Bereich 07

Live-Response

Wenn ein System nicht abgeschaltet werden kann, sichert Live-Response den flüchtigen Zustand, bevor er verschwindet. Dieser Bereich zeigt die Arbeit mit vertrauenswürdigen Binärdateien, was /proc über jeden Prozess verrät, wie man ein gelöschtes laufendes Programm zurückholt und warum Userland-Tools lügen können.

/proc/<pid>/exe
ss -tanp
/proc/modules

Leitfäden in diesem Bereich

Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.

07 · Live-ResponseEnglisch

Linux Live Response: Triage Through /proc and Volatile Data

A practical Linux live response workflow: trusted binaries, logging your actions, and triaging processes, sockets and modules through /proc before shutdown.

live-responseproctriage

28. Sept. 2026

Artefakt-Spickzettel

Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.

/proc-Live-Artefakte: Prozesse, Sockets, gelöschte DateienDas Pseudo-Dateisystem /proc auf einem laufenden Linux-Host: Befehlszeilen, Umgebungen, offene Dateien, Memory Maps, Sockets und gelöschte Programme.
Linux Kernel Modules: lsmod, Taint Flags and Boot ConfigLoaded and configured Linux kernel modules (/proc/modules, /sys/module, modules-load.d, modprobe.d, taint flags) for spotting rootkits and module persistence.
/tmp, /var/tmp and /dev/shm: Linux Staging DirectoriesWorld-writable Linux directories attackers use to stage tools: tmpfs versus disk, cleanup ages, noexec, memfd fileless execution and what survives reboot.
NetworkManager Profiles and State: Linux Network HistoryNetworkManager connection profiles, timestamps, seen BSSIDs and DHCP leases on Linux: which networks, VPNs and Wi-Fi a host joined and when.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.
dmesg, kern.log and the Kernel Ring Buffer on LinuxThe Linux kernel log: dmesg ring buffer, kern.log, messages, journal and pstore, plus the segfault, OOM kill and promiscuous mode lines that matter.
sysctl, Boot Parameters and binfmt_misc on LinuxLinux kernel settings in sysctl.d, /proc/sys and the boot command line: core_pattern and modprobe hijacks, weakened protections, ip_forward, binfmt_misc.
/etc/hosts, nsswitch.conf and resolv.conf on LinuxLinux name resolution files as evidence: /etc/hosts redirects, resolv.conf and systemd-resolved DNS changes, and NSS module backdoors in nsswitch.conf.

Alle Bereiche