analyzing-persistence-mechanisms-in-linux

Linux の永続化メカニズムの分析

概要

攻撃者は、crontab ジョブ、systemd サービス／タイマーユニット、LD_PRELOAD ライブラリのインジェクション、シェルプロファイルの変更（.bashrc、.profile）、SSH の authorized_keys を利用したバックドア、init スクリプトの改ざんを通じて、Linux システム上で永続化を確立します。このスキルでは、既知の永続化ベクトルをすべてスキャンし、ファイルのタイムスタンプと整合性を確認して、検出結果を auditd ログと照合し、永続化のインストール時系列を作成します。

使用する場面

• Linux の永続化メカニズムの分析が必要なセキュリティインシデントを調査するとき
• この領域の検出ルールや脅威ハンティング用クエリを作成するとき
• SOC アナリストがこの種の分析に関する体系的な手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• 対象の Linux システム（またはフォレンジックイメージ）への root または sudo アクセス
• 永続化パスに対するファイル監視ルールを設定した auditd
• 標準ライブラリ（os、subprocess、json）を備えた Python 3.8+
• オプション：ファイル整合性監視アラート用の OSSEC/Wazuh エージェント

手順

1. Crontab エントリをスキャンする — すべてのユーザーの crontab、/etc/cron.d/、/etc/cron.daily/、および anacron ジョブを列挙し、不審なコマンドを探します
2. Systemd ユニットを監査する — /etc/systemd/system/ と ~/.config/systemd/user/ を確認し、パッケージ管理対象ではないサービスユニットとタイマーユニットを探します
3. LD_PRELOAD の乗っ取りを検出する — /etc/ld.so.preload と LD_PRELOAD 環境変数を確認し、注入された共有ライブラリを探します
4. シェルプロファイルを調査する — .bashrc、.bash_profile、.profile、/etc/profile.d/ をスキャンし、注入されたコマンドやリバースシェルを探します
5. SSH の authorized_keys を確認する — すべての authorized_keys ファイルを監査し、コマンド制限付きの未承認公開鍵を探します
6. Auditd ログを照合する — auditd ログで永続化パス上のファイル変更イベントを検索し、インストール時系列を作成します
7. 永続化レポートを生成する — 発見されたすべての永続化メカニズムについて、リスクスコア付きレポートを作成します

想定される出力

• 検出されたすべての永続化メカニズムとリスクスコアを含む JSON レポート
• auditd の照合結果に基づく永続化インストール時系列
• MITRE ATT&CK の手法マッピング（T1053、T1543、T1574、T1546）
• 検出された各永続化メカニズムに対する修復コマンド