Incident response: log, triage e forense
Triage immediato, dump di memoria, analisi syscall con auditd e ricerca IoC. Ogni comando è verificato e copiabile; in chat basta descrivere cosa vuoi fare.
4 comandi in questa pagina
# Come cerco i comandi eseguiti con aureport?
aureport -x --summaryGenera il riepilogo statistico di tutti gli eseguibili invocati (syscall execve), evidenziando anomalie e binari insoliti.
Approfondisci: Come si configura il sottosistema auditd su Linux per tracciare chiamate di sistema sospette?Dove sono i log su Linux (journalctl e /var/log)?
# Come trovo il processo e PID di una connessione sospetta?
ss -tupna '( dport = :https or sport = :https )'Filtra le connessioni TCP/UDP visualizzando processo (p), numerico (n), tutte le socket (a) su porte target.
Approfondisci: Cosa sono le porte TCP e UDP (e quali sapere a memoria)?Come si termina un processo Linux (kill, pkill e processi zombie)?
# Come vedo gli errori critici del boot corrente in journalctl?
journalctl -b -p err..emerg -o short-isoIsola esclusivamente i messaggi da Error a Emergency dell'avvio attuale formattando i timestamp in ISO 8601.
Approfondisci: Dove sono i log su Linux (journalctl e /var/log)?Come si fa security logging fatto bene?
# Come verifico l'hash sha256 di un file o binario sospetto?
sha256sum /usr/bin/<binario>Calcola il digest SHA256 per confrontarlo con i digest noti o gli IoC pubblicati nei feed di threat intelligence.
Approfondisci: Come si implementa un'architettura di log immutabili con WORM e hashing crittografico?Cos'è la supply chain security del software (SBOM, SLSA)?