PCTAMALOU

🔬 Mission pratique – Laboratoire (2 heures)

Scénario : Investigation d'une machine potentiellement compromise

Vous êtes appelé pour analyser une machine suspecte. Votre mission : identifier les processus anormaux et comprendre l'activité système.

Étapes d'investigation détaillées

1. Installation des outils forensiques
   Nous allons installer des outils qui simuleront une investigation réelle :

   # Mise à jour et installation
   sudo apt update
   sudo apt install -y \
       apache2 \          # Service web pour analyse
       htop \             # Monitoring avancé
       net-tools \        # Outils réseau (netstat)
       lsof \             # List Open Files
       tree \             # Visualisation arborescente
       stress \           # Pour générer de la charge CPU
       python3            # Pour scripts d'analyse
   
   # Vérification
   which htop lsof netstatCopier

2. Établir une baseline : connaître le système normal
   Documentez l'état "propre" de votre machine :

   # 1. Capture de l'état initial
   echo "=== BASELINE $(date) ===" > baseline.txt
   echo "=== Processus kali ===" >> baseline.txt
   ps -u kali -o pid,ppid,user,%cpu,%mem,command >> baseline.txt
   
   echo "=== Top 10 CPU ===" >> baseline.txt
   ps aux --sort=-%cpu | head -11 >> baseline.txt
   
   echo "=== Top 10 Mémoire ===" >> baseline.txt
   ps aux --sort=-%mem | head -11 >> baseline.txt
   
   echo "=== Services actifs ===" >> baseline.txt
   systemctl list-units --type=service --state=running >> baseline.txt
   
   # Visualisation
   cat baseline.txt | lessCopier

3. Création d'activité suspecte (simulée)
   Créons des scénarios d'anomalies à détecter :

   # Scénario 1 : Processus consommateur CPU caché
   stress --cpu 2 --timeout 300 &  # Consomme 2 cœurs CPU pendant 5 min
   
   # Scénario 2 : Service malveillant simulé
   sudo bash -c 'cat > /tmp/fake_service.sh << "EOF"
   #!/bin/bash
   while true; do
       echo "Fake service running $(date)" >> /tmp/fake.log
       sleep 30
   done
   EOF'
   chmod +x /tmp/fake_service.sh
   /tmp/fake_service.sh &
   
   # Scénario 3 : Processus zombie (simulé)
   python3 -c "
   import os, time
   pid = os.fork()
   if pid == 0:
       # Processus enfant
       print('Child exiting')
       os._exit(0)
   else:
       # Processus parent ne lit pas exit de l'enfant
       print(f'Parent {os.getpid()} created zombie {pid}')
       time.sleep(600)  # Garde le zombie
   " &Copier

4. Investigation avec ps : l'outil fondamental
   Maîtrisez les différentes vues de ps :

   # Vue BSD complète (la plus utilisée)
   ps aux | head -20
   
   # Vue avec format personnalisé
   ps -eo pid,ppid,user,%cpu,%mem,cmd --sort=-%cpu | head -15
   
   # Recherche de processus spécifiques
   ps aux | grep -E '(stress|fake|python)'
   
   # Processus avec PPID = 1 (démarrés par init/systemd)
   ps -eo pid,ppid,cmd | awk '$2 == 1'
   
   # Processus zombies
   ps aux | awk '$8 ~ /Z/'
   
   # Processus par utilisateur
   ps -u kali --forest  # Vue hiérarchiqueCopier

5. Monitoring dynamique avec top et htop
   Apprenez à utiliser ces outils comme un pro :

   # top : classique mais puissant
   top -b -n 1 > top_snapshot.txt  # Capture statique
   # Dans top interactif :
   # 1 = affiche tous les CPUs
   # M = tri par mémoire
   # P = tri par CPU
   # k = kill un processus
   # q = quitter
   
   # htop : version améliorée (installez-le si pas fait)
   sudo apt install htop -y
   htop
   # Commandes htop :
   # F6 = trier par colonne
   # F9 = tuer processus
   # F2 = configuration
   # / = rechercher
   # t = arbre des processusCopier

6. Analyse des services systemd
   Comprenez comment investiguer les services :

   # 1. Services actifs
   systemctl list-units --type=service --state=running
   
   # 2. Détails d'un service spécifique
   sudo systemctl status apache2
   sudo systemctl show apache2  # Propriétés détaillées
   
   # 3. Journaux d'un service
   sudo journalctl -u apache2 -n 50  # 50 dernières lignes
   sudo journalctl -u apache2 --since "1 hour ago"
   
   # 4. Dépendances d'un service
   systemctl list-dependencies apache2
   
   # 5. Services défaillants
   systemctl --failedCopier

7. Analyse avancée avec pstree et lsof
   Outils pour investigations approfondies :

   # Visualisation hiérarchique
   pstree -p -u  # PID et utilisateurs
   pstree -a  # Avec arguments
   
   # Fichiers ouverts par processus
   sudo lsof -i  # Connexions réseau
   sudo lsof -p $(pgrep apache2)  # Fichiers ouverts par Apache
   lsof /var/log  # Qui utilise les logs ?
   
   # Processus écoutant sur des ports
   sudo netstat -tulpn
   # ou (plus moderne)
   sudo ss -tulpnCopier

8. Détection et neutralisation des anomalies
   Appliquez ce que vous avez appris :

   # 1. Trouvez le processus stress
   pgrep stress
   # ou
   ps aux | grep stress
   
   # 2. Analysez sa consommation
   top -p $(pgrep stress)
   
   # 3. Tuez-le proprement
   kill $(pgrep stress)
   # Si résistant
   kill -9 $(pgrep stress)
   
   # 4. Trouvez et tuez le fake service
   ps aux | grep fake_service
   kill %2  # Si lancé en background avec &
   # ou
   pkill -f fake_service
   
   # 5. Nettoyage
   sudo systemctl stop apache2
   sudo systemctl disable apache2
   rm -f /tmp/fake_service.sh /tmp/fake.logCopier

#!/bin/bash
echo "=== RAPPORT D'INVESTIGATION $(date) ==="
echo ""
echo "1. Processus CPU > 50%:"
ps aux --sort=-%cpu | awk '$3 > 50 {print $0}'
echo ""
echo "2. Processus Mémoire > 10%:"
ps aux --sort=-%mem | awk '$4 > 10 {print $0}'
echo ""
echo "3. Processus zombies:"
ps aux | awk '$8 ~ /Z/ {print $0}'
echo ""
echo "4. Services défaillants:"
systemctl --failed
echo ""
echo "5. Connexions réseau suspectes:"
sudo netstat -tulpn | grep -E '(LISTEN|ESTABLISHED)'