Подозрительные процессы в Linux: как найти неизвестную службу, сетевое соединение и автозапуск
A practical guide for beginner Blue Team specialists explains how to check processes, systemd services, network connections and cron jobs without installing extra tools. It sets up a scenario in which a server suddenly starts using more resources and unknown network connections appear. In that scenario, a process starts again after a reboot even though the administrator had apparently already stopped it.
Практическое руководство для начинающих специалистов Blue Team: проверяем процессы, службы systemd, сетевые соединения и задания cron без установки дополнительных инструментов. Представим ситуацию: сервер неожиданно начал потреблять больше ресурсов, появились неизвестные сетевые соединения, а после перезагрузки снова запускается процесс, который администратор вроде бы уже останавливал. Это не обязательно означает взлом. Причиной может быть неисправное приложение, некорректная конфигурация службы, резервное копирование или обычная задача обслуживания. Но иногда подобные признаки указывают на нежелательную активность. В этом случае специалисту важно понять три вещи: Читать далее