🔍 Ищем следы взлома в файлах каталога /var/log

Системные журналы var/log фиксируют все подключения, попытки аутентификации, запуски процессов, сетевые соединения и команды пользователей. Это делает их удобными «черными ящиками» Linux-систем, при грамотном анализе которых можно получить бесценную информацию для расследования инцидентов.

👤 Семен Рогачев, руководитель отдела реагирования на инциденты в Бастионе, в разговоре с Cyber Media дал несколько советов, с чего начать и как грамотно анализировать /var/log.

«Многое зависит от того, была ли распределена инфраструктура, которая использовалась атакующим при взломе пароля, пытался ли он подобрать одну учетную запись или несколько, а также от других факторов. В рамках тестирования гипотезы можно начать с фильтрации успешных и неуспешных событий аутентификации, а дальше группировать по IP-адресу источника или учетной записи».

🔗 Подробности читайте в материале Cyber Media.

#Эксперты

• TG • VK •