Área 07

Respuesta en vivo

Cuando un sistema no puede apagarse, la respuesta en vivo captura el estado volátil antes de que desaparezca. Esta área muestra cómo trabajar con binarios de confianza, qué revela /proc de cada proceso, cómo recuperar un binario borrado en ejecución y por qué las herramientas de usuario pueden mentir.

/proc/<pid>/exe
ss -tanp
/proc/modules

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

07 · Respuesta en vivoInglés

Linux Live Response: Triage Through /proc and Volatile Data

A practical Linux live response workflow: trusted binaries, logging your actions, and triaging processes, sockets and modules through /proc before shutdown.

live-responseproctriage

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

Artefactos en vivo de /proc: procesos, sockets y borradosEl pseudosistema de archivos /proc en un host Linux en vivo: líneas de comando, entornos, archivos abiertos, mapas de memoria, sockets y binarios borrados.
Linux Kernel Modules: lsmod, Taint Flags and Boot ConfigLoaded and configured Linux kernel modules (/proc/modules, /sys/module, modules-load.d, modprobe.d, taint flags) for spotting rootkits and module persistence.
/tmp, /var/tmp and /dev/shm: Linux Staging DirectoriesWorld-writable Linux directories attackers use to stage tools: tmpfs versus disk, cleanup ages, noexec, memfd fileless execution and what survives reboot.
NetworkManager Profiles and State: Linux Network HistoryNetworkManager connection profiles, timestamps, seen BSSIDs and DHCP leases on Linux: which networks, VPNs and Wi-Fi a host joined and when.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.
dmesg, kern.log and the Kernel Ring Buffer on LinuxThe Linux kernel log: dmesg ring buffer, kern.log, messages, journal and pstore, plus the segfault, OOM kill and promiscuous mode lines that matter.
sysctl, Boot Parameters and binfmt_misc on LinuxLinux kernel settings in sysctl.d, /proc/sys and the boot command line: core_pattern and modprobe hijacks, weakened protections, ip_forward, binfmt_misc.
/etc/hosts, nsswitch.conf and resolv.conf on LinuxLinux name resolution files as evidence: /etc/hosts redirects, resolv.conf and systemd-resolved DNS changes, and NSS module backdoors in nsswitch.conf.

Todas las áreas