Memory Dump erstellen und analysieren
Posted: 2010-05-29 20:27
Bevor ich mir meinen ersten Root-Server kaufe, möchte ich mir Pläne/Prozesse zurecht legen, die ich abarbeiten kann wenn es zu einer Ausnahmesituation kommt. Eine solche Ausnahmesituation wäre es z.B. wenn eine fremde Person einen root account auf dem Server erstellen konnte, oder aber wenn mein Rechner Spam verschicken würde.
Das schlimmste wäre es wenn ein solcher Fall eintritt, ich in Panik gerate und nicht weiß was ich tun soll.
In einigen 'Hilfe ich wurde gehackt'-Threads wird ja empfohlen einen memory dump vom Hauptspeicher, und ein mage dump von der Festplatte zu erstellen. Und das möglichst bevor der Rechner neugestartet oder heruntergefahren wurde. Dann kann damit der Angriff analysiert werden und beim nächsten Aufsetzen des Systems entsprechend besser konfiguriert werden.
Die Theorie hört sich plausibel, richtig und gut an. Nun sitze ich vor meiner Linux-Maschine und wollte das alles mal üben. Aber leider weiß ich nicht wie das in der Praxis aussieht. Daher meine Fragen:
1. Wie erstelle ich ein memory dump und ein image dump? Was muss ich berücksichtigen?
2. Wie sieht eine Analyse aus? Wie ist das Vorgehen, welche Tools gibt es? Vor allem wie das beim memory dump aussieht.
Ich habe auch Probleme zu verstehen wie überhaupt ein memory dump erstellt werden kann. Der Hauptspeicher wird ja ständig verwendet und laufend verändert durch read und write Operationen. Wie ist es also in einer solchen Umgebung möglich einen snapshot/dump der Hauptspeichers zu erstellen? Werden dazu etwa alle laufenden Prozesse, und Threads in diesen Prozessen, kurz eingefroren um ein konsistentes Hauptspeicherabbild erstellen zu können?
Im /proc und den einzelnen /proc/<prozess_id>/ Ordner befinden sich ja sehr viele Informationen zu laufenden Prozessen. Werden diese Informationen bei einem memory dump auch gesichert bzw. erhält ein memory dump äquivalente Informationen? Oder ist es sogar notwendig den Inhalt von /proc einmal komplett auszulesen, damit keine wichtigen Informationen verloren gehen?
Das schlimmste wäre es wenn ein solcher Fall eintritt, ich in Panik gerate und nicht weiß was ich tun soll.
In einigen 'Hilfe ich wurde gehackt'-Threads wird ja empfohlen einen memory dump vom Hauptspeicher, und ein mage dump von der Festplatte zu erstellen. Und das möglichst bevor der Rechner neugestartet oder heruntergefahren wurde. Dann kann damit der Angriff analysiert werden und beim nächsten Aufsetzen des Systems entsprechend besser konfiguriert werden.
Die Theorie hört sich plausibel, richtig und gut an. Nun sitze ich vor meiner Linux-Maschine und wollte das alles mal üben. Aber leider weiß ich nicht wie das in der Praxis aussieht. Daher meine Fragen:
1. Wie erstelle ich ein memory dump und ein image dump? Was muss ich berücksichtigen?
2. Wie sieht eine Analyse aus? Wie ist das Vorgehen, welche Tools gibt es? Vor allem wie das beim memory dump aussieht.
Ich habe auch Probleme zu verstehen wie überhaupt ein memory dump erstellt werden kann. Der Hauptspeicher wird ja ständig verwendet und laufend verändert durch read und write Operationen. Wie ist es also in einer solchen Umgebung möglich einen snapshot/dump der Hauptspeichers zu erstellen? Werden dazu etwa alle laufenden Prozesse, und Threads in diesen Prozessen, kurz eingefroren um ein konsistentes Hauptspeicherabbild erstellen zu können?
Im /proc und den einzelnen /proc/<prozess_id>/ Ordner befinden sich ja sehr viele Informationen zu laufenden Prozessen. Werden diese Informationen bei einem memory dump auch gesichert bzw. erhält ein memory dump äquivalente Informationen? Oder ist es sogar notwendig den Inhalt von /proc einmal komplett auszulesen, damit keine wichtigen Informationen verloren gehen?
