل حذف‌شده باز
• مقایسه درخت پردازش و Parent PID
• ثبت شواهد با ابزارهای ps، lsof و stat

9. جرم‌یابی ارتباطات شبکه و سرویس‌های شنونده

• بررسی Listening Socket و اتصال Established
• پیوند PID، Process و Network Namespace
• تحلیل پیکربندی SSH، Proxy و Web Server
• همبستگی ss، لاگ فایروال و شواهد شبکه

10. Persistence؛ cron، systemd و SSH Keys

• بررسی crontab، cron directory و at jobs
• تحلیل Unit File، Drop-in و systemd Timer
• بررسی authorized_keys و تنظیمات SSH
• تحلیل rc.local و پروفایل‌های Shell

11. شواهد ELF و دست‌کاری فایل‌های سیستمی

• بررسی Header، Section و Dynamic Dependency
• مقایسه Hash و Metadata با مبنای قابل اعتماد
• بررسی Package Verification و محدودیت آن
• ارزیابی فرضیه LD_PRELOAD و تغییر Loader Configuration

12. پرونده نهایی؛ Timeline نفوذ روی سرور لینوکس

• یکسان‌سازی زمان میان Audit، Journal و فایل‌سیستم
• بازسازی نشست ورود و تغییرات پس از آن
• تعیین فایل، حساب و Persistence مرتبط
• ارائه Evidence Table و اقدامات بررسی تکمیلی

سناریوی تمرین و خروجی فنی

شواهد یک سرور شامل فایل‌سیستم، لاگ SSH و sudo، خروجی Audit، Journal و داده‌های Live بررسی می‌شود. خروجی شامل خط زمانی ورود و فعالیت، نقشه حساب‌ها و پردازش‌ها، تحلیل یک روش ماندگاری و گزارش تغییرات فایل با ارجاع به inode، رکورد لاگ و مسیر اصلی داده است.

شیوه ارائه و برنامه‌ریزی یادگیری

شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.