Essential Linux Commands for Cybersecurity Specialists
Linux ist für Security-Analysen besonders wertvoll, weil die Kommandozeile direkten Zugriff auf Netzwerk-, Prozess-, Datei- und Systeminformationen ermöglicht.
Command-Line als Analyseebene
Der Leitfaden ordnet Security-Kommandos in Netzwerk-, Prozess-, Dateisystem-, Log-, Benutzer- und Systemebenen ein.
Defensive Anwendung
Die Beispiele sind auf Analyse, Incident Response, Forensik und Hardening ausgerichtet und sollten nur auf eigenen oder ausdrücklich autorisierten Systemen eingesetzt werden.
01
Netzwerkanalyse
ss, netstat und tcpdump liefern Sichtbarkeit über Verbindungen, offene Ports und Paketverkehr. Besonders nützlich ist die Kombination aus Socket-, Prozess- und Paketinformationen, um verdächtige Verbindungen einem Prozess zuzuordnen.
02
Prozess- und Systemanalyse
ps, top/htop und lsof helfen dabei, Prozesse, Ressourcenverbrauch, offene Dateien und Netzwerkverbindungen zu untersuchen. Auffällige CPU-Auslastung kann beispielsweise ein Indikator für unerwünschte Mining-Aktivität sein.
03
Dateisystem und Forensik
find, grep, stat und sha256sum unterstützen die Suche nach kürzlich veränderten Dateien, ungewöhnlichen Berechtigungen und Integritätsabweichungen. Forensische Images sollten möglichst read-only analysiert und über Hashwerte dokumentiert werden.
04
Logs und Incident Response
journalctl, tail, awk und grep ermöglichen die Korrelation von Authentifizierungs-, System- und Prozessereignissen. Zeitlinien können helfen, Login-Versuche, neue Benutzer, geänderte Dateien und Netzwerkaktivität in einen gemeinsamen Kontext zu bringen.
05
Benutzer, SSH und Berechtigungen
getent, last, chage, chmod, chown und sshd-Konfigurationsprüfungen unterstützen Audits von Konten, Berechtigungen und Remote-Zugängen. Besonders wichtig sind unnötige Root-Rechte, schwache SSH-Einstellungen und unerwartete Benutzerkonten.
06
System-Hardening
Die Vorlage behandelt unter anderem Kernel-Parameter, unnötige Dienste, Firewall-Regeln und sichere Dateiberechtigungen. Änderungen an produktiven Systemen sollten vorher getestet und mit einer Rückfallstrategie versehen werden.
Praxis und Sicherheit
Der zugrunde liegende Leitfaden betont ressourcenschonendes Arbeiten mit nice, ionice, timeout und ulimit, read-only Verfahren bei forensischen Untersuchungen, Logging der ausgeführten Befehle sowie Tests außerhalb von Produktionssystemen. Gerade invasive Befehle wie dd, mount, iptables oder Änderungen an sysctl-Parametern können Systeme beeinflussen und sollten daher bewusst eingesetzt werden.