No mundo das investigações cibernéticas, o uso de ferramentas e comandos Linux pode fornecer insights valiosos sobre atividades suspeitas e possíveis brechas de segurança. Investigadores e analistas de segurança digital precisam ter domínio de comandos que facilitem a análise de acessos, monitoramento de processos e captura de tráfego de rede. 

Neste artigo, exploramos 10 comandos Linux essenciais para investigações cibernéticas, mostrando como cada um pode contribuir para identificar padrões incomuns, detectar ameaças em potencial e assegurar a integridade dos sistemas. Se você está em busca de aprimorar suas habilidades em investigação cibernética, entender o uso desses comandos é um passo crucial.

10 Comandos Linux Cruciais para Investigações Cibernéticas

1. who

  • Uso: who
  • Descrição: Mostra quais usuários estão logados no sistema, incluindo detalhes como terminais, horários de login e origem (endereço IP). Útil para identificar logins ativos e verificar atividades incomuns.

2. last

  • Uso: last
  • Descrição: Lista os logins anteriores dos usuários, incluindo logouts, endereços IP e horários. Fundamental para rastrear acessos históricos e identificar padrões suspeitos.

3. ss

  • Uso: ss -tuln
  • Descrição: Substituto moderno do netstat, exibe conexões de rede ativas, com informações sobre portas e processos em execução. Útil para monitorar conexões de entrada e saída em busca de atividades suspeitas.

4. ps

  • Uso: ps aux ou ps -ef
  • Descrição: Lista os processos ativos no sistema, incluindo detalhes de uso de recursos e permissões. Essencial para identificar processos potencialmente maliciosos.

5. lsof

  • Uso: lsof -i ou lsof | grep <nome_do_arquivo>
  • Descrição: Mostra arquivos abertos e processos associados, ajudando a localizar arquivos em uso por processos suspeitos ou programas mal-intencionados.

6. tcpdump

  • Uso: tcpdump -i <interface> -w captura.pcap
  • Descrição: Captura e grava pacotes de rede, permitindo análise de tráfego em tempo real. É essencial para investigar comunicações suspeitas e padrões de tráfego.

7. find

  • Uso: find / -name “<nome_do_arquivo>” ou find / -ctime -1
  • Descrição: Pesquisa arquivos no sistema com base em critérios como nome, data de criação ou modificação. Fundamental para localizar arquivos recentemente alterados ou suspeitos.

8. grep

  • Uso: grep “<termo>” <arquivo> ou grep -r “<termo>” /diretorio
  • Descrição: Pesquisa strings específicas em arquivos, permitindo identificar rapidamente referências a IPs, domínios ou comandos maliciosos em logs e configurações.

9. auditd

  • Uso: auditctl -w /caminho/para/arquivo -p rwxa
  • Descrição: Ferramenta de auditoria que permite monitorar eventos críticos, como leitura, escrita, execução e alterações de atributos em arquivos e diretórios. Muito útil para detectar modificações não autorizadas em arquivos sensíveis.

10. journalctl

  • Uso: journalctl -xe ou journalctl –since “2023-01-01”
  • Descrição: Examina logs do systemd, fornecendo registros detalhados de atividades do sistema, incluindo falhas, tentativas de login e execuções de serviços. Importante para rastrear eventos de segurança em sistemas que utilizam systemd.

Confira também: 10 Ferramentas (Linux) Úteis para CTF

Gostou do conteúdo? Se você deseja aprofundar mais seu conhecimento sobre cibersegurança, confira os cursos disponíveis da IBSEC.