آموزش Linux Forensics؛ جرم‌یابی لینوکس
مدرس: علی سلطانی
در Linux Forensics، یک سرور لینوکسی را از زاویه شواهد باقی‌مانده از دسترسی، اجرای دستور، تغییر پیکربندی و ارتباط شبکه بررسی می‌کنیم. دوره با تدریس علی سلطانی برای تحلیلگرانی طراحی شده که باید میان لاگ‌های پراکنده، فایل‌های دست‌کاری‌شده و وضعیت زنده سیستم ارتباط برقرار کنند و درباره منشأ و دامنه رخداد پاسخ فنی بدهند.
ابتدا ساختار فایل‌سیستم، inode، لینک‌ها، زمان‌های mtime/ctime/atime و محدودیت جمع‌آوری Live مرور می‌شود. سپس ext4 و Journal، لاگ‌های احراز هویت، systemd-journald، auditd و داده‌های /proc در یک فرایند تحلیل منظم کنار هم قرار می‌گیرند. حذف یک فایل لزوماً به معنای ازبین‌رفتن تمام شواهد آن نیست؛ در مقابل، بازیابی هم به وضعیت فایل‌سیستم، بازنویسی بلوک‌ها و شرایط نگهداری وابسته است.
بخش عملی روی بررسی ورود SSH، تغییر authorized_keys، فعالیت sudo، زمان‌بندی cron، سرویس‌ها و Timerهای systemd، اجرای فایل از مسیرهای موقت و وضعیت پردازش و Socket متمرکز است. ابزارهایی مانند journalctl، ausearch، The Sleuth Kit، Plaso و ابزارهای استاندارد خط فرمان برای استخراج و همبستگی داده استفاده می‌شوند. نتیجه، یک پرونده مستند از حساب‌ها، آثار ماندگاری، مسیرهای فایل و ارتباطات مرتبط با رخداد است که تیم پاسخ بتواند بر اساس آن دامنه بررسی و اقدامات اصلاحی را تعیین کند.
مهارت‌هایی که در این دوره دنبال می‌کنید
- جمع‌آوری داده Live با ثبت آثار و محدودیت ابزار
- تفسیر inode، Timestamp و آثار فایل حذف‌شده
- بررسی لاگ SSH، sudo، journald و auditd
- کشف آثار ماندگاری در cron، systemd و پروفایل Shell
- همبستگی Process، File Descriptor و Socket
- بازسازی Timeline و گزارش دامنه نفوذ سرور
پیش‌نیازهای فنی
- تسلط به خط فرمان لینوکس و ساختار مسیرهای سیستم
- شناخت کاربر، گروه، Permission، Process و Service
- آشنایی با SSH، TCP/IP و لاگ‌های متنی
- آشنایی مقدماتی با Bash و عبارت‌های منظم
ابزارها و منابع فنی مسیر آموزش
- journalctl، ausearch و aureport
- The Sleuth Kit و Autopsy
- Plaso و ابزارهای ساخت Timeline
- stat، find، grep، awk، ss، lsof و readelf
برنامه آموزشی و سرفصل‌های تخصصی
1. Linux DFIR؛ جمع‌آوری Live و حفظ تمامیت شواهد
- تعیین دامنه Triage و ترتیب جمع‌آوری
- ثبت وضعیت Mount، زمان و نسخه سیستم
- جمع‌آوری لاگ و پیکربندی با حفظ Metadata
- خطر تغییر شواهد با اجرای ابزار روی میزبان
2. فایل‌سیستم و inode؛ Timestamp، Link و Metadata
- تفاوت mtime، ctime، atime و Birth Time
- شناخت inode، Directory Entry و Hard Link
- بررسی Permission، Ownership و Extended Attribute
- اثر Mount Option و Timezone بر تفسیر زمان
3. ext4 و Journal؛ تحلیل و محدودیت بازیابی
- شناخت Superblock، Block Group و Extent
- بررسی ساختار Journal و تراکنش فایل‌سیستم
- تحلیل آثار تغییر و حذف با The Sleuth Kit
- محدودیت بازیابی ناشی از بازنویسی، TRIM و رمزگذاری
4. احراز هویت؛ SSH، PAM، sudo و نشست کاربران
- تحلیل auth.log و secure در توزیع‌های مختلف
- بررسی Accepted/Failed Login و Source Address
- تحلیل wtmp، btmp، lastlog و محدودیت آن‌ها
- همبستگی sudo، su و تغییر سطح دسترسی
5. systemd-journald و لاگ‌های سرویس
- استخراج Journal در بازه زمانی و Unit مشخص
- بررسی Boot ID، PID و فیلدهای ساختاریافته
- تحلیل Rotation و Retention لاگ
- اتصال رویداد سرویس به پردازش و پیکربندی
6. auditd؛ تحلیل رویدادهای Syscall و File Access
- شناخت SYSCALL، EXECVE، PATH و CWD
- تفکیک uid، euid، auid و ses
- همبستگی Recordها با شناسه رویداد Audit
- جست‌وجو با ausearch و جمع‌بندی با aureport
7. آثار Shell، اجرای دستور و محیط کاربر
- بررسی Bash History و محدودیت ثبت زمان
- تحلیل پروفایل‌ها، Environment و مسیر PATH
- بررسی فایل‌های موقت و اسکریپت‌های کاربر
- مقایسه History با Audit و لاگ سرویس
8. Live Response؛ پردازش، /proc و فایل باز
- تحلیل cmdline، environ، maps و executable
- بررسی File Descriptor و فایل حذف‌شده باز
- مقایسه درخت پردازش و Parent PID
- ثبت شواهد با ابزارهای ps، lsof و stat
9. جرم‌یابی ارتباطات شبکه و سرویس‌های شنونده
- بررسی Listening Socket و اتصال Established
- پیوند PID، Process و Network Namespace
- تحلیل پیکربندی SSH، Proxy و Web Server
- همبستگی ss، لاگ فایروال و شواهد شبکه
10. Persistence؛ cron، systemd و SSH Keys
- بررسی crontab، cron directory و at jobs
- تحلیل Unit File، Drop-in و systemd Timer
- بررسی authorized_keys و تنظیمات SSH
- تحلیل rc.local و پروفایل‌های Shell
11. شواهد ELF و دست‌کاری فایل‌های سیستمی
- بررسی Header، Section و Dynamic Dependency
- مقایسه Hash و Metadata با مبنای قابل اعتماد
- بررسی Package Verification و محدودیت آن
- ارزیابی فرضیه LD_PRELOAD و تغییر Loader Configuration
12. پرونده نهایی؛ Timeline نفوذ روی سرور لینوکس
- یکسان‌سازی زمان میان Audit، Journal و فایل‌سیستم
- بازسازی نشست ورود و تغییرات پس از آن
- تعیین فایل، حساب و Persistence مرتبط
- ارائه Evidence Table و اقدامات بررسی تکمیلی
سناریوی تمرین و خروجی فنی
شواهد یک سرور شامل فایل‌سیستم، لاگ SSH و sudo، خروجی Audit، Journal و داده‌های Live بررسی می‌شود. خروجی شامل خط زمانی ورود و فعالیت، نقشه حساب‌ها و پردازش‌ها، تحلیل یک روش ماندگاری و گزارش تغییرات فایل با ارجاع به inode، رکورد لاگ و مسیر اصلی داده است.
شیوه ارائه و برنامه‌ریزی یادگیری
شیوه ارائه این دوره ضبط‌شده / آنلاین است. سرفصل‌ها و زمان‌بندی جلسات، برنامه آموزشی دوره را نشان می‌دهند؛ دسترسی به محتوای جلسات پس از فعال‌شدن ثبت‌نام ارائه می‌شود.