Memeriksa perubahan pada Linux live OS's

0

Saya seorang pemula ke terminal linux live OS's (misalnya Kali Linux).

Tolong beri tahu apa

1) dalam program yang dibangun (mis. Syslog ...),

2) Perintah di Terminal (mis. Ls, ps, md5sum, ...)

yang bisa digunakan untuk memeriksa perubahan pada OS Live (sejak boot dari disk)? Pemeriksaan integritas IE. Saya tertarik untuk turun ke level kernel dalam lingkup.

linux forensics kali-linux terminal unseen_rider
sumber
Apa yang ingin Anda deteksi? Perubahan ke file yang ada di live CD / USB? Sudahkah Anda mencoba findsalah satu opsi waktu? Saya berpikir -mtimedan -ctimememiliki apa yang Anda butuhkan.
Neil Smithline
1
Meskipun Anda menggunakan Kali, ini lebih cocok di forum linux / server.
schroeder
Lihatlah tripwire
wireghoul

Jawaban:

0

LiveCD umumnya bekerja dalam satu dari dua cara:

  1. Mereka memasang root filesystem dari CD, kemudian menambahkan tmpfsfilesystem berbasis untuk tempat-tempat (seperti /varatau /home) yang dimaksudkan untuk dimodifikasi. Dalam hal ini, sangat sederhana: file inti tidak berubah, karena mereka tidak pada sistem file yang dapat ditulisi.

  2. Mereka memasang sistem file root dari CD, kemudian menambahkan sistem file overlay yang mengalihkan semua modifikasi ke RAM. Dalam hal ini, cara terbaik untuk memeriksa perubahan adalah dengan melihat dokumentasi untuk sistem file overlay yang digunakan, dan melihat bagaimana memeriksanya untuk perubahan.

Perhatikan bahwa dalam kedua kasus tersebut, penyerang dapat menyembunyikan perubahan dari Anda dengan merusak alat yang ingin Anda gunakan. Anda tidak dapat memeriksa sistem untuk integritas dari dalam sistem. Anda harus memeriksanya dari luar.

Menandai
sumber
Ok, jadi bagaimana caranya memeriksa integritas sistem live dari luar?
unseen_rider
Tergantung pada bagaimana Anda melihatnya dari luar (mesin virtual vs memori dump vs ....), dan ini merupakan latihan yang tidak sepele.
Mark
istilah pencarian apa yang harus saya gunakan untuk melihat lebih jauh?
unseen_rider
-1

Anda harus menggunakan journalctl . Ini memberitahu Anda hal-hal yang terjadi di systemd sejak sebelumnya. Tidak tahu apakah itu ada di Kali dan LiveCDs

brainsandwich
sumber