Artefak Linux

Analisis & Ringkasan Materi

Memahami Jejak Digital dalam Investigasi Keamanan Siber

Dalam dunia keamanan siber, pentingnya memahami jejak digital tidak dapat digugat. Jejak digital adalah kumpulan informasi yang dapat membantu investigator memahami aktivitas pengguna dan sistem, serta menemukan indikator persistensi dan aktivitas mencurigakan. Dalam artikel ini, kita akan membahas tentang analisis log dan artefak dalam sistem operasi Linux dan macOS, serta teknik persistensi yang dapat digunakan oleh attacker untuk bertahan di sistem.

Pentingnya Analisis Log dan Artefak dalam Forensik Digital
——————————————————–

Log sistem merupakan salah satu komponen penting dalam sistem operasi yang menyimpan jejak aktivitas pengguna dan sistem secara komprehensif. Log sistem seperti syslog dan bash_history dapat memberikan timeline kejadian penting yang dapat membantu investigator memahami aktivitas yang terjadi. Selain itu, artefak macOS seperti plists, Spotlight, dan Unified Logs juga dapat memberikan informasi yang kaya untuk investigasi mendalam.

Deteksi Ancaman dengan Analisis Log
———————————–

Praktik analisis log dapat membantu investigator menemukan indikator persistensi dan aktivitas mencurigakan dalam sistem operasi. Dengan menganalisis log, investigator dapat menemukan perintah mencurigakan, akses root tidak terdokumentasi, atau eksekusi skrip otomatis yang tidak dikenal. Oleh karena itu, penting untuk memahami cara kerja log sistem dan artefak dalam sistem operasi untuk memantau aktivitas yang tidak biasa.

Teknik Persistensi di Linux: Cron Jobs dan Skrip Otomatis
——————————————————–

Cron jobs merupakan salah satu teknik persistensi yang digunakan oleh attacker untuk menjalankan payload secara periodik tanpa interaksi user. Malware dapat menambahkan cron job untuk menjalankan payload secara terjadwal, membuatnya sulit untuk terdeteksi. Deteksi efektif dapat dilakukan dengan audit crontab dengan crontab -l dan periksa file cron di /etc/cron.* untuk entry mencurigakan atau tidak dikenal.

Teknik Persistensi di macOS: LaunchAgents dan LaunchDaemons
———————————————————-

LaunchAgents dan LaunchDaemons merupakan salah satu teknik persistensi yang digunakan oleh attacker untuk menjalankan payload secara otomatis saat sistem boot. Malware dapat menambahkan file plist di direktori ~/Library/LaunchAgents atau /Library/LaunchDaemons untuk memastikan auto-start saat sistem boot. Deteksi efektif dapat dilakukan dengan periksa plist mencurigakan dengan perintah launchctl list dan find pada direktori plist untuk identifikasi anomali.

Praktik: Menemukan Indikator Persistensi dan Aktivitas User
——————————————————–

Audit file plist dapat dilakukan dengan find ~/Library/LaunchAgents -mtime -7 untuk mendeteksi perubahan dalam 7 hari terakhir. Periksa cron & history dapat dilakukan dengan audit cron jobs dan bash_history di Linux untuk perintah atau jadwal mencurigakan yang mengindikasikan aktivitas malicious. Query dengan Osquery dapat dilakukan dengan menggunakan tools seperti osquery untuk query log dan aktivitas proses secara terstruktur.

Studi Kasus: Analisis Persistensi Malware macOS dengan Osquery
———————————————————-

Osquery dapat membantu investigator memahami sistem operasi sebagai database SQL relasional, memudahkan audit file, proses, network connection, dan konfigurasi sistem secara real-time. Aktivasi audit dapat dilakukan dengan enable audit event di /etc/security/audit_control untuk capture detail eksekusi proses dan system call. Query proses dapat dilakukan dengan menjalankan query SQL untuk mendeteksi proses mencurigakan dan analisis hubungan parent-child process tree.

Tips Hardening dan Mitigasi Persistensi
—————————————–

Strategi perlindungan proaktif dapat dilakukan dengan batasi hak tulis pada direktori LaunchDaemons dengan SIP (System Integrity Protection) di macOS untuk mencegah modifikasi unauthorized. Audit rutin dapat dilakukan dengan nonaktifkan cron job yang tidak dikenal dan periksa login items di macOS System Preferences secara berkala. Monitoring tools dapat dilakukan dengan menggunakan monitoring tools seperti KnockKnock dan Jamf Protect untuk deteksi dini persistensi mechanism dan anomali sistem.

Kesimpulan
———-

Analisis log dan artefak adalah kunci mengungkap aktivitas tersembunyi dan mekanisme persistensi dalam sistem operasi modern. Kombinasi teknik analisis Linux dan macOS memperkuat kemampuan forensik digital dan threat hunting yang komprehensif. Oleh karena itu, penting untuk memahami cara kerja log sistem dan artefak dalam sistem operasi untuk memantau aktivitas yang tidak biasa dan mencegah persistensi mechanism.