EP 15 / EPISODE BRIEF
見慣れない自動起動設定
systemdの新規ファイルと監査記録を読む
Northstar Labの防御監査として、systemctl list-unit-files、/etc/systemd/systemの新規ファイル、stat、audit.logを読みます。自動起動の作成・有効化・隠蔽や封じ込めコマンドは実行せず、観測事実と判断を記録します。
このエピソードで学ぶこと
unitはsystemdが管理する設定の単位です。serviceは処理、timerは起動のタイミングを定義します。enabledは起動の設定状態を示します。
有効化の設定と、現在の稼働・実行履歴は別です。設定ファイルとログを照合します。
ミッション
- 自動起動ユニットを一覧化するsystemdユニットの有効状態から監査対象を見つける
- 新規ユニットファイルを探す監査期間に新しく見つかったsystemdファイルのパスを記録する
- ファイル属性を記録するserviceとtimerのSHA-256を記録して比較材料にする
- 監査ログと結び付けるunit作成・有効化に関するactor・ticket・resultを時刻とともに確認する
- 自動起動痕跡を判断する観測事実と未確定事項を分け、封じ込めを実行せず判断を引き継ぐ