Módulo de análisis forense para artefactos Linux

Abstract

[ES] Este trabajo consiste en la implementación de un módulo de procesamiento de artefactos forenses de sistemas Linux, como son “bashrc”, “crontab”, grupos de usuarios, “known_hosts”, etc. El objetivo principal del módulo es hacer más fácil la tarea de investigación en incidentes de ciberseguridad, para poder identificar actividades sospechosas y la trazabilidad de acciones realizadas en el pasado. Dicho módulo será integrado dentro de un agente, perteneciente a la suite de productos de seguridad de la organización. El módulo se ha desarrollado para procesar los artefactos mencionados de forma automatizada, de manera que se puedan extraer aquellos datos relevantes para la investigación del incidente sin tener que realizarlo de forma manual. Esta implementación responderá a tareas generadas por la consola central. Se dispondrá de una serie de parámetros que definirán el objetivo y la forma de realización de los análisis forenses. Dichos parámetros incluirán la lista de artefactos a analizar ya que existe la posibilidad de que no se necesiten todos. El procesamiento de los artefactos se realiza mediante el análisis de los archivos correspondientes y la extracción de información relevante, como usuarios, permisos, fechas de modificación y otros metadatos. Estos datos se organizan y presentan en una estructura fácil de interpretar para el investigador, lo que facilita la identificación de patrones y la detección de comportamientos anómalos. El módulo de procesamiento de artefactos forenses de sistemas Linux resulta de gran utilidad para investigadores y profesionales de la seguridad informática, ya que permite una identificación más rápida y precisa de actividades sospechosas en sistemas Linux comprometidos. Finalmente, como resultado del análisis se podrá devolver un zip con los artefactos o un timeline de eventos en formato “.json”.

[EN] This work consists of the implementation of an artifact processing module Linux system forensics, such as “bashrc”, “crontab”, user groups, "known_hosts", etc. The main objective of the module is to make easier the task of investigation of cybersecurity incidents, in order to identify activities suspicions and the traceability of actions carried out in the past. Said module will be integrated into an agent, belonging to the suite of security products of the organization. The module has been developed to process the mentioned artifacts in a automated, so that relevant data can be extracted for the investigation of the incident without having to do it manually. This implementation will respond to tasks generated by the central console. Will have a series of parameters that will define the objective and the way of carrying out the analyzes forensics. These parameters will include the list of artifacts to analyze since there is the possibility that not all of them are needed. The processing of the artifacts is done by analyzing the files and the extraction of relevant information, such as users, permissions, modification dates and other metadata. These data are organized and presented in a structure easy to interpret for the investigator, which facilitates the identification of patterns and the detection of anomalous behaviors. The module for processing Linux system forensic artifacts is of great useful for researchers and information security professionals, since it allows faster and more accurate identification of suspicious activity on Linux systems committed. Finally, as a result of the analysis, a zip can be returned with the artifacts or a timeline of events in “.json” format.