Procédure Investigation Intrusion

Avant toutes choses voici les actions à éviter lors de l'investigation pour éviter d'altérer des preuves :

• Ne redémarre pas la machine

• Évite toute mise à jour ou nettoyage

• Si possible :

  • Travaille avec un compte sudo dédié

  • Monte un répertoire de travail en lecture seule

  • Sauvegarde les logs avant analyse

1. Identifier les connexions suspectes

1.1 Logs d’authentification

📄 Fichiers

• /var/log/auth.log

• /var/log/auth.log.1

• /var/log/auth.log.*.gz

🎯 Pourquoi
Ces fichiers enregistrent :

• connexions SSH réussies / échouées

• élévations de privilèges (sudo)

• changements de mots de passe

• ajouts d’utilisateurs

🔍 À analyser

grep -i "sshd" /var/log/auth.log 
grep -i "accepted" /var/log/auth.log 
grep -i "failed" /var/log/auth.log

1.2 Historique des connexions

Outils

• last

• lastlog

• who

• w

🎯 Pourquoi
Permet de voir :

• qui s’est connecté

• quand

• depuis quelle IP

• durée de session

last -a 
lastlog

2. Vérifier l’élévation de privilèges

2.1 Utilisation de sudo

📄 Fichier

/var/log/auth.log

🎯 Pourquoi
Un attaquant cherche quasi systématiquement à :

devenir root

exécuter des commandes sensibles

Points critiques :

sudo su

sudo bash

Commandes système inhabituelles (useradd, chmod, curl, wget)

2.2 Comptes utilisateurs

📄 Fichiers

/etc/passwd

/etc/shadow

/etc/group

🎯 Pourquoi
Détecter :

création de backdoor utilisateur

UID 0 non autorisé

comptes sans mot de passe

3. Reconstituer les actions de l’attaquant

3.1 Historique des commandes

📄 Fichiers

🎯 Pourquoi
Souvent négligé par les attaquants débutants.

⚠️ Limites :

3.2 Recherche de fichiers récemment modifiés

🎯 Pourquoi
Identifier :

Répertoires à prioriser :